---
title: いまどきの&quot;パスワード&quot;のはじめかた
tags: 
author: [hayapi](https://convert.docswell.com/user/yohaya)
site: [Docswell](https://www.docswell.com/)
thumbnail: https://bcdn.docswell.com/page/27VV3L9M7Q.jpg?width=480
description: いまどきの&quot;パスワード&quot;のはじめかた by hayapi
published: March 17, 26
canonical: https://convert.docswell.com/s/yohaya/5MQW49-How-to-start-Password
---
# Page. 1

![Page Image](https://bcdn.docswell.com/page/27VV3L9M7Q.jpg)

いまどきの
&quot;パスワード&quot;の
はじめかた
セキュアスカイ What’s Up #6 in 福岡


# Page. 2

![Page Image](https://bcdn.docswell.com/page/5JGL3XZX7L.jpg)

※本日の内容は個人的な見解です。所属する組織や団体とは無関係です。


# Page. 3

![Page Image](https://bcdn.docswell.com/page/47QY58L5EP.jpg)

1. はじめに


# Page. 4

![Page Image](https://bcdn.docswell.com/page/KE4W92DVJ1.jpg)

自己紹介


# Page. 5

![Page Image](https://bcdn.docswell.com/page/L71YKMZ4JG.jpg)

hayapi
コーポレートITとセキュリティ領域なんでもやる人
アーキテクチャの設計・実装
セキュリティ戦略・ガバナンス・マネジメント
脅威分析 etc.
登壇歴 / ブログ(順不同)
JNUC 2025 Denver / 2024 Nashville
Jamf Nation Live 2024 Tokyo / Taipei
脅威モデリングナイト #2, #9
SST What&#039;s Up #1
「VPNは廃止しなければならないのか」 etc.
@yo_hayasaka


# Page. 6

![Page Image](https://bcdn.docswell.com/page/G7WGD39ZE2.jpg)

みなさん、
パスワードの運用と管理はきちんとできてますか？


# Page. 7

![Page Image](https://bcdn.docswell.com/page/4JZLGV9LE3.jpg)

この話の前提


# Page. 8

![Page Image](https://bcdn.docswell.com/page/YE6WY5KMEV.jpg)

業務で利用するパスワードの話です。
SSOを導入している組織でも、現実的にはパスワード運用が一部残ると思うの
で、そのパスワードの話です。
パスキーや多要素認証の話ではないです。
パスワードの運用・管理を布教するIT管理者視点の話です。


# Page. 9

![Page Image](https://bcdn.docswell.com/page/GE5MGYPQE4.jpg)

目次
1. はじめに ｲﾏｺｺ
2. いまどきのパスワード
3. いまどきのパスワード管理の選択肢
4. じゃあ、組織でどの方法を選択すれば良いのか
5. おまけ


# Page. 10

![Page Image](https://bcdn.docswell.com/page/9729YG6WJR.jpg)

2. いまどきのパスワード


# Page. 11

![Page Image](https://bcdn.docswell.com/page/DJY4GV997M.jpg)

NIST SP 800-63Bにおける
「パスワード」


# Page. 12

![Page Image](https://bcdn.docswell.com/page/V7NYGMLDE8.jpg)

要件をざっくり書き出すとこう(3.1.1.2. Password Verifiers)
最低15文字以上であること (必須)
多要素認証の場合は最低8文字以上であること (必須)
最低64文字の長さを許容すること (推奨)
すべてのASCII文字とスペースを許容すること (推奨)
英数字記号の混在は強制しないこと (必須)
定期的なパスワード変更を強制しないこと (必須)


# Page. 13

![Page Image](https://bcdn.docswell.com/page/YJ9PWN4873.jpg)

続き(2/3)
「秘密の質問」や「ヒント」の登録を求めないこと (必須)
一部分ではなく、全文で検証すること (必須)
次のようなパスワードは、別のパスワードに変更を促すこと (必須)
過去に漏洩しているパスワード
辞書に載っている単語
サービス名やユーザー名など推測しやすいパスワード


# Page. 14

![Page Image](https://bcdn.docswell.com/page/GJ8DNKQZJD.jpg)

続き(3/3)
認証失敗回数に応じてBot認証やロックアウトを実施すること (必須)
オートフィルを許可すること (必須)
それができない場合は、ペーストを許可すること (推奨)


# Page. 15

![Page Image](https://bcdn.docswell.com/page/LJLMPZX1ER.jpg)

この中で、利用者に意識してもらうところはこれ
最低15文字以上であること
多要素認証の場合は最低8文字以上であること
次のようなパスワードは使わないこと
過去に漏洩しているパスワード
辞書に載っている単語
サービス名やユーザー名など推測しやすいパスワード
＋使い回しは禁止
＋漏洩した可能性がある場合は速やかに変更すること


# Page. 16

![Page Image](https://bcdn.docswell.com/page/47MY4VL57W.jpg)

3. いまどきの
パスワード管理の選択肢


# Page. 17

![Page Image](https://bcdn.docswell.com/page/P7R9W2KZE9.jpg)

一昔前まで


# Page. 18

![Page Image](https://bcdn.docswell.com/page/PJXQPDL17X.jpg)

ローカルファイル
テキストエディタ、Excel(パスワード保護なし/あり)
Excelのバージョンによっては簡単にパスワードを解除できる


# Page. 19

![Page Image](https://bcdn.docswell.com/page/3JK9DXLMJD.jpg)

パスワードマネージャー


# Page. 20

![Page Image](https://bcdn.docswell.com/page/LE3WR532E5.jpg)

ブラウザ一体型
Googleパスワードマネージャー、Microsoftパスワードマネージャー など
Chromeの1機能として2000年代後半に登場
パスワードの自動生成と保存、URLを見てオートフィルをしてくれる


# Page. 21

![Page Image](https://bcdn.docswell.com/page/8EDKYD467G.jpg)

スタンドアローン型
ローカルに暗号化されたデータベースファイルを作成して管理
ブラウザ拡張機能を導入するとブラウザ上での自動生成やオートフィルに対応


# Page. 22

![Page Image](https://bcdn.docswell.com/page/V7PK6XVZJ8.jpg)

クラウド型
1Password、KEEPER、Bitwarden など
SaaSとしてクラウド上にパスワードを保管。マルチデバイス対応
ブラウザ以外のパスワード入力項目でもサジェストしてくれる


# Page. 23

![Page Image](https://bcdn.docswell.com/page/2JVV3LZMJQ.jpg)

ざっくり比較


# Page. 24

![Page Image](https://bcdn.docswell.com/page/5EGL3X4XJL.jpg)

比較(1/2)


# Page. 25

![Page Image](https://bcdn.docswell.com/page/4JQY58G57P.jpg)

比較(2/2)


# Page. 26

![Page Image](https://bcdn.docswell.com/page/K74W925VE1.jpg)

自動生成、保存、オートフィルしてくれる
パスワードマネージャーは優秀
基本的にはこの中から選ぶのが良い


# Page. 27

![Page Image](https://bcdn.docswell.com/page/LJ1YKMW4EG.jpg)

4. じゃあ、組織で
どの方法を選択すれば良いのか


# Page. 28

![Page Image](https://bcdn.docswell.com/page/GJWGD36Z72.jpg)

理想的な運用


# Page. 29

![Page Image](https://bcdn.docswell.com/page/4EZLGVYL73.jpg)

利用者にパスワードを&quot;作らせない&quot;
利用者にパスワードを&quot;覚えさせない&quot;


# Page. 30

![Page Image](https://bcdn.docswell.com/page/Y76WY5DM7V.jpg)

どれを選ぶ？


# Page. 31

![Page Image](https://bcdn.docswell.com/page/G75MGY3Q74.jpg)

クラウド型が良いケース
担当者間で共有が必要なパスワードがいくつかある(公式SNSなど)
PC＋スマホのように一人が複数のデバイスを業務利用している
予算が確保できる(月額$6〜9程度/ユーザー)


# Page. 32

![Page Image](https://bcdn.docswell.com/page/9J29YGZWER.jpg)

スタンドアローン型でも良いケース
担当者間でパスワードを共有する必要がない
基本的にPCのみで業務を行う
※マルチデバイスで使いたい場合はクラウドストレージ等で同期


# Page. 33

![Page Image](https://bcdn.docswell.com/page/DEY4GVR9JM.jpg)

ブラウザ一体型を使うしかないケース
前述を普及できるほど組織のITリテラシーが高くない(教育も困難)
業務がブラウザベースで完結する
※インフォスティーラー対策として、せめてブラウザは常に最新の状態に保つ


# Page. 34

![Page Image](https://bcdn.docswell.com/page/VJNYGMDD78.jpg)

どうしてもExcelを使うしかないケース
＜どうしてもテキストエディタやExcelがいい！
せめて、パスワード保護したExcelを使う
保護に使うパスワードは覚えられるかぎりで複雑な文字列にする
パスワード生成はその手のWebサービスなどを使って生成する(無料でも良い)
生成AIを使ってパスワード生成は絶対にしない！


# Page. 35

![Page Image](https://bcdn.docswell.com/page/YE9PWNG8J3.jpg)

それぞれの特性を理解して、
組織に最適な方法を選択しよう


# Page. 36

![Page Image](https://bcdn.docswell.com/page/GE8DNKVZED.jpg)

そしてそのまえに


# Page. 37

![Page Image](https://bcdn.docswell.com/page/LELMPZ517R.jpg)

組織で使っているシステムのパスワード要件は
&quot;いまどき&quot;にアップデートしよう
「( 2. いまどきのパスワード」参照)


# Page. 38

![Page Image](https://bcdn.docswell.com/page/4JMY4V35JW.jpg)

5. おまけ


# Page. 39

![Page Image](https://bcdn.docswell.com/page/PJR9W2QZ79.jpg)

administratorを使っているサーバたち
どうする問題


# Page. 40

![Page Image](https://bcdn.docswell.com/page/PEXQPD51JX.jpg)

パスワード強度が低いadministrator/rootアカウント
組織内のネットワークへの侵入や横展開に悪用されるケースは定番
NW機器などローカル管理者アカウントのパスワード変更は比較的容易
一方で、Windowsのドメイン管理者のパスワード変更はなかなか難しい


# Page. 41

![Page Image](https://bcdn.docswell.com/page/3EK9DX6MED.jpg)

これらの改善に取り組むときの例


# Page. 42

![Page Image](https://bcdn.docswell.com/page/L73WR56275.jpg)

※類似の管理者アカウント使用箇所の調査・見直し作業を行なったときベースの話です。


# Page. 43

![Page Image](https://bcdn.docswell.com/page/87DKYDV6JG.jpg)

Step1:
ドメイン管理者で実行しているタスクを洗い出す


# Page. 44

![Page Image](https://bcdn.docswell.com/page/VJPK6XRZE8.jpg)

1. サーバの一覧を片手に タスクスケジューラなどから実行されているタスクを確認
する
Administratorで登録されているタスク
Administratorのパスワードが平文で書かれている（！）バッチファイル
2. 実行に必要な権限を持ったアカウントを払い出して順次切り替えていく


# Page. 45

![Page Image](https://bcdn.docswell.com/page/2EVV3LRMEQ.jpg)

Step2:
ドメイン管理者でログインしているサーバを洗い出す


# Page. 46

![Page Image](https://bcdn.docswell.com/page/57GL3XMXEL.jpg)

1. 該当のサーバと管理者権限で実行されているミドルウェア・サービスを洗い出す
2. 見つかったものを以下いずれかの方法で切り替えていく
理想としては、サーバごとに必要な権限を付与した管理者アカウントを発行す
る
すぐに切り替えることが難しければ、ドメイン管理者のパスワードを強度が高
いものに変える(変えちゃう)
リプレスのタイミングでは適切なアカウントを使うように要件に入れておく


# Page. 47

![Page Image](https://bcdn.docswell.com/page/4EQY58R5JP.jpg)

いずれにしても


# Page. 48

![Page Image](https://bcdn.docswell.com/page/KJ4W928V71.jpg)

とても地道な作業、かつ何の生産性もない作業なのであとに回されがち
とはいえ、やらなければならないこと
他社のセキュリティインシデントなどで世の中が盛り上がっているとき、いい
かんじに話を出してリソースを確保するムーブをする
重要なシステムから重点的にやっていく
すべてのサーバを一度にやろうとするとリソースが不足するので


# Page. 49

![Page Image](https://bcdn.docswell.com/page/LE1YKM247G.jpg)

みなさん、がんばりましょう！！！！


# Page. 50

![Page Image](https://bcdn.docswell.com/page/GEWGD3RZJ2.jpg)

Thank you.


