パスワードの定期変更は不要。15文字の線は資格の勉強にも出る

社内規程に「パスワードは90日ごとに変更」と書いてある。

監査の前に、この一文を見直すよう頼まれた社会人は多いはずです。

情シスを兼ねるインフラ担当なら、IT の仕事の中でもよく回ってくる宿題です。

答えは、国の基準がもう出しています。

漏れた形跡が無いなら、定期的な変更は求めない。

代わりに長さと使い回しで守る、という線です。

同じ考え方は、Microsoft の資格の出題範囲にも入っています。

米国の基準は「定期変更を求めてはならない」

米国国立標準技術研究所（NIST）は、認証の基準 SP 800-63B を出しています。

2025年7月31日付の確定版（SP 800-63B-4）には、定期的な変更を求めてはならないと書かれています。

変えさせるのは、漏れた証拠があった時だけ。

英大文字と記号を混ぜろ、という組み合わせの規則も禁じています。

総務省の「国民のためのサイバーセキュリティサイト」も同じ立場です。

定期的に変えると作り方が型にはまり、使い回しも増えるから。

2017年の NIST の指針をきっかけに、考え方が切り替わったと説明しています。

長さの線は15文字と14文字

定期変更をやめた分、長さの線が上がりました。

NIST の基準では、パスワードだけで入る仕組みなら15文字以上です。

多要素認証の一部として使うなら、8文字以上まで下げてよいとされています。

Microsoft も、Microsoft 365 の管理者向けに推奨を出しました。

最小の長さは14文字を勧めています。

有効期限のポリシーは勧めていません。

推測しやすい「password」のような語も避けるよう書かれています。

規程を書き換える前に確かめる4つ

国の基準に合わせるなら、次の4つを社内で確かめます。

• パスワードだけで入るシステムが残っていないか

• 残っているなら、15文字以上を求めているか

• 多要素認証が、全員に登録されているか

• 漏れた疑いがある時に、変更させる手順があるか

90日の一文を消すだけでは足りません。

長さと多要素認証の線を一緒に書き直して、初めて国の基準と同じ形になります。

同じ設定が SC-300 の出題範囲にある

Microsoft の資格 SC-300 は、ID とアクセスの管理を問う試験です。

公式の学習ガイドの「認証とアクセス管理」の分野に、Microsoft Entra のパスワード保護の実装と管理が入っています。

試験時間は100分。

合格ラインは1,000点満点中700点です。

規程を直す仕事と資格の勉強は、同じ設定画面の話です。

50問で35問に届けば、模試の第1回へ進む。

届かなければ、認証の章のテキストから読む。

入口をどちらにするかは、最初の50問の正答数で決まります。

IT資格道場の SC-300 は、登録なしで50問・第1回の模試は無料の会員登録で解けます。

公式の練習問題と IT資格道場の違い

Microsoft Learn には、SC-300 の公式プラクティス評価があります。

受けるのに料金はかかりません。

IT資格道場の「SC-300 問題集 750問」は、全問が新しく作った問題です。

模試は本番と同じ1回64問・100分で、11回あります。

模試の分を合わせると704問です。

残りの46問は、分野別の演習で解けます。

問題の形も、択一だけではありません。

複数選択や並べ替え、画面の箇所を選ぶ問いも入っています。

公式の練習で同じ問題を何周もすると、答えの位置を覚えてしまいがちです。

初見の問題を選ぶのは、覚えた答えでなく今の実力が点に出るから。

購入すると、テキストも3種類付きます。

学習用テキスト、頻出度別ノート、暗記用ノートです。

進み具合はこの端末に自動で保存されます。

価格は税抜2,709円（税込2,980円）です。

出題範囲が改定されて版が変わっても、追加料金はかかりません。

公式の練習が上回っているのは、名前の知られ方だけ。

問題数と中身で比べるなら、IT資格道場の750問を選びます。

出典は次の4つです。

社員が50人を超えて衛生管理者も頼まれた人は、現場道場に国家資格の問題集があります。

規程を直す前の昼休みに解く50問

提案に添えるのは、長さと多要素認証の線の2つ。

その設定を自分の言葉で説明できるかは、50問を解くと分かります。

次の昼休みに、SC-300 の50問を通しで解いて正答数を数えてください。