「JIS Q 15001ではパスワードを何文字以上にすればよいのか」というご質問をよくいただきます。規格は文字数や変更周期を指定していません。そのため、何を基準に規程を書けばよいのか分からなくなりがちです。この記事では、規格が求めている考え方を整理し、そこから逆算してパスワードに関して規程へ書くべき項目と、記録の残し方を具体的に扱います。
規格が指定しているのは「数値」ではなく「考え方」
JIS Q 15001は、個人情報保護マネジメントシステム（PMS）の要求事項を定めた規格です。プライバシーマークは、この規格に適合したPMSを構築・運用していることを評価する制度です。
この規格の作りは、「取り扱う個人情報のリスクを特定し、それに応じた安全管理措置を講じ、実施し、見直す」という循環を求めるものです。技術の指定ではありません。
そのため「12文字以上と書けば適合する」といった正解はありません。自社が扱う情報の性質とリスクに対して、その基準が妥当だと説明できることが求められます。
これは負担ではなく、自由度でもあります
数値が固定されていないため、自社の実態に合わせて設計できます。無理のある基準を掲げて守れなくなるより、実際に守れる基準を定めて記録を残す方が、規格の趣旨に沿っています。
「90日ごとに変更」を今から書くべきか
古い規程では「パスワードは90日ごとに変更する」という定めをよく見かけます。長く定番とされてきた運用ですが、近年は考え方が変わっています。
定期変更を強制すると、利用者は覚えられる範囲で対応しようとします。結果として、末尾の数字だけを増やす、複数のサービスで同じ規則を使う、付箋に書くといった行動が起きます。強度が上がらないまま、管理の手間だけが増える状態です。
現在は、期限による強制変更ではなく、漏洩が疑われる場合に変更するという考え方が主流になっています。米国NISTのガイドラインもこの方向で、日本国内の公的な資料でも同様の整理がされています。
ただし「変更しなくてよい」わけではありません。変更を求めない代わりに、使い回しの禁止・漏洩時の即時変更・十分な長さの確保といった条件が前提になります。詳しい設計は パスワードポリシーの設計で扱っています。
規程に書くべき項目
パスワードに関して定めておくと、審査の場で説明しやすくなる項目を挙げます。
1. 適用の範囲
どのシステムに適用するのかを明示します。クラウドサービスだけでなく、社内PC・ファイルサーバーへのログインを含めるかどうかが重要な分かれ目です。
個人情報を含むファイルがPC内に保存されているなら、そのログインは個人情報へのアクセス経路にあたります。範囲から抜けていると、対策の対象そのものが漏れます。
2. 強度の基準
- 最低の文字数
- 使用する文字種の条件（設ける場合）
- 推測されやすい文字列の禁止（社名、サービス名、連番など）
- 他サービスとの使い回しの禁止
使い回しの禁止は、文字数の指定より効果が大きい項目です。他社から流出したパスワードを使って侵入する パスワードリスト攻撃は、使い回しがあると文字数に関係なく成立します。
3. 変更の条件
期限による強制変更を採用するかどうかを決め、漏洩が疑われる場合の対応を必ず書きます。誰に報告し、誰が変更を指示するのかまで含めます。
4. 保管と共有の扱い
パスワードをどこに保管するか、共有を認めるかを定めます。共有を認めると、誰がアクセスしたかを特定できなくなります。
共有アカウントの廃止で、置き換えの進め方を扱っています。
5. 初期パスワードとリセットの手順
入社時の発行と、忘れた場合のリセットの手順です。本人確認の方法を決めておかないと、なりすましによるリセットの入口になります。
パスワードリセットの本人確認で具体的に扱っています。
6. 権限に応じた追加の措置
管理者権限のアカウントには、一般利用者と同じ基準では不十分な場合があります。権限の大きさに応じて条件を分けるのが実務的です。
特権アカウントの管理を参照してください。
規程だけでは足りない：記録の残し方
審査で問題になりやすいのは、規程の内容ではなく記録の不在です。定めた通りに運用していることを示せなければ、規程は紙のままと見なされます。
実機の設定と規程の一致を確認した記録
規程に「8文字以上」と書いてあっても、システム側で強制されていなければ守られません。設定画面の状態を確認し、その確認日を残すだけでも記録になります。
Windows環境での設定は グループポリシーによるアカウント保護の設定で扱っています。
アカウントの棚卸しの記録
誰がどのアカウントを持っているかを定期的に確認した記録です。退職者のアカウントが残っていないかの確認が中心になります。
IDの棚卸しと監査、 アカウント管理台帳の作り方で扱っています。
リスクを評価し、措置を判断した記録
規格の中心にあるのはこの部分です。「どのリスクに対して、なぜこの措置を選んだのか」が残っていれば、二要素認証を導入していない場合でも説明ができます。
Pマークで二要素認証は必須かで、この点を詳しく整理しています。
記録の様式は簡素でよい
凝った様式を作ると、次の更新までに運用が止まります。「いつ・誰が・何を確認し・どう判断したか」の4点が分かれば、表計算ソフト1枚でも記録として機能します。
よくある質問
JIS Q 15001はパスワードを何文字以上と定めていますか
文字数の指定はありません。リスクに応じた安全管理措置を講じ、その妥当性を説明できることが求められます。
定期変更の規定は削除してよいですか
使い回しの禁止や漏洩時の即時変更といった条件を整えたうえで、変更の方針を見直す形になります。定期変更をやめること自体が問題になる規格上の定めはありませんが、削除の理由と代わりの措置を記録に残しておくのが安全です。
社内PCのログインも規程の対象にすべきですか
個人情報を含むファイルがPC内やファイルサーバーに保存されているなら、対象に含めるのが自然です。範囲から抜けていると、対策の対象そのものが漏れます。
自社の対応状況を確認するには
規程と実際の運用がどこでずれているかは、社内からは見えにくいものです。applippliの無料診断では、約3分の質問に回答するだけで、ID・パスワードに関連する対応状況を5段階で判定し、結果をPDFレポートでお届けします。個人情報の入力は不要で、会員登録もありません。規程を見直す前の現状把握にお使いいただけます。
参考・出典
※ 本記事は2026年8月時点で公表されている情報に基づく一般的な解説です。規格の条文の解釈や審査の運用については、規格本文および審査機関の案内をご確認ください。