セキュリティ監査の指摘やベンダーの提案書、あるいは「パスワードの定期変更はもう推奨されていない」という話のなかで、「NIST SP 800-63」という規格名を目にした情報システム担当者は少なくありません。名前は知っていても、それが何を定めた文書で、自社の認証やパスワードの運用にどう関わるのかは、調べ始めると版（バージョン）の違いや専門用語の多さで全体像がつかみにくいものです。
NIST SP 800-63 は、米国国立標準技術研究所（NIST）が発行するデジタルアイデンティティ（電子的な身元確認・認証・フェデレーション）の技術ガイドラインです。
2017年公開の第3版（63-3）は、2025年に全面改訂された第4版（63-4）に置き換えられ、パスワードの定期変更や複雑性の強制をやめる方向や、パスキー・フィッシング耐性のある多要素認証の位置づけなど、実務に直結する内容が更新されました。
本記事では、NIST SP 800-63 の全体像（発行元と4巻構成、IAL・AAL・FAL の3つの保証レベル）をまず整理し、現行版の見方を確認します。そのうえで、最新版 63-4 のパスワード要件・パスキーの扱いを解説します。最後に、自社の認証・パスワードポリシーを見直す際の考え方と、要件を満たす多要素認証の製品・セキュリティキーの選び方をまとめます。
目次
一括ダウンロードする
NIST SP 800-63とは｜米国NISTのデジタルアイデンティティ・ガイドライン
NIST SP 800-63 は、米国国立標準技術研究所（NIST：National Institute of Standards and Technology）が発行する「デジタルアイデンティティ・ガイドライン（Digital Identity Guidelines）」です。
オンラインで利用者の身元を確認し、本人であることを認証し、その認証結果を複数のシステム間で連携（フェデレーション）するための技術要件を定めています。もともと米国の連邦政府機関向けの技術ガイドラインですが、認証設計の実務的な基準として、民間企業や日本でも参照されています。
出典・参考資料（1件）
全体構成の地図｜63本体・63A・63B・63C と IAL／AAL／FAL の対応
NIST SP 800-63 は1冊の文書ではなく、全体をまとめる本体と、工程別に3冊を加えた計4巻で構成されます。それぞれの巻が、身元確認・認証・フェデレーションという工程を担い、工程ごとに「どこまで信頼できるか」を示す保証レベル（IAL／AAL／FAL）が対応します。まずこの対応関係を押さえると、個別の要件がどの工程の話なのかを迷わず読めます。
| 巻（現行 63-4） | 担当する工程 | 対応する保証レベル |
|---|---|---|
| SP 800-63-4（本体） | デジタルアイデンティティ全体の枠組み・リスク管理 | — |
| SP 800-63A-4 （Identity Proofing and Enrollment） | 身元確認と登録（利用者が実在し、その本人かを確かめる） | IAL（身元確認の保証レベル） |
| SP 800-63B-4 （Authentication and Authenticator Management） | 認証と認証手段の管理（パスワード・多要素認証・パスキーなど） | AAL（認証の保証レベル） |
| SP 800-63C-4 （Federation and Assertions） | フェデレーションとアサーション（認証結果の安全な連携） | FAL（フェデレーションの保証レベル） |
英語の略語がそのまま使われるため戸惑いやすいのですが、IAL は Identity Assurance Level（身元確認）、AAL は Authentication Assurance Level（認証）、FAL は Federation Assurance Level（フェデレーション）の頭文字です。
自社で「パスワードポリシーを見直したい」という場合は、認証を扱う 63B（AAL）が主に関わる巻になります。
出典・参考資料（2件）
最新版はどれか｜63-3から63-4への改訂と版の見方
NIST SP 800-63 を調べると、2017年の第3版（63-3）と2025年の第4版（63-4）、さらに日本語訳のPDFが混在して出てきます。どれを見ればよいか迷いますが、結論として、現行版は 63-4 です。NIST の第3版のページには、第3版が2025年8月1日付で第4版に置き換えられた（superseded）と明記されています。
This revision of NIST SP 800-63 has been superseded by NIST SP 800-63-4 as of August 1, 2025. Please refer to those documents for the current guidelines.
出典：NIST SP 800-63-3 Digital Identity Guidelines｜NIST
版の公開時期について「2025年7月」と「2025年8月」の両方の表記を見かけますが、これは別々の事実を指しており、どちらも誤りではありません。第4版そのものが発行されたのは2025年7月で、NIST は公式ページで「In July 2025, NIST released the final version of SP 800-63, Revision 4.」と記しています。
一方で、旧第3版が第4版に置き換えられる効力が生じた日付が2025年8月1日です。記事や資料によって、発行月を指すか置換日を指すかで表記が分かれています。
第3版は2017年6月の初版公開後、2017年12月（update 1）・2020年3月（update 2）の編集上の更新を経ています。日本語で全文訳が公開されているのは、情報処理推進機構（IPA）による「電子認証に関するガイドライン」ですが、これは2006年の Version 1.0.2 という、現在の IAL／AAL／FAL 体系より前の単一文書版の翻訳です。
現行の 63-4 に公式な日本語正文は存在しないため、最新の要件を確認する際は英語の原文を正本として参照する必要があります。
出典・参考資料（3件）
63-4 で何が変わったか（主要変更点の概観）
第4版で最も大きいのは、全体をまとめる本体（SP 800-63-4）の考え方の変化です。要件を形式的に満たすこと（コンプライアンス重視）よりも、各機関が自らのリスクを評価して保証レベルを選ぶ考え方を前面に出しました。
必要に応じて補完的な管理策で調整（テーラリング）するこの進め方を「デジタルアイデンティティ・リスク管理（DIRM）」と呼びます。保証レベルは、そこから出発するための基本の管理策セットと位置づけられました。
そのうえで、認証（63B）に関する主な変更点は、原文の変更ログ（Change Log）で確認できます。実務に影響が大きいのは次のような点です。
- 従来「memorized secret（記憶シークレット）」と呼んでいた用語を「password（パスワード）」に改称した
- 単一の認証要素として使うパスワードの最小文字数を15文字に引き上げた（多要素認証の一部として使う場合は8文字以上、最大長は64文字以上を許容すべきとした）
- 同期可能な認証器（いわゆるパスキー）の要件を追加した
- フィッシング耐性のある認証器の定義を追加・更新した
- 最上位の認証保証レベル（AAL3）で、秘密鍵をエクスポートできない認証器を求めるようにした
それぞれの具体的な内容は、次章以降の保証レベル・パスワード要件・パスキーの各節で詳しく見ていきます。
認証（63B）以外の巻でも、実務に関わる更新があります。身元確認を扱う 63A-4 では、遠隔での本人確認になりすまそうとする攻撃に備える要件が新たに加わりました。具体的には、ディープフェイクや偽造・加工した映像を見抜く検知（forged media detection）と、撮影機器とシステムの間に偽の映像を割り込ませるインジェクション攻撃（digital injection）への対策です。
フェデレーションを扱う 63C-4 では、利用者が自分の端末のウォレットで属性情報を持ち運ぶ「利用者管理型ウォレット（subscriber-controlled wallet）」のモデルが新設されました。検証可能なクレデンシャル（Verifiable Credentials）などの技術を用いて、署名付きの属性情報を安全にやり取りする連携が想定されています。
出典・参考資料（4件）
- 出典：NIST SP 800-63-4 Digital Identity Guidelines（リスクベースのアプローチ／DIRM）｜NIST
- 出典：NIST SP 800-63A-4 Identity Proofing and Enrollment（Change Log／Digital Injection Prevention and Forged Media Detection）｜NIST
- 出典：NIST SP 800-63B-4 Authentication and Authenticator Management（Change Log）｜NIST
- 出典：NIST SP 800-63C-4 Federation and Assertions（Change Log／subscriber-controlled wallet model）｜NIST
保証レベル IAL・AAL・FAL とは｜レベル別要件一覧
NIST SP 800-63 の中心にある考え方が、3つの保証レベルです。身元確認（IAL）・認証（AAL）・フェデレーション（FAL）のそれぞれを独立したレベルで評価し、サービスのリスクに応じて必要なレベルを選びます。ここでは各レベルが何を要求するのかを整理します。
IAL（身元確認の保証レベル／63A）
IAL は、利用者が「実在する本人であること」をどの程度確かめたかを示すレベルです。63A-4 は最下位を「No identity proofing（身元確認なし）」とし、そのうえに IAL1〜3 を定めています。
| レベル | 求められること |
|---|---|
| No identity proofing（身元確認なし） | 特定の実在人物に結び付ける要件がなく、証拠の収集も本人確認も行わない |
| IAL1 | 主張された身元が実在することを裏づけ、申請者がその身元に結び付いているという一定の保証を与える。主要な属性を信頼できる情報源と突き合わせて検証する |
| IAL2 | 追加の証拠収集と、より厳格な証拠検証・本人確認のプロセスを求める。提示された証拠の正当な持ち主であることを確認する手順が強化される |
| IAL3 | 訓練を受けた CSP（資格情報サービス提供者）の担当者が対面で申請者とやり取りし、少なくとも1つの生体情報を収集することを求める |
AAL（認証の保証レベル／63B）
AAL は、ログイン時に「確かに本人が認証手段を操作している」とどの程度確信できるかを示すレベルです。自社のログイン方式を見直すうえで最も関わるのがこの AAL です。
| レベル | 求められること |
|---|---|
| AAL1 | 認証手段を本人が操作しているという基本的な確信を与える。単要素または多要素の認証を、幅広い技術のなかから使える |
| AAL2 | 高い確信を与える。安全な認証プロトコルを用いて、2つの異なる認証要素の所持と制御を証明することが求められる。検証側は AAL2 で少なくとも1つのフィッシング耐性のある認証手段を提供しなければならない（SHALL） |
| AAL3 | 非常に高い確信を与える。エクスポートできない秘密鍵を持ち、フィッシング耐性を備えた暗号認証器の使用が求められる |
出典・参考資料（1件）
FAL（フェデレーションの保証レベル／63C）
FAL は、ある ID 基盤で認証した結果を別のサービスへ安全に伝える「フェデレーション」の保護の強さを示すレベルです。SSO（シングルサインオン）や外部 ID 連携を設計するときに関わります。
| レベル | 求められること |
|---|---|
| FAL1 | フェデレーション取引に基本的な保護を与え、幅広いユースケースと構成を許容する |
| FAL2 | 連携システムへの各種攻撃（取引へのアサーション注入の試みを含む）への追加保護を求め、高い保護を与える |
| FAL3 | 非常に高い保護を与える。連携取引で伝えられる情報が CSP・IdP（ID プロバイダー）で確立したものと一致しているという非常に高い確信を確立する。利用側（RP）は、アサーションに加えて利用者が認証器を制御していることを検証する |
これらのレベルは、サービスのリスクに応じて組み合わせて選びます。どのレベルを目指すかの具体的な考え方は、後述の「自社の認証・パスワードポリシーをどう見直すか」で扱います。ただし、特定のサービスやカードがどのレベルに該当するかの当てはめは、NIST の原文が個別製品を格付けしているわけではないため、各社の要件と照らし合わせて自社で判断する必要があります。
パスワード要件（63B）の最新ルール｜定期変更・複雑性の廃止と長さ重視
自社のパスワードポリシーを見直すうえで最も実務に効くのが、63B が定めるパスワード（第3版までは「記憶シークレット」と呼ばれていた要素）の要件です。第4版では、従来一般的だった「複雑性の強制」や「定期変更の強制」をやめ、「長さ」と「漏えいの有無」を重視する方向が規範として示されています。
禁止になったこと（してはならない）
63B-4 は、次の2点を「SHALL NOT（してはならない）」という強い規範で定めています。英数字・記号の混在といった複雑性ルールの強制と、定期的なパスワード変更の強制です。ただし、認証手段が侵害された証拠がある場合は、検証側が変更を強制しなければならない（SHALL）とされています。
出典：NIST SP 800-63B-4 §3.1.1.2 Password Verifiers｜NIST
- Verifiers and CSPs SHALL NOT impose other composition rules (e.g., requiring mixtures of different character types) for passwords.
- Verifiers and CSPs SHALL NOT require subscribers to change passwords periodically. However, verifiers SHALL force a change if there is evidence that the authenticator has been compromised.
必須・推奨になったこと
複雑性や定期変更に代わって重視されるのが、パスワードの長さと、漏えい済みパスワードの排除です。長さについては、単一要素として使うパスワードは最低15文字を求めています（SHALL）。多要素認証の一部として使う場合は短くしてもよい（MAY）とされていますが、その場合も最低8文字が必須です（SHALL）。最大長は64文字以上を許容すべき（SHOULD）とされています。
これらの長さの要件は、新しくパスワードを設定・変更するときに適用されるもので、既存のパスワードを一斉に作り直させることを求めるものではありません。
出典：NIST SP 800-63B-4 §3.1.1.2 Password Verifiers｜NIST
- Verifiers and CSPs SHALL require passwords that are used as a single-factor authentication mechanism to be a minimum of 15 characters in length. Verifiers and CSPs MAY allow passwords that are only used as part of multi-factor authentication processes to be shorter but SHALL require them to be a minimum of eight characters in length.
- Verifiers and CSPs SHOULD permit a maximum password length of at least 64 characters.
加えて、新しいパスワードを設定・変更する際には、よく使われるパスワード・推測されやすいパスワード・漏えい済みパスワードを集めたブロックリストと照合することが必須（SHALL）とされています。63B-4 が挙げる例は、過去の漏えいデータ、辞書に載っている単語、サービス名やユーザー名などの文脈依存の語です。
漏えいパスワードの照合サービスとしては「Have I Been Pwned」などが知られていますが、これは一例であり、NIST が特定のサービスを指定しているわけではありません。
利便性の面では、パスワードマネージャーの利用を許可しなければならない（SHALL）とされ、貼り付け（ペースト）機能も許可すべき（SHOULD）とされています。長く複雑なパスワードを安全に扱うための運用を妨げない方向です。
自社のポリシーで「定期変更を義務化している」「記号混在を必須にしている」「貼り付けを禁止している」といった設定が残っていれば、63B-4 の方向とずれている箇所として見直しの候補になります。
長く複雑なパスワードを現実的に運用するうえで欠かせないのがパスワードマネージャーですが、「かえって情報漏えいの入り口にならないか」と不安視されることもあります。企業で使う際の安全性の考え方と選び方は、以下の記事で解説しています。
パスワード管理アプリ（パスワードマネージャー）は危険？企業が知るべき管理アプリの安全性と正しい選び方
「パスワードマネージャーは本当に安全？」「アプリで管理する方が危険では？」と不安に感じる方もいるでしょう。ですが、信頼できる製品を選び、正しく運用すれば安全性と効果の高い手段です。実際、サイバーセキュリティの専門家や政府機関も、安全なパスワ…
パスキー・フィッシング耐性MFA の位置づけ｜同期可能認証器=AAL2・セキュリティキー=AAL3
第4版では、パスキー（同期可能な認証器）やフィッシング耐性のある多要素認証が、保証レベルのなかに明確に位置づけられました。どの手段がどのレベルに対応するかを理解すると、自社が目指すレベルに合った認証方式を選べます。
一般にパスキーと呼ばれるものは、63B-4 では「同期可能な認証器（syncable authenticators）」として扱われます。これらの多くは W3C の WebAuthn 仕様にもとづいており、認証用の鍵をクラウドの同期基盤（sync fabric）で管理できます。
63B-4 の付録 B（規範＝normative）は、WebAuthn ベースの同期可能認証器が AAL2 の要件をどのように満たすかを示しており、パスキーは AAL2 での利用が想定されています。
一方、最上位の AAL3 では扱いが異なります。AAL3 で使う暗号認証器は、秘密鍵をエクスポートできず（non-exportable）、フィッシング耐性を備えていなければならない（SHALL）とされています。同期可能認証器は秘密鍵をエクスポートできる設計のため、AAL3 には使えない（SHALL NOT）と明記されています。
したがって、AAL3 を満たすには、デバイスに固定された（デバイスバウンドの）物理的なセキュリティキーなどが必要になります。「パスキー＝AAL2、デバイスバウンドのセキュリティキー＝AAL3」という対応は、この2つの規定にもとづくものです。
AAL3 で求められる「デバイスバウンドのセキュリティキー」とは具体的にどのような認証器なのか、種類や仕組み・選び方を詳しく知りたい場合は、以下の記事で解説しています。
一括ダウンロードする
自社の認証・パスワードポリシーをどう見直すか
ここまでの内容を自社に当てはめると、見直しは大きく2つの方向になります。1つはパスワードポリシーの更新で、定期変更・複雑性の強制をやめ、長さの下限と漏えいリスト照合へ切り替える方向です。もう1つは認証方式の強化で、どのシステムにどのレベル（AAL2 か AAL3 か）を求めるかを決め、それに合う多要素認証を導入する方向です。
レベルの割り当ては、その業務で認証が破られたときの影響の大きさで考えると整理しやすくなります。一般的な業務システムは、なりすましによる情報の閲覧・操作のリスクに備えて AAL2（フィッシング耐性のある多要素認証やパスキー）が目安となります。管理者権限や機微なデータを扱う業務は、破られたときの影響が大きいため AAL3（デバイスバウンドのセキュリティキー）の検討が必要になります。
自社のパスワードポリシーは、たとえば次の順で見直すと進めやすくなります。
- 現行の設定を棚卸しします（文字数の下限、定期変更の義務、複雑性ルール、貼り付けの可否、漏えいパスワード照合の有無）
- 63B に合わせて書き換えます（定期変更と複雑性の強制を外し、単要素は15文字・多要素の一部は8文字の下限に、漏えいパスワードのブロックリスト照合を有効化し、パスワードマネージャーと貼り付けを許可する）
- システムごとに目指す保証レベル（AAL2 か AAL3 か）を決め、それに合う多要素認証・パスキー・セキュリティキーを割り当てます
認証方式の強化を具体的に進めるなら、NIST の保証レベルという切り口にとどまらず、各サービスの認証方式・料金・提供形態をタイプ別に比較しておくと選定の見通しが立てやすくなります。多要素認証（MFA）システム全体の選び方は、以下の記事でまとめています。
多要素認証（MFA）システムおすすめ17選を徹底比較｜認証方式・料金・タイプ別の選び方
ID とパスワードだけのログインは、もはや「鍵をかけていない」のと同じ状態に近づいています。攻撃者は流出したパスワードのリストを使い回し、本物そっくりの偽サイトで認証情報を抜き取り、正規利用者になりすまして社内システムやクラウドサービスへ侵…
ここからは、実際に製品を選ぶ段階に向けた内容です。規格の全体像と自社の見直しの方向性を押さえることが目的なら、ここまでで要点はつかめます。
認証方式を強化する際は、自社が目指す保証レベルを満たせる製品かどうかが選定の起点になります。以下では、AAL2 に対応するフィッシング耐性のある多要素認証・パスキーや、AAL3 に対応するデバイスバウンドのセキュリティキー・証明書認証を提供する主なサービスを、対応する認証方式とあわせて比較します。
| サービス名 | CloudGate UNO | YubiKey as a Service | Okta（Workforce Identity Cloud） | Microsoft Entra ID | Cisco Secure Access by Duo | トラスト・ログイン byGMO | RSA ID Plus（SecurID） | Entrust Identity | Soliton OneGate |
|---|---|---|---|---|---|---|---|---|---|
| 提供会社 | 株式会社インターナショナルシステムリサーチ | 株式会社インターナショナルシステムリサーチ | Okta, Inc. | Microsoft Corporation | シスコシステムズ合同会社 | GMOグローバルサイン株式会社 | RSA Security LLC | Entrust Corporation | 株式会社ソリトンシステムズ |
| 対応する保証レベルの目安 | AAL2 が中心 （パスキー標準。物理キー併用も可） | AAL3 向き （デバイス束縛の物理キー） | AAL2 が中心 （FastPass・FIDO2。物理キーも対応） | AAL2〜AAL3 （パスキー＝AAL2／FIDO2 キーは規制業界・特権向け） | AAL2 が中心 （フィッシング耐性MFA。セキュリティキーも対応） | AAL2 （パスキー、SSOプロで提供） | AAL2〜AAL3 （iShield Key 2 は FIPS 140-3 Lv3・AAL3 相当と公式明示） | AAL2〜AAL3 （パスキー＝AAL2／PKI証明書・スマートカードで高保証） | AAL2 が中心 （証明書＋FIDO2。ネットワーク認証に強い） |
| フィッシング耐性MFAの方式 | パスキー/FIDO2（全プラン無制限）、物理セキュリティキー（YubiKey 等） | FIDO2/WebAuthn の物理セキュリティキー（秘密鍵をデバイス内保持） | FIDO2/WebAuthn・パスキー、Okta FastPass（デバイス束縛鍵） | パスキー（FIDO2）、FIDO2 セキュリティキー、Windows Hello for Business | FIDO2/WebAuthn・パスキー、Verified Duo Push、セキュリティキー | パスキー認証（FIDO2。有料の SSOプロプラン） | FIDO2/パスキー、FIDO2 キー DS100、iShield Key 2 | FIDO2/パスキー、PKI証明書・スマートカード/USBトークン、モバイルスマートクレデンシャル | デジタル証明書（クライアント証明書）、FIDO2/WebAuthn |
| 主な認証方式 | パスキー/FIDO2、生体（Windows Hello・Touch ID/Face ID）、OTP、認証アプリ | FIDO2/WebAuthn、FIDO U2F、PIV、OpenPGP、OATH（TOTP） | Okta Verify（プッシュ/生体）、FastPass、FIDO2/WebAuthn、スマートカード（PIV）、OTP、SMS/音声/メール | Authenticator（プッシュ/番号一致）、パスキー（FIDO2）、Windows Hello、証明書ベース認証、OATH トークン、SMS/音声 | Duo Push/Verified Push、FIDO2・パスキー、生体、OTP、電話・SMS、ハードウェアトークン | アプリ型OTP/メールOTP、パスキー（FIDO2）、プッシュ通知、デスクトップSSO、顔認証 | ハードウェアトークン、プッシュ、生体、FIDO2/パスキー、OTP（SMS・音声）、QRコード | OTP、プッシュ、FIDO2/パスキー、PKI証明書、スマートカード/USBトークン、AI顔認証、グリッドカード | デジタル証明書、FIDO2/WebAuthn、スマホ認証、顔認証、ICカード、パスワード |
| 提供形態 | クラウド（IDaaS） | 物理セキュリティキー（サブスクリプション） | クラウド（IDaaS） | クラウド（IAM/IDaaS） | クラウド（SaaS） | クラウド（IDaaS） | クラウド/ハイブリッド/オンプレミス | クラウド（IDaaS）/オンプレ（Identity Enterprise） | クラウド（IDaaS） |
| 詳細情報 | 公式資料を見る | 公式資料を見る | サービス詳細を見る | サービス詳細を見る | サービス詳細を見る | サービス詳細を見る | サービス詳細を見る | サービス詳細を見る | サービス詳細を見る |
※保証レベル（AAL2/AAL3）の当てはめは、NIST SP 800-63B-4 の規定（同期可能な認証器＝AAL2／秘密鍵をエクスポートできないデバイス束縛の認証器＝AAL3）を物差しに、各製品が公式情報で示す認証方式から整理した目安です。NIST の原文が個別製品を格付けしているわけではないため、自社の要件と各社の最新情報を照らして判断してください。対応方式・提供形態は2026年11月時点の各社公式情報にもとづきます。
1. CloudGate UNO（株式会社インターナショナルシステムリサーチ）
CloudGate UNO は、国産ベンダーのインターナショナルシステムリサーチ（ISR）が自社開発するクラウド型の ID 基盤（IDaaS）です。SSO・多要素認証・アクセス制限・ID 管理を1つにまとめ、FIDO2 準拠のパスキーによるパスワードレス認証に対応します。ISR は2019年に FIDO2 準拠のパスワードレス認証を提供開始し、FIDO2 認定も取得しています。
パスキー認証を全プラン・全ユーザーで追加費用なく使える点が特徴で、AAL2 に沿ったフィッシング耐性のある認証を標準機能として導入できます。
パスワードレス認証への切り替えが実務にもたらす変化について、CloudGate UNO を提供するインターナショナルシステムリサーチの平澤氏は、次のように述べています。
導入と同時にパスワードレス認証に切り替えた企業では、IT部門の業務の約20%を占めていたパスワード関連のヘルプデスク業務が「0%」になったという事例があります。
2. YubiKey as a Service（株式会社インターナショナルシステムリサーチ）
YubiKey as a Service は、Yubico 社の物理セキュリティキー「YubiKey」を法人向けにサブスクリプション型で提供するサービスで、ISR が国内で取り扱っています。ハードウェアトークン型の多要素認証で、秘密鍵と PIN がデバイス内にとどまり外部に送信されないため、フィッシングに強い認証を実現します。
FIDO2／WebAuthn や FIDO U2F に対応し、デバイスに固定された鍵を用いる方式のため、最上位の AAL3 を目指す場面に向く選択肢です。キーの調達・予備キー・サポートまでをサービスとして受けられます。
物理セキュリティキーが SMS 認証や認証アプリと比べてどのような性質を持つかについて、同サービスを取り扱うインターナショナルシステムリサーチの内田氏は、次のように説明します。
3. Okta（Workforce Identity Cloud）（Okta, Inc.）
Okta Workforce Identity Cloud は、従業員や委託先など「働く人」の ID を管理するクラウド型 IDaaS です。SSO と多要素認証（アダプティブ MFA を含む）を軸に、FIDO2／WebAuthn やハードウェアセキュリティキー、パスキーに対応します。
独自のパスワードレス認証「Okta FastPass」は、デバイスにひも付いた暗号鍵と生体認証・PIN を用い、メールや SMS 経由のフィッシングに耐性を持たせた認証を提供します。幅広い認証方式をポリシーで制御でき、AAL2 を満たすフィッシング耐性認証を柔軟に設計できます。
4. Microsoft Entra ID（Microsoft Corporation）
Microsoft Entra ID（旧 Azure AD）は、Microsoft 365 や Azure の認証基盤を担うクラウド型の ID・アクセス管理プラットフォームです。
多要素認証（Microsoft Entra MFA）として、Authenticator のプッシュ通知（番号一致）・パスキー（FIDO2）・Windows Hello for Business・証明書ベース認証・FIDO2 セキュリティキーなどに対応します。
公式は、同期パスキーを従来の SMS・認証アプリに代わる利便性の高い手段と位置づけ、FIDO2 セキュリティキーは高度に規制された業界や特権ユーザー向けに推奨しています。Windows 環境との親和性が高く、既存の Microsoft 製品群とあわせて AAL2〜AAL3 相当の認証を構成しやすい点が特徴です。
5. Cisco Secure Access by Duo（シスコシステムズ合同会社）
Cisco Secure Access by Duo は、もともと Duo Security が開発し2018年に Cisco が買収したクラウド型のアクセスセキュリティサービスです。ユーザーとデバイスにゼロトラストの考え方を適用し、公式は「フィッシング耐性のある MFA」として位置づけています。
Duo Push や Verified Duo Push に加え、FIDO2／WebAuthn・パスキー・生体認証・セキュリティキーなど多彩な認証方式に対応し、AAL2 に沿った認証を幅広い方式から選べます。既存システムへの多要素認証の後付けにも使われます。
6. トラスト・ログイン byGMO（GMOグローバルサイン株式会社）
トラスト・ログイン byGMO は、GMOグローバルサインが提供する企業向けクラウド型 ID 管理サービス（IDaaS）です。SSO・ID 管理・多要素認証・アクセス制限を中核とし、基本機能を無料プランから使える点が訴求の柱です。パスキー認証（FIDO2）を含むパスワードレス機能は、有料の SSOプロプラン（300円／ID／月、税抜）で提供されます。
SSO と組み合わせることで、一度のパスキー認証で登録済みの社内 SaaS にアクセスでき、AAL2 に沿った認証を無料プランから段階的に強化していけます。
7. RSA ID Plus（SecurID）（RSA Security LLC）
RSA ID Plus は、ハードウェアトークンによるワンタイムパスワード認証を源流とする多要素認証製品です。現在は「RSA Unified Identity Platform」として、認証・アクセス管理・アイデンティティガバナンスを統合する製品群に再編されています。
FIDO2／パスキー・生体認証・モバイルプッシュ・OTP に対応し、FIDO2 機能を統合したハードウェアトークン「DS100」も用意されています。クラウド・ハイブリッド・オンプレミスの提供形態を選べ、AAL2 のフィッシング耐性認証から、ハードウェアトークンを使う高保証の認証まで対応できます。
8. Entrust Identity（Entrust Corporation）
Entrust は、1994年に商用の PKI（公開鍵基盤）を構築した米国企業で、認証製品として Entrust Identity as a Service（IDaaS）と Entrust Identity Enterprise を提供します。
OTP・モバイルプッシュ・FIDO2／パスキー・AI 顔認証といった幅広い方式に加え、PKI にもとづく証明書認証やスマートカードなど高保証の認証方式を単一ベンダーで扱える点が特徴です。クラウド時代のパスキーと、証明書ベースの高保証認証を組み合わせられるため、AAL2 から AAL3 相当の高保証まで、要件に応じて設計できます。
9. Soliton OneGate（株式会社ソリトンシステムズ）
Soliton OneGate は、ソリトンシステムズが提供する国産の IDaaS で、デジタル証明書（クライアント証明書）による多要素認証を軸に、SSO と ID 管理を組み合わせます。認証局（CA）機能を標準搭載し、クライアント証明書の発行・配布・失効管理を1製品で完結できる点が特徴です。
証明書認証に加えて FIDO2／WebAuthn・スマートフォン認証・顔認証・IC カード認証を組み合わせられ、公開鍵暗号方式を用いた認証でフィッシングや認証情報の窃取を防ぎます。社内システム・クラウド・VPN・Wi-Fi の認証を一元管理したい場合に向きます。
まとめ
NIST SP 800-63 は、米国 NIST が発行するデジタルアイデンティティのガイドラインで、身元確認（63A／IAL）・認証（63B／AAL）・フェデレーション（63C／FAL）の3工程を、工程ごとの保証レベルで評価する枠組みです。現行版は2025年に発行された第4版（63-4）で、旧第3版は2025年8月1日付で置き換えられています。
認証（63B）では、パスワードの定期変更・複雑性の強制をやめ、長さの下限（単要素は15文字、多要素の一部は8文字）と漏えいリスト照合を重視する方向が規範として示されました。パスキー（同期可能な認証器）は AAL2、秘密鍵をエクスポートできないデバイスバウンドのセキュリティキーは AAL3 に対応します。
自社のポリシーをこの内容に照らして見直し、目指す保証レベルに合う多要素認証を選ぶことが、現実的な次の一歩になります。現行要件は英語の原文が正本となるため、詳細を確認する際は NIST 公式を参照してください。
一括ダウンロードする
よくある質問（FAQ）
Q. NIST SP 800-63とは何ですか？
A. NIST SP 800-63とは、米国国立標準技術研究所（NIST）が発行する、オンラインでの身元確認・認証・フェデレーションを対象としたデジタルアイデンティティの技術ガイドラインです。もともと米国の連邦政府機関向けに作られた文書ですが、認証設計の実務的な基準として民間企業や日本でも広く参照されています。
全体をまとめる本体に、工程別の63A（身元確認）・63B（認証）・63C（フェデレーション）を加えた計4巻で構成され、工程ごとにIAL・AAL・FALという保証レベルを定めています。
Q. NIST SP 800-63は63-3と63-4のどちらを見ればよいですか？
A. これから内容を確認するなら、現行版である第4版（63-4）を見れば十分です。第3版（63-3）は2025年8月1日付で63-4に置き換えられた（superseded）と、NISTの公式ページに明記されています。
63-4そのものが発行されたのは2025年7月で、「2025年7月」と「2025年8月」という表記は、発行月と旧版の置換日という別々の事実を指しており、どちらも誤りではありません。
出典・参考資料（2件）
Q. NIST SP 800-63に日本企業も従う義務はありますか？
A. NIST SP 800-63は米国の連邦政府機関向けに作られた技術ガイドラインであり、日本企業に対する法的な強制力はありません。そのため、日本企業にとって「いつから対応が必須」という期限が定められているわけでもありません。ただし、認証やパスワード運用の実務的な基準として国内外で広く参照されており、自社の認証・パスワードポリシーを見直す際の指針として活用できます。
Q. NIST SP 800-63に日本語の公式正文はありますか？
A. 現行の63-4について、NISTが発行する公式な日本語の正文は存在しません（NISTは英語でのみ発行しています）。日本語で全文訳が公開されているのは情報処理推進機構（IPA）の「電子認証に関するガイドライン」ですが、これは2006年のVersion 1.0.2という、現在のIAL／AAL／FAL体系より前の旧版の翻訳です。
最新の要件を確認する際は、英語の原文を正本として参照する必要があります。
出典・参考資料（2件）
Q. NIST SP 800-63ではSMS認証はもう使えないのですか？
A. SMSや音声通話（PSTN経由）を使った認証は、63B-4では「禁止」ではなく「制限付き（restricted）」の扱いで、引き続き使うことはできます。ただし制限付きの認証手段を使う場合は、CSP（資格情報サービス提供者）がそのリスクを利用者に通知し、制限のない代替手段を提供するといった要件を満たす必要があります。
より強い認証を求める場面では、パスキーやセキュリティキーなどフィッシング耐性のある方式への移行が推奨されます。
Q. NIST SP 800-63Bに従うと、パスワードの定期変更はやめるべきですか？
A. 63B-4は、パスワードの定期的な変更を利用者に強制してはならない（SHALL NOT）と定めています。あわせて、記号や大文字小文字の混在といった複雑性ルールの強制も禁止されました。代わりに重視されるのは、長さ（単一要素として使う場合は最低15文字）と、漏えい済みパスワードの照合です。
ただし、認証手段が侵害された証拠がある場合は、検証側が変更を強制しなければならない（SHALL）とされています。
出典・参考資料（1件）
多要素認証（MFA）システムの料金・資料を一括チェック
MCB FinTechカタログでは、NIST SP 800-63 の AAL2／AAL3 要件に対応する多要素認証・パスキー・セキュリティキーの最新資料を無料で一括請求できます。対応する認証方式・料金・提供形態を横並びで比較できます。
一括ダウンロードする
MCB FinTechカタログに掲載しませんか？
MCB FinTechカタログでは、掲載企業様を募集しています。マネックスグループの金融実務ノウハウを活かした独自の評価軸と検索設計により、導入検討者が最適なサービスを効率的に発見できる法人向け比較プラットフォームです。掲載後は管理画面から料金表や導入事例を随時更新でき、常に最新の情報を訴求可能。まずは下記フォームより、お気軽にお問い合わせください。
マネックス証券 フィナンシャル・インテリジェンス部 暗号資産アナリスト
松嶋真倫
監修の範囲は記事の一般的な解説部分であり、比較表および各製品・サービスの紹介内容は監修の対象外です。
