経産省「SCS評価制度」時代に検討したい「最新パスワードポリシー基準」
～ Gluegent Gateを用いた解決策：第3回 ～
- Gluegent Gate
こんにちは。Gluegent Gate クラウドコンシェルジュです。
安全性を高めるためにパスワードの定期変更を設定しているものの、「かえって似たようなパスワード（連番など）が設定されやすくなっていないか」と、気になったことはありませんか？
実は近年のセキュリティガイドラインでは、かつて一般的だった「定期的な変更」や「複雑さの強制」を見直し、社員の皆様の負担を和らげながら実質的な安全性を確保する方向へとアップデートされています。
Gluegent Gateをご利用のお客様は、すでにSSOによって「覚えるパスワードを1つに集約できる」環境をお持ちです。この「唯一の鍵」に最新の考え方を取り入れることで、よりスムーズで安全な運用へとつなげることができます。
今回は、現在のガイドラインに沿ったポリシー設定のポイントや、運用を見直す際のヒントについて解説します。
目次
1.SaaS普及による「パスワード管理の落とし穴」
クラウドサービス（以下、SaaS）利用の拡大に伴い、社員が管理すべきID・パスワードは増え続け、管理の限界を迎えています。その結果、「安易なパスワード設定」や「使い回し」が常態化し、セキュリティリスクへの備えが重要となってきています。
- 「パスワードを忘れた」というヘルプデスクへの問い合わせが絶えない
- 覚えきれないからと、付箋にパスワードを書いてPCのモニターに貼っている社員がいる
- 名前や生年月日など、推測されやすい単語をパスワードに設定してしまう
などのお悩みはありませんか？
【3分セルフチェック】自社の「パスワードセキュリティ」成熟度診断
- [ ] Q1.「パスワードの定期的な変更」を強制している
- [ ] Q2.パスワードの「長さ（12文字以上など）」よりも「複雑さ（記号・英数字混在）」を重視している
- [ ] Q3.過去のパスワードの再利用をシステム的に禁止できていない
- [ ] Q4.「パスワードのみ」でログインしており、MFA（多要素認証）が必須ではない
- [ ] Q5.社員から「パスワードが覚えられない」「入力が面倒」という声が上がっている
【診断結果】チェックがついた数で、貴社のセキュリティレベルを確認しましょう
-
3〜5個：【設定見直しのサイン】現代の脅威に対応するためのアップデートを推奨します。
「定期変更」や「複雑さ」の強要は、昨今のセキュリティガイドラインでは、必ずしも効率的とは言えない手法となりつつあります。この機会に、Gluegent Gateでポリシー設定を見直しましょう。
【今すぐ設定を確認】
貴社の設定状況は、管理画面の『パスワードポリシー設定』から確認・変更が可能です。設定方法に迷われたら弊社マニュアルも合わせてご参照ください。
-
1〜2個：【改善の余地あり】利便性と強固さのバランスを見直すタイミングです。
基本的なセキュリティは意識されていますが、まだ改善の余地があります。Gluegent Gateのポリシー設定を最適化することで、社員の負担を減らしつつ、セキュリティ強度はさらに高められます。
-
0個：【優秀】最新のポリシー基準に適合しています。
素晴らしい状態です！現在の強固な運用をぜひ継続してください。
2.知っておくべき最新のパスワードポリシー基準
米国立標準技術研究所（NIST）等の最新ガイドラインでは、かつての「常識」が以下のようにアップデートされています。これらを踏まえたパスワードポリシーの再設計が、安全性を高める上で非常に有効な手段の一つです。
-
「定期的な変更」は非推奨
以前は「90日ごとの変更」などが推奨されていましたが、頻繁にパスワードの変更を強制すると、ユーザーは「Password01」「Password02」のように末尾の数字を変えるだけの安易なパターンに陥りがちです。現在では、漏えいの疑いがある場合を除き、定期変更は求めず、その分「初期設定時に強固なパスワードにすること」がベストプラクティスとされています。
-
「複雑さ」よりも「長さ」が重要
英大文字・小文字・数字・記号の混在よりも、パスワードの「文字数の長さ」が解読を防ぐために重要視されています。最低でも8文字以上（パスワード単体で認証する場合は15文字以上）の設定が望ましいとされています。
-
「使い回し」の防止
過去に使用したパスワードや、他サービスと同じパスワードの利用をシステム的に制限することが求められます。
■ 参考情報
■ 「SCS評価制度」から見る認証セキュリティの重要性
経済産業省およびIPAが推進する「サプライチェーン強化に向けたセキュリティ対策評価制度（SCS評価制度） 」の要求事項・評価基準においても、特に高次な評価（★4）では、推測されにくいパスワードルールの策定や、使い回しを防止するシステム的な仕組みが不可欠です。
SCS評価制度：要求事項・評価基準
|
評価基準No. |
評価基準の概要 |
Gluegent Gateでの対応 |
|---|---|---|
|
No. 4-1-5（★4） |
パスワード設定ルール （推測されにくい要件の設定） |
詳細なポリシー設定 15文字以上（MFA併用時は8文字以上）の長さや複雑さの下限をシステム的に強制 |
|
No. 4-1-6（★4） |
パスワード管理ルール （使い回し防止・管理方法のルール化） |
履歴保持機能 過去のパスワード履歴を保持し、再利用を防止 |
3.Gluegent Gateで実現する、強固で利便性の高いセキュリティ設定
Gluegent Gateを利用すれば、ユーザーが覚えるべきパスワードは「Gluegent Gateにログインするための1つだけ」になります。複数のパスワードを管理する負担から解放されるため、情報システム部門は「たった1つのパスワード設定を強化すること」に対して、ユーザーの理解を得やすくなります。
-
詳細なパスワードポリシー設定：文字数の下限設定や、英数記号の必須化などはもちろん、正規表現を用いた高度なルール設定にも対応しており、自社の運用に合わせた柔軟な制御が可能です。
-
パスワード履歴の保持：過去数回分のパスワードを記録し、直近で使用したパスワードの再利用を禁止することで、実質的な使い回しを防止します。
-
さらに安全性を高める多要素認証（MFA）との連携：強固なパスワードポリシーの適用に加え、ワンタイムパスワードや端末証明書などを組み合わせることで、万が一の漏えい時にも不正アクセスを遮断できます（※MFAの具体的な活用法は、今後の記事で詳しく解説予定です）。
4.まとめ：最新ポリシーの適用で、SSOの「1つの鍵」をより安全にする
SaaS利用が前提の現代では、SSOで「管理すべき鍵を1つにする」ことが、セキュリティと利便性を両立させる第一歩です。その唯一の鍵に対し、最新の基準である「長さを重視したポリシー」や「使い回し防止」を適切に適用することで、より安全かつストレスのない認証環境を構築できます。
【Next Step：パスワードの次は「認証の多層化」へ】
パスワードを強固にすることは、セキュリティの「第一歩」に過ぎません。昨今の高度な攻撃を完全に防ぐためには、パスワード認証に加え、「多要素認証（MFA）」や、端末・場所に応じた「柔軟なアクセス制御（IP制限・端末制限・デバイス証明書）」の導入が推奨されます。
Gluegent Gateでも、標準機能として今すぐ活用できる機能が多数あります。さらに端末証明書などのオプションを組み合わせることで、より強固な守りを実現可能です。「自社の契約プランでどこまで設定できるか知りたい」「より強固な運用へ移行したい」という方は、ぜひ一度ご相談ください。
補足：【導入担当者必見】運用のためのチェックリスト
パスワードポリシーの変更をトラブルなく安全に進めるための、実務上の重要ポイントをまとめました。
■ Must Do：事故を防ぐための最優先設定
-
テストユーザーでの事前検証
システム全体への適用前に、テスト用プロファイルで「ログイン挙動」や「エラー表示」を確認してから段階的に適用することをお勧めします。
-
API・システム連携アカウントの除外
夜間バッチなどでGluegent Gateと連携しているアカウントに「パスワード変更」や「自動停止」のルールが適用されると、システム連携が突然ストップする原因になります。これらは必ず制限の対象外（除外）に設定してください。なお、新しくシステム連携を構築する場合は、パスワード不要で安全に連携できる「OAuth認証」などの仕組みを利用するのがおすすめです。
-
管理者アカウントの「締め出し（停止・ロック）」回避
「連続ログイン失敗によるロックアウト」や「長期間未ログインによるアカウント停止」により全ての管理者でログインできない状態（締め出し）となった場合、お客様自身での解除操作が行えず、弊社への解除・復旧依頼が必要になります。該当のポリシーを適用する際には、全ユーザーに対してMFA（多要素認証）やIP制限などの「多層防御」を適用することを前提とした上で、管理者アカウントについては締め出しを防ぐためにロックアウトや自動停止の制御を除外（または緩和）する運用をご検討ください。
※関連する情報として、以下の記事もあわせてご参照ください。
パスワードポリシー設定 - 「最終ログインから経過日数による制御」を設定するときの注意事項
■ Good to Know：現場のトラブルを減らすための知識
-
ポリシー変更の適用タイミング
新しいパスワードポリシーは、ユーザーが「次回自身でパスワードを変更するタイミング」で適用されます。既存ユーザーが即座にログイン不可になるわけではないため、安心して段階的な移行が可能です。 -
ユーザー新規作成時の注意（パスワード未指定時の自動生成）
ユーザー登録時にパスワードを空欄にするとパスワードが自動生成される仕様ですが、強固なポリシー（文字数の長さや記号の必須化など）を設定している場合、自動で生成された文字列がポリシー要件を満たせずにエラーとなることがあります。該当する設定の場合は、管理者側で要件を満たす初期パスワードを直接指定してご登録ください（詳細は「パスワードポリシーの設定によりユーザーのパスワードが自動的に設定できない」をご参照ください）。 -
AD/LDAPへのパスワード変更同期時のエラー防止
オンプレミスのAD/LDAPと連携し、Gluegent Gate画面からのパスワード変更をADへ同期させている環境での注意点です。ユーザーが変更したパスワードがAD側の要件を満たしていないと同期エラーになるため、Gluegent Gate側のポリシーをADと同等以上に設定するか、またはパスワード変更操作自体をAD側に集約する運用をご検討ください。
■ その他の関連サポート記事
次のステップ：貴社の環境に合わせた最適なパスワード設定のご提案も可能です。
「自社の現在のポリシーが最新のセキュリティ基準を満たしているか不安…」「設定変更の安全な手順を知りたい…」という方は、ぜひお気軽にお問い合わせください。
[無料相談] Gluegent Gateをご利用のお客様は、本記事に関するご不明点等あれば、クラウドコンシェルジュまでお気軽にお問い合わせください。
