「パスワードの定期変更はもう不要」「複雑な記号の組み合わせより長さが大事」——こうした話の根拠としてよく挙がるのが、米国国立標準技術研究所（NIST）が公開するデジタルアイデンティティのガイドライン「NIST SP 800-63B」です。噂としては聞くものの、実際にこの文書が何を求めているのかを正確に押さえている担当者は多くありません。
注意したいのは版の違いです。長く参照されてきた2017年版（SP 800-63B）は、2025年7月に発行された改訂版「SP 800-63B-4」によって、2025年8月1日付で置き換えられました。最低文字数や「推奨」か「必須」かといった要件は、この改訂で実際に変わっています。古い版の数値をそのまま自社ポリシーに当てはめると、現行の要件とずれてしまいます。
本記事では、現行版 SP 800-63B-4 が定めるパスワード要件・認証保証レベル（AAL）・多要素認証の要件を、原文の該当箇所と「必須（SHALL）／推奨（SHOULD）」の区別つきで整理します。あわせて2017年版からの変更点を対比し、自社のパスワードポリシーや多要素認証の見直しに使えるところまで落とし込みます。
自社の認証やパスワードポリシーを見直す際に、要件を原文で確かめるための材料としてご活用ください。
目次
一括ダウンロードする
NIST SP 800-63Bとは？現行版は「SP 800-63B-4」
NIST SP 800-63B は、米国国立標準技術研究所（NIST）が公開する「デジタルアイデンティティ・ガイドライン」のうち、当人認証（本人であることの確認）と認証器の管理を扱う文書です。
シリーズは目的別に分かれており、全体像を示す SP 800-63、身元確認を扱う SP 800-63A、連携（フェデレーション）を扱う SP 800-63C とともに、800-63B は「どの強さの認証を、どの認証器で実現するか」を定める位置づけになります。
米国連邦政府機関向けの規範文書ですが、実務に即したガイドラインとして、日本を含め民間企業のパスワードポリシーや多要素認証の設計でも参照されています。
重要なのが版の区別です。NIST は改訂版を2025年7月に発行（文書上の確定は2025年7月31日）し、2025年8月1日付で従来の SP 800-63B（2017年6月版、2020年のerrata反映。通称 Rev.3）を「SP 800-63B-4」（通称 Rev.4）に置き換えました。
旧版の本文ページにも、現在は「SP 800-63-4 によって置き換えられた」旨のバナーが表示されています。本記事では、現行版である SP 800-63B-4 の要件を基本に解説し、必要に応じて旧版との違いを示します。
This revision of NIST SP 800-63 has been superseded by NIST SP 800-63-4 as of August 1, 2025. Please refer to those documents for the current guidelines.
出典：NIST SP 800-63B（旧版）本文冒頭バナー｜NIST
（当該 NIST SP 800-63 の本改訂版は、2025年8月1日付で NIST SP 800-63-4 に置き換えられました。現行のガイドラインはそちらを参照してください。）
パスワード要件の一覧（SP 800-63B-4）
ここからは、現行版 SP 800-63B-4 がパスワード（記憶シークレット）に定める要件を、該当箇所と必須／推奨の別をつけて整理します。要件は同文書の「3.1.1 Passwords」に置かれています。NIST の規範用語は、SHALL＝必須、SHALL NOT＝禁止、SHOULD＝推奨、SHOULD NOT＝非推奨を意味します。
- 最低文字数：単要素認証として使うパスワードは15文字以上（必須／SHALL）。多要素認証の一要素として使う場合は短くてもよいが、8文字以上とすること（必須／SHALL）。
- 最大文字数：少なくとも64文字までは許可すべき（推奨／SHOULD）。長いパスフレーズを使えるようにするためです。
- 複雑さの強制：文字種の混在（大小英字・数字・記号の組み合わせ）などの構成規則を課してはならない（禁止／SHALL NOT）。
- 定期変更：利用者に定期的なパスワード変更を求めてはならない（禁止／SHALL NOT）。ただし認証器が侵害された証拠がある場合は、変更を強制すること（必須／SHALL）。
- ブロックリスト照合：よく使われる・推測されやすい・漏洩したパスワードのリストと照合し、該当するものは拒否すること（必須／SHALL）。
- ヒント・秘密の質問：認証前の者がアクセスできるヒントの保存は禁止（禁止／SHALL NOT）。パスワード設定時に「秘密の質問」（KBA）を使わせることも禁止（禁止／SHALL NOT）。
- 使用できる文字：印字可能なASCII文字とスペースをすべて受け入れるべき（推奨／SHOULD）。
- パスワードマネージャー・ペースト：パスワードマネージャーと自動入力を許可すること（必須／SHALL）。入力時の「貼り付け（ペースト）」機能も許可すべき（推奨／SHOULD）。
- 表示オプション：入力中のパスワードを（ドットや伏字ではなく）表示する選択肢を提供すべき（推奨／SHOULD）。
とくに読み違えやすいのが最低文字数と定期変更です。原文の該当箇所を引用します。
Verifiers and CSPs SHALL require passwords that are used as a single-factor authentication mechanism to be a minimum of 15 characters in length. Verifiers and CSPs MAY allow passwords that are only used as part of multi-factor authentication processes to be shorter but SHALL require them to be a minimum of eight characters in length.
Verifiers and CSPs SHALL NOT impose other composition rules (e.g., requiring mixtures of different character types) for passwords. Verifiers and CSPs SHALL NOT require subscribers to change passwords periodically. However, verifiers SHALL force a change if there is evidence that the authenticator has been compromised.
出典：NIST SP 800-63B-4 Sec. 3.1.1 Passwords｜NIST
なお、単要素の15文字という数値は現行版で引き上げられたものです。旧版（2017年版）は利用者が選ぶパスワードを8文字以上としていました。「8文字」の記憶で運用している場合は、現行版との差に注意が必要です（詳しくは版の変更点で対比します）。
なぜ「複雑さ」より「長さ」なのか
文字種の混在を強制するより長さを重視する——この方針の根拠は、SP 800-63B-4 の付録A（Strength of Passwords、参考情報）に示されています。漏洩したパスワードのデータベースを分析すると、複雑さの規則がもたらす効果は当初考えられていたほど大きくなく、一方で使い勝手や覚えやすさへの悪影響は深刻だと指摘されています。
記号を1つ足すより文字数を増やすほうが、推測や総当たり攻撃に対する強度を効率よく高められます。利用者にとっても、複雑な記号列を覚えてメモに書き写すより、長いパスフレーズのほうが扱いやすいという実務的な利点があります。付録Aは規範要件そのものではなく背景説明にあたる章ですが、現行版が長さを基準に据えた理由を理解する助けになります。
出典・参考資料（1件）
認証保証レベル（AAL）1・2・3の違い
ここからは、SP 800-63B-4 が定める認証保証レベル（AAL：Authenticator Assurance Level）を解説します。AAL は認証の強さを3段階で示す指標で、現行版では文書の「2. Authentication Assurance Levels」に置かれています。数字が大きいほど要求される認証の強さが上がります。各レベルの要件を次の表に整理しました。
| 項目 | AAL1 | AAL2 | AAL3 |
|---|---|---|---|
| 認証の強さ | 単要素でも可 | 多要素が必須 | ハードウェアベースの多要素 |
| 必要な認証器 | 単要素または多要素の認証器 | 多要素認証器、または独立した2要素の組み合わせ | 多要素の暗号認証器、または単要素の暗号認証器＋パスワード／生体のいずれか |
| フィッシング耐性 | 要件なし | 耐性のある選択肢の提供が必須（利用の推奨） | 必須（暗号認証器が耐性を備える） |
| 鍵・デバイス要件 | 規定なし | 承認された暗号方式 | 秘密鍵はエクスポート不可、FIPS 140 レベル1以上に適合 |
| 再認証（全体） | 30日以内が推奨 | 24時間以内が推奨 | 12時間以内（必須） |
| 再認証（無操作時） | 任意 | 1時間以内が推奨 | 15分以内が推奨 |
実務で基準になりやすいのが AAL2 です。現行版の AAL2 では、検証者は少なくとも1つのフィッシング耐性のある認証の選択肢を提供することが必須とされ、利用そのものも推奨されています。
AAL3 ではフィッシング耐性が必須となり、秘密鍵をエクスポートできないハードウェア認証器が要件になります。自社がどのレベルを満たすべきかは、扱う情報やサービスのリスクに応じて決まり、そのリスク評価は NIST SP 800-63 本編（シリーズ全体のガイドライン）が扱います。
フィッシング耐性認証器（パスキー・FIDO2・セキュリティキー）とAAL適合
フィッシング耐性は、現行版の「3.2.5 Phishing Resistance」で定義されています。旧版で「検証者なりすまし（verifier impersonation）」と呼ばれていた攻撃は、現行版で「フィッシング（Phishing）」に名称が改められました。
フィッシング耐性とは、利用者の注意力に頼らずに、偽の検証者へ認証情報を渡してしまうことを防ぐ、認証プロトコル自体の能力を指します。原文は、この耐性には単要素または多要素の暗号認証が必要だとしています。
この要件を実際に満たす代表的な手段が、FIDO2／WebAuthn にもとづくパスキーや、物理的なセキュリティキーです。パスキーのうち、複数デバイス間で鍵を同期できる「同期可能な認証器（syncable authenticators）」については、所定の要件を満たせば AAL2 に対応できます。一方で AAL3 には使えません。
鍵を同期できることはエクスポートできることを意味し、AAL3 が求める「秘密鍵をエクスポートできない」という要件に反するためです。鍵の同期基盤は、SP 800-131A に定める最低強度（発行時点で112ビット）以上の鍵で暗号化することが求められます。
出典・参考資料（1件）
ここで触れた物理セキュリティキーについて、デバイスとしての仕組みや種類、導入時の選び方まで詳しく知りたい場合は、次の記事で整理しています。
2017年版から現行版（SP 800-63B-4）への変更点
ここでは、旧版 SP 800-63B（2017年版）から現行版 SP 800-63B-4 への主な変更点を対比します。とくに注目したいのは、従来「推奨しない（SHOULD NOT）」にとどまっていた項目が、現行版で「禁止（SHALL NOT）」へと義務の強さを増している点です。自社ポリシーが旧版の数値のまま運用されていないか、この表で照らし合わせてください。
| 項目 | 旧版 SP 800-63B（2017年版） | 現行版 SP 800-63B-4（2025年版） |
|---|---|---|
| パスワード最低文字数 | 利用者が選ぶもの8文字以上（必須）／CSP（クレデンシャルサービス提供者）が生成するもの6文字以上（必須） | 単要素は15文字以上（必須）／多要素の一要素は8文字以上（必須） |
| 複雑さ（文字種の混在） | 課すべきでない（非推奨／SHOULD NOT） | 課してはならない（禁止／SHALL NOT） |
| 定期変更 | 要求すべきでない（非推奨／SHOULD NOT） | 要求してはならない（禁止／SHALL NOT） |
| ブロックリスト照合 | 必須 | 必須 |
| パスワードマネージャー／ペースト | ペーストの許可を推奨 | パスワードマネージャー・自動入力の許可が必須、ペーストの許可を推奨 |
| AAL2の再認証 | 12時間ごと（必須）／無操作30分で再認証（必須） | 24時間以内が推奨／無操作1時間以内が推奨 |
| フィッシング（旧称：検証者なりすまし） | 「verifier impersonation」として規定 | 「Phishing」に改称。AAL2で耐性オプションの提供が必須 |
| 用語 | 「記憶シークレット（memorized secret）」 | 「パスワード（password）」に統一 |
定期変更と複雑さの強制は、どちらも旧版の時点ですでに「推奨しない」とされていました。現行版ではこれが「してはならない」に変わり、むしろ定期変更や複雑さの強制を続けることが規格に反する扱いになっています。最低文字数も、単要素では8文字から15文字へ引き上げられました。旧版の数値を根拠に運用している場合は、現行版に合わせた見直しが必要です。
出典・参考資料（2件）
原文・日本語訳の確認先
要件を自社で判断する際は、英語の原文に当たるのが確実です。現行版・旧版の原文と、公式の日本語訳の所在を整理します。
- 現行版（英語原文）：NIST SP 800-63B-4 本文。数値・要件はこの原文が基準です。
- 旧版（英語）：NIST SP 800-63B（2017年版）。冒頭に置き換え済みのバナーがあります。
- 公式日本語訳：JIPDEC（日本情報経済社会推進協会）の訳（PDF）とOpenIDファウンデーション・ジャパンの訳が公開されています。ただしいずれも2017年版（旧版）を底本としており、現行版 SP 800-63B-4 の公式な日本語全訳は確認できません（2026年11月時点）。日本語訳で要件を確認する場合も、文字数や再認証間隔などの数値は現行版の英語原文で裏取りすることをおすすめします。
出典・参考資料（4件）
一括ダウンロードする
自社のパスワードポリシー・多要素認証への落とし込み
ここからは、SP 800-63B-4 の要件を自社の設定に反映する際の考え方を整理します。標準そのものは米国連邦政府向けですが、要件の中身は日本企業のポリシー見直しにもそのまま応用できます。
パスワードポリシーの設定を見直す
Active Directory や IdP（ID基盤）のパスワードポリシーでは、まず定期変更（有効期限）の設定を確認することが出発点になります。現行版は定期変更を求めないよう定めているため、無期限に設定したうえで、漏洩が疑われたときに変更を強制する運用へ切り替えるのが要件に沿います。
文字種の混在を必須にしている場合も、その強制を外し、最低文字数の引き上げ（単要素なら15文字以上）とパスフレーズの推奨へ寄せていくのが要件に沿います。
あわせて、漏洩パスワードのブロックリスト照合を取り入れられるかの検討も望まれます。利用者側では、パスワードマネージャーの利用とペーストを許可し、長いパスワードを扱いやすくすることも要件に沿った対応です。
パスワードマネージャーの利用を許可するにあたって、企業として安全性をどう見極め、どの製品を選べばよいかは、次の記事で整理しています。
多要素認証をフィッシング耐性のある方式へ
多要素認証については、現在の方式がフィッシング耐性を備えているかの見直しが求められます。SMS やアプリで受け取るワンタイムパスワードは手軽な一方、偽サイトに入力させる攻撃を防ぎきれません。
AAL2相当以上を目指すなら、FIDO2／パスキーや物理セキュリティキーといったフィッシング耐性のある方式への移行が選択肢になります。このとき、メール添付の暗号化zip（いわゆるPPAP）のように形だけ整えた対策と、プロトコルでフィッシング耐性を担保する認証方式は別物である点を区別しておくと、投資先を誤りません。
自社で使っている IdP（Microsoft Entra ID、Google Workspace、Okta など）がパスキーや FIDO2 にどこまで対応しているかは製品ごとに異なります。次の章で、要件を満たすうえで役立つ多要素認証・認証ソリューションを整理します。
要件を満たす多要素認証（MFA）・認証ソリューション
ここからは、SP 800-63B-4 が重視するフィッシング耐性のある認証（パスキー／FIDO2、物理セキュリティキー）に対応する多要素認証・認証ソリューションを紹介します。まずは主要なサービスの対応状況を一覧で比較します。
| サービス名 | CloudGate UNO | YubiKey as a Service | Okta（Workforce Identity Cloud） | Microsoft Entra ID | Cisco Secure Access by Duo | RSA ID Plus（SecurID） | Entrust Identity | Soliton OneGate | トラスト・ログイン byGMO |
|---|---|---|---|---|---|---|---|---|---|
| パスキー/FIDO2 | ●全プラン標準搭載 | ● | ● | ● | ● | ● | ● | ● | ●有料（SSOプロ） |
| ハードウェアセキュリティキー | ●YubiKey等に対応 | ●物理キー（YubiKey）本体 | ● | ● | ● | ●DS100・iShield Key 2 | ●スマートカード/USBトークン | ●FIDO2キー（ATKey） | △物理キーの記載なし |
| 相当するNISTのレベル（AAL） | AAL2相当（パスキー/FIDO2） AAL3相当（物理キー） | AAL2相当 AAL3相当（エクスポート不可の物理キー） | AAL2相当（FastPass/FIDO2） AAL3相当（FIDO2物理キー） | AAL2相当（パスキー/FIDO2） AAL3相当（FIDO2セキュリティキー） | AAL2相当（パスキー/FIDO2） AAL3相当（FIDO2物理キー） | AAL2相当（パスキー/FIDO2） AAL3相当（iShield Key 2＝FIPS 140-3 Lv3） | AAL2相当（パスキー/FIDO2） AAL3相当（PKIスマートカード/USBトークン） | AAL2相当（パスキー/FIDO2・証明書） AAL3相当（FIDO2キー） | AAL2相当（パスキー/FIDO2） |
| その他の対応認証方式 | 生体（Windows Hello・Touch ID/Face ID） OTP・認証アプリ SSO・アクセス制限 | FIDO U2F・PIV（スマートカード） OpenPGP・OATH（TOTP） | Okta Verify（プッシュ・生体） スマートカード（PIV）・OTP SMS/音声/メール SSO・Adaptive MFA | Authenticator（プッシュ・番号一致） Windows Hello・証明書認証 OATH・SMS/音声 SSO・条件付きアクセス | Duo Push／Verified Push 生体・OTP・電話/SMS ハードウェアトークン SSO・デバイストラスト | ハードウェアトークン（OTP） プッシュ・生体・QRコード SMS/音声OTP SSO・リスクベース認証（RSA Risk AI） | OTP・プッシュ モバイルスマートクレデンシャル PKI証明書・AI顔認証・グリッドカード SSO・アダプティブ認証 | デジタル証明書（クライアント証明書） 顔認証・ICカード・スマホ認証 SSO・ネットワーク認証（EAP-TLS） | アプリOTP・メールOTP プッシュ通知・顔認証 クライアント証明書 SSO（SAML/OIDC） |
| 提供形態・資料請求 | クラウド型IDaaS 資料請求に対応 | 物理キーのサブスク（200ユーザー〜） 資料請求に対応 | クラウド型IDaaS | クラウド型ID基盤 | クラウド型（既存環境への後付けMFA） | クラウド/ハイブリッド/オンプレ | クラウド/オンプレ | クラウド型IDaaS（国産） | クラウド型IDaaS（無料プランあり） |
| 詳細情報 | 公式資料を見る | 公式資料を見る | サービス詳細を見る | サービス詳細を見る | サービス詳細を見る | サービス詳細を見る | サービス詳細を見る | サービス詳細を見る | サービス詳細を見る |
※「相当するNISTのレベル（AAL）」は、各製品が備える認証器（パスキー/FIDO2・物理セキュリティキー）が SP 800-63B-4 のどのレベルの要件に当てはまるかを本記事が整理したもので、NIST による公式の認定ではありません。とくに AAL3 相当には、鍵をエクスポートできないことに加えて FIPS 140 の検証を受けた認証器であることが求められ、該当可否は製品・モデル・構成によって変わります（本記事で FIPS 140 の検証を明示的に確認できたのは RSA の iShield Key 2 です）。実際の適合は各製品の設定・構成によって変わり、対応認証方式は各社の公式情報にもとづきます。
以下では、代表的なサービスの特徴を詳しく紹介します。
1. CloudGate UNO（株式会社インターナショナルシステムリサーチ）
CloudGate UNO は、株式会社インターナショナルシステムリサーチ（ISR）が自社開発するクラウド型の ID 基盤（IDaaS）です。シングルサインオン（SSO）やアクセス制限、ID管理とあわせて、パスキー（FIDO2）によるパスワードレス認証を提供し、公式は「ゼロトラスト時代のSSO・アクセス制限・認証強化・ID管理プラットフォーム」と位置づけています。
パスキー対応の多要素認証がすべてのプランに標準搭載されている点が特徴で、SP 800-63B-4 が重視するフィッシング耐性のある認証を、既存のIDログインと一体で導入しやすい構成になっています。SSOによる利用者の負担軽減と認証強化を両立させたい企業に向いています。
パスワードレス認証への切り替えが運用現場にどう表れるかについて、提供元のインターナショナルシステムリサーチは一次取材で次のように述べています。
導入と同時にパスワードレス認証に切り替えた企業では、IT部門の業務の約20%を占めていたパスワード関連のヘルプデスク業務が「0%」になったという事例があります。
2. YubiKey as a Service（株式会社インターナショナルシステムリサーチ）
YubiKey as a Service は、Yubico社の物理セキュリティキー「YubiKey」を、法人向けにサブスクリプション形式で導入できるサービスです。株式会社インターナショナルシステムリサーチ（ISR）が日本で提供しています。
物理キーそのものがフィッシング耐性を持つハードウェア認証器であり、SP 800-63B-4 が AAL3 で求める「エクスポートできない鍵を持つハードウェア認証器」の典型的な選択肢になります。
最低200ユーザーから、3年または5年の契約で導入でき、料金は個別見積もりです。パスキーと同期可能な認証器では満たせない AAL3 相当の強度を、物理キーで確保したい組織に適しています。
物理キーを運用するうえで気になる紛失時の安全性について、提供元のインターナショナルシステムリサーチは一次取材で次のように説明しています。
このほかにも、Okta や Microsoft Entra ID など、パスキー／FIDO2 に対応する ID 基盤・多要素認証サービスは複数あります。各サービスの機能や料金・認証方式・タイプ別の選び方を横断的に比べたい場合は、多要素認証（MFA）システムを17製品まとめて比較した次の記事が参考になります。
まとめ
NIST SP 800-63B は、2025年8月1日付で現行版「SP 800-63B-4」に置き換えられました。パスワードは単要素で15文字以上を必須とし、文字種の混在の強制や定期変更の要求は「禁止」へと強まっています。
漏洩パスワードのブロックリスト照合は引き続き必須です。認証保証レベル（AAL）では、AAL2でフィッシング耐性のある選択肢の提供が求められ、AAL3ではエクスポートできない鍵を持つハードウェア認証器が要件になります。
自社のパスワードポリシーや多要素認証を見直す際は、旧版の数値をそのまま引き継がず、現行版 SP 800-63B-4 の要件に照らすことが大切です。フィッシング耐性のある認証を実現する手段としては、パスキー（FIDO2）対応の ID 基盤や物理セキュリティキーが選択肢になります。要件に合った製品を比較検討する材料として、各サービスの資料をまとめてご確認ください。
一括ダウンロードする
よくある質問（FAQ）
Q. NIST SP 800-63Bとは何ですか？
A. NIST SP 800-63Bとは、米国国立標準技術研究所（NIST）が公開するデジタルアイデンティティ・ガイドラインのうち、当人認証と認証器の管理の要件を定める文書です。パスワードの要件や認証保証レベル（AAL）、多要素認証のあり方を、必須（SHALL）・推奨（SHOULD）の別を明示して規定しています。
米国連邦政府向けの規範文書ですが、実務に即した基準として、日本を含む民間企業のパスワードポリシーや多要素認証の設計でも参照されています。
Q. いま従うべき NIST SP 800-63B の版はどれですか？
A. NIST SP 800-63B の現行版は、2025年7月に発行され、2025年8月1日付で旧版（2017年版）を置き換えた「SP 800-63B-4」です。長く参照されてきた2017年版（通称 Rev.3）はこの改訂で正式に置き換えられ、旧版の本文冒頭にもその旨のバナーが表示されています。
最低文字数や「必須／推奨」の区別など複数の要件が改訂で変わっているため、自社ポリシーを確認するときは現行版 SP 800-63B-4 の数値を基準にしてください。
Q. NIST SP 800-63B-4（現行版）では2017年版から何が変わりましたか？
A. NIST SP 800-63B-4 では、パスワードの最低文字数が引き上げられ（単要素で8文字→15文字）、複雑さの強制と定期変更の扱いが「推奨しない（SHOULD NOT）」から「禁止（SHALL NOT）」へと強まりました。
あわせて認証保証レベル AAL2 でフィッシング耐性のある認証の選択肢を提供することが必須になり、旧版で「検証者なりすまし（verifier impersonation）」と呼ばれていた攻撃は「フィッシング（Phishing）」に名称が改められています。漏洩パスワードとのブロックリスト照合は、両版を通じて必須のままです。
Q. NIST SP 800-63B はパスワードを何文字以上にすべきと定めていますか？
A. 現行版 NIST SP 800-63B-4 は、単要素認証として使うパスワードは15文字以上、多要素認証の一要素として使う場合は8文字以上を必須（SHALL）と定めています（§3.1.1）。最大長は、少なくとも64文字までを許可すべき（SHOULD）としています。
旧版の2017年版では利用者が選ぶパスワードは8文字以上が必須だったため、「8文字」の記憶で運用している場合は現行版との差に注意が必要です。
Q. NIST SP 800-63B はパスワードの定期変更を求めていますか？
A. 現行版 NIST SP 800-63B-4 は、利用者に定期的なパスワード変更を求めてはならない（禁止／SHALL NOT）と定めています（§3.1.1）。ただし認証器が侵害された証拠がある場合は、変更を強制すること（必須／SHALL）とされています。
旧版の2017年版では定期変更は要求すべきでない（非推奨／SHOULD NOT）にとどまっていましたが、現行版では禁止へと強まり、定期変更を続けることがかえって規格に反する扱いになりました。
Q. NIST SP 800-63B はパスワードの複雑さ（文字種の混在）を要求すべきと定めていますか？
A. いいえ、現行版 NIST SP 800-63B-4 は、大小英字・数字・記号の混在といった構成規則を課してはならない（禁止／SHALL NOT）と定めています（§3.1.1）。漏洩パスワードの分析から、複雑さの規則がもたらす効果は小さく、使い勝手や覚えやすさへの悪影響のほうが大きいと判断されたためで、現行版は文字種の複雑さより長さを重視します。
旧版の2017年版では課すべきでない（非推奨／SHOULD NOT）でしたが、現行版で禁止へと強まりました。
Q. NIST SP 800-63B のパスワードブロックリストとは何ですか？
A. NIST SP 800-63B のブロックリストとは、よく使われる・推測されやすい・漏洩したパスワードをまとめた拒否リストのことで、利用者がパスワードを設定・変更する際にこのリストと照合し、該当するものは拒否することが必須（SHALL）とされています。
この要件は旧版の2017年版から現行版 SP 800-63B-4 まで一貫して必須で、定期変更や複雑さの強制に代わって、実際に危険なパスワードを使わせない仕組みとして位置づけられています。
Q. SMSで受け取るワンタイムパスワードは NIST SP 800-63B の AAL2 を満たしますか？
A. SMSのワンタイムパスワードは、多要素認証の一要素としては AAL2 で使える一方、フィッシング耐性は備えていません。現行版 SP 800-63B-4 は AAL2 で、少なくとも1つのフィッシング耐性のある認証の選択肢を提供することを必須とし、その利用も推奨しています。
手入力を伴う SMS OTP は偽サイトへの入力を防ぎきれないため、フィッシング耐性の要件を満たす FIDO2／パスキーや物理セキュリティキーへの移行が求められる方向です。
Q. パスキー（FIDO2）は NIST SP 800-63B のどの認証保証レベル（AAL）に対応できますか？
A. 複数デバイスで鍵を同期できるパスキー（同期可能な認証器）は、所定の要件を満たせば AAL2 に対応できますが、AAL3 には使えません。AAL3 は秘密鍵をエクスポートできないことを求めるのに対し、鍵を同期できることはエクスポートできることを意味し、この要件に反するためです（現行版 SP 800-63B-4 Appendix B）。
AAL3 相当の強度が必要な場合は、鍵を同期しない物理セキュリティキーなどが選択肢になります。
Q. NIST SP 800-63B（現行版 SP 800-63B-4）の日本語訳はありますか？
A. 現行版 SP 800-63B-4 の公式な日本語全訳は、2026年11月時点では確認できません。JIPDEC（日本情報経済社会推進協会）とOpenIDファウンデーション・ジャパンが日本語訳を公開していますが、いずれも旧版の2017年版を底本としています。
文字数や再認証間隔などの数値は版で異なるため、日本語訳で概要をつかむ場合も、最終的な要件は現行版 SP 800-63B-4 の英語原文で裏取りすることをおすすめします。
多要素認証（MFA）システムの料金・資料を一括チェック
MCB FinTechカタログでは、パスキー・FIDO2・セキュリティキーに対応した多要素認証システムの最新資料を無料で一括請求できます。対応する認証方式や料金を各社の資料でまとめて比較できます。
一括ダウンロードする
MCB FinTechカタログに掲載しませんか？
MCB FinTechカタログでは、掲載企業様を募集しています。マネックスグループの金融実務ノウハウを活かした独自の評価軸と検索設計により、導入検討者が最適なサービスを効率的に発見できる法人向け比較プラットフォームです。掲載後は管理画面から料金表や導入事例を随時更新でき、常に最新の情報を訴求可能。まずは下記フォームより、お気軽にお問い合わせください。
マネックス証券 フィナンシャル・インテリジェンス部 暗号資産アナリスト
松嶋真倫
監修の範囲は記事の一般的な解説部分であり、比較表および各製品・サービスの紹介内容は監修の対象外です。
