安全のために英大文字・小文字・数字・記号を組み合わせた複雑なパスワードを作ったものの、今度は自分でも覚えられず、結局メモ用紙や付箋に書いてパソコンの画面へ貼ってしまう――。これはパスワード管理で起こりやすい、少し皮肉な状況です。
実際、IPA（情報処理推進機構）の過去の調査でも、パスワードを「自分で記憶」する人だけでなく「紙にメモ」して管理する人が一定数いることが示されています。つまり、強いパスワードを作るほど人間には覚えにくくなるという問題は、珍しいものではありません。
ただし、「紙に書くこと」と「パソコンの画面にパスワードを書いた付箋を貼ること」は分けて考える必要があります。紙への記録そのものより、誰でも見られる場所へ認証情報を置いてしまうことが問題です。この記事では、この矛盾がなぜ起きるのか、現在推奨されるパスワード管理方法とともに解説します。
複雑にしすぎて覚えられないのは不自然なことではない
例えば「xR7!qP2#vK9@Lm」のようなランダムな文字列を複数サービスで使い分けようとすると、人間がすべて暗記するのはかなり困難です。10個、20個とアカウントが増えればなおさらです。
その結果、「覚えられる簡単なパスワードを使う」「同じパスワードを複数サイトで使い回す」「全部紙へ書く」といった行動につながりやすくなります。つまり、強度だけを追求して管理方法を考えないと、別のセキュリティリスクが生まれます。
CISA（米国サイバーセキュリティ・社会基盤安全保障庁）も、長くランダムでサービスごとに異なるパスワードを人間がすべて覚えるのは現実的ではないとして、パスワードマネージャーの利用を推奨しています。[参照] CISA「Use a Password Manager」
パソコンの画面にパスワードを書いた付箋を貼るのは避けたい
「紙だからネットから盗まれないので安全」と考えることもできます。確かに紙のメモそのものをインターネット経由で直接盗むことはできません。しかし、モニターやノートパソコン本体へ貼れば、その端末を見られる人にパスワードまで見られてしまいます。
IPAもパスワード管理について、PCやスマートフォンにパスワードを書いた付箋などを貼らないよう案内しています。端末を紛失した場合などに、第三者が簡単にログインできてしまうためです。IPAは覚えきれない場合の代替策として、自宅で保管するノートなどのオフライン媒体や、OS・ブラウザのパスワード管理機能、パスワードマネージャーを挙げています。[参照] IPA「情報セキュリティ10大脅威 2025」
例えば会社のPCに「メール：Abcd1234!」と貼ってあれば、同僚、来客、清掃スタッフなど画面付近を見ることのできる人に知られる可能性があります。在宅でも、Web会議でカメラに映ったり、PC周辺を撮影した写真をSNSへ投稿した際に写り込んだりするリスクがあります。
「紙に書く＝すべて危険」という単純な話でもない
重要なのは保管場所です。パソコンに貼った付箋と、第三者が簡単にはアクセスできない自宅の安全な場所へ保管した紙では、リスクが異なります。
IPAも、覚えきれない場合には自宅で保管するノートなど、オフライン媒体へ記録する方法を選択肢として示しています。したがって「パスワードは絶対に紙へ書いてはいけない」と一律に考える必要はありません。
例えばパスワードマネージャーの復旧情報など、紛失すると自分自身が困る重要情報を紙へ記録し、自宅の安全な場所へ保管するという考え方はあります。一方、その紙をPCの横、財布、社員証ケースなど、アカウントへアクセスするための機器や本人情報と一緒に置くとリスクが高まります。
現在は「複雑さ」より長さ・使い回さないことが重要
パスワードというと「大文字・小文字・数字・記号を全部入れ、とにかく複雑にする」というイメージがあります。しかし現在のNIST（米国国立標準技術研究所）は、特殊文字や数字を必須にすることを推奨しておらず、特に長さを重要視しています。
NISTは2025年に公開した一般利用者向け解説で、パスワードを自分で作る必要がある場合は少なくとも15文字を推奨し、複数の単語を組み合わせた長いパスフレーズも選択肢として紹介しています。[参照] NIST「How Do I Create a Good Password?」
ただし、長いパスワードでも複数サービスで使い回すべきではありません。一つのサービスから認証情報が漏えいした場合、同じ組み合わせを別サービスでも試す「クレデンシャルスタッフィング」と呼ばれる攻撃につながる可能性があるためです。
覚えられないパスワードはパスワードマネージャーに任せる
多数のアカウントを利用する現在では、すべてのパスワードを人間が記憶するという発想自体を変える方法があります。それがパスワードマネージャーです。
パスワードマネージャーは、サービスごとに長くランダムなパスワードを生成し、安全に保存して必要な場面で入力するための仕組みです。NISTも、パスワードが必要なアカウントについてパスワードマネージャーの利用を強く推奨しています。[参照] NIST パスワード管理の推奨事項
例えば通販サイト、SNS、動画サービス、ゲームなど20個のアカウントがある場合、それぞれに別々のランダムなパスワードを設定してパスワードマネージャーへ保存します。利用者自身が20個すべてを暗記する必要はありません。
ブラウザやスマートフォンのパスワード管理機能も選択肢
専用のパスワード管理アプリを新たに導入する方法だけではありません。現在はOSやブラウザにもパスワード管理機能が用意されています。
例えばApple製品を中心に使っている場合や、Google Chrome・Androidを利用している場合など、それぞれの環境に用意された認証情報管理機能を利用できます。IPAもOSやブラウザのパスワード管理機能を、覚えきれないパスワードを管理する選択肢として挙げています。
ただし、家族や職場など複数人が同じPCアカウントを共同利用している場合は注意が必要です。IPAも複数人で使用するPCでは、ブラウザへ安易にパスワードを記憶させないよう注意を促しています。利用環境に合わせて管理方法を選びましょう。
パスワードマネージャー自体の防御も重要
パスワードマネージャーを使えば、複数の認証情報を一か所で管理できます。一方、その保管庫へ第三者がアクセスできてしまうと影響が大きいため、パスワードマネージャーそのものをしっかり保護する必要があります。
NISTは、パスワードマネージャーを選ぶ際に多要素認証（MFA）をサポートするものを利用するよう勧めています。CISAも、パスワードマネージャーについてMFAを利用できる製品を選ぶことを推奨しています。[参照] CISA パスワードマネージャーの選び方
つまり、「すべてのパスワードを覚える」のではなく、「重要なマスターパスワードや復旧手段を安全に管理し、その他はツールへ任せる」という構成にすると、人間の記憶力へ依存しすぎずに済みます。
多要素認証やパスキーも併用する
パスワードをどれほど強くしても、フィッシングサイトへ自分で入力してしまったり、サービス側から認証情報が漏えいしたりするリスクを完全になくすことはできません。そのため、対応しているサービスでは多要素認証を有効にすることが重要です。
多要素認証では、パスワードに加えて認証アプリ、セキュリティキー、生体認証など別の要素を使います。CISAも強いパスワードだけでなくMFAの利用を主要なセキュリティ対策として推奨しています。[参照] CISA「Secure Our World」
また、利用するサービスがパスキーに対応している場合は、パスワードそのものを入力する機会を減らせます。NISTもパスキーなど、パスワードだけに依存しない認証方法の利用を推奨しています。
「複雑なパスワード＋付箋」より現実的な管理方法
安全性と使いやすさを両立するなら、パスワードを無理に全部暗記する必要はありません。現実的には次のような考え方が分かりやすいでしょう。
- サービスごとに異なるパスワードを使用する
- 可能なら長くランダムなパスワードをパスワードマネージャーで生成する
- 自分ですべてのパスワードを暗記しようとしない
- パスワードマネージャー自体を強い認証とMFAで保護する
- 対応サービスではパスキーも検討する
- 紙へ記録する必要がある重要情報は、PCへ貼らず第三者が容易に見られない安全な場所へ保管する
この方法なら「安全にするため複雑化した結果、覚えられないので画面へ貼る」という矛盾をかなり減らせます。セキュリティはパスワード文字列の強さだけではなく、保管方法まで含めて考えることが重要です。
まとめ：共感できる状況だからこそ「人間が全部覚える」方法から卒業する
複雑なパスワードを作った結果、自分でも覚えられなくなり、付箋へ書いてPCの画面に貼ってしまう――という状況は十分に起こり得ます。IPAの調査でも紙のメモによる管理は一定数確認されており、長くランダムなパスワードを多数暗記することが人間にとって負担になるのは自然です。
ただし、パスワードを書いた付箋をPCやスマートフォンへ貼る方法は避けた方がよいでしょう。IPAも同様の管理を避け、覚えきれない場合には安全に保管したオフライン媒体やOS・ブラウザの管理機能、パスワードマネージャーを利用する方法を挙げています。
現在の考え方では、「人間が複雑な文字列を何十個も覚える」ことを目標にする必要はありません。サービスごとに異なる長いパスワードをパスワードマネージャーへ任せ、MFAやパスキーも組み合わせる方が現実的です。
つまり問題は「覚えられない自分」ではなく、覚えることを前提に大量の複雑なパスワードを管理しようとする仕組みにあります。パスワードの強度だけでなく、忘れず安全に使い続けられる管理方法までセットで設計することが、実用的なセキュリティ対策といえるでしょう。
コメント