NIST SP 800-63-4とは？第3版からの変更点とパスワード・パスキー要件をわかりやすく解説

「NISTが2025年にSP 800-63を第4版へ改訂した」と聞き、自社のパスワードポリシーや多要素認証の方針を見直すべきか気になっている方は多いはずです。SP 800-63（デジタルアイデンティティガイドライン）は米国政府機関向けの規格ですが、パスワードや認証の実務標準として民間企業でも広く参照されています。

第4版（SP 800-63-4）は2025年7月に最終化され、第3版（SP 800-63-3、2017年）を正式に置き換えました。気になるのは、第3版から「何が」「どう」変わり、自社の「8文字以上・記号必須・90日ごとに変更」といった現行ルールが今の標準に合っているのか、という点ではないでしょうか。

本記事では、第3版から第4版への変更点を新旧対照で整理します。あわせて、パスワード要件の具体値（最低文字数・複雑性・定期変更）と、同期可能なパスキーがどの認証保証レベル（AAL）で使えるのかを、確定版の原典（巻・セクション番号）にもとづいて解説します。読んだ情報がドラフトではなく確定版（2025年7月）にもとづくことを確かめながら、自社の見直しの判断材料としてご活用ください。

NIST SP 800-63-4とは｜第3版からどう変わったか

ここからは、SP 800-63-4の位置づけと、第3版からの主な変更点を新旧対照で確認します。まず前提として、第4版が確定版であることとその構成を押さえ、次に変更点を一覧で見ていきます。

SP 800-63-4は2025年7月に確定した第4版（4分冊構成）

NIST SP 800-63（National Institute of Standards and Technology／米国国立標準技術研究所が発行するデジタルアイデンティティガイドライン）の第4版は、2025年7月に最終版として公開されました。第3版（SP 800-63-3、2017年）を正式に置き換える位置づけで、原典の要約には次のように明記されています。

This publication supersedes NIST Special Publication (SP) 800-63-3.（本書はNIST SP 800-63-3を置き換える）

出典：NIST SP 800-63-4, Digital Identity Guidelines（基幹巻）Abstract｜NIST（2025年7月）

第4版は、総論にあたる基幹巻（SP 800-63-4）と、身元確認（SP 800-63A-4）・当人認証（SP 800-63B-4）・フェデレーション（SP 800-63C-4）の領域別3巻を合わせた4分冊で構成されます。パスワードやパスキーの要件は SP 800-63B-4 にあります。どの巻に何が書かれているかは、本記事の後半であらためて整理します。

NISTは正式版の公開前に意見募集用のドラフト（ipd・2pd）を複数回公開してきました。参照している情報が確定版か途中のドラフトかで内容が異なる場合があるため、本記事では2025年7月に最終化された確定版（DOIに「ipd」「2pd」の付かない版）の原文にもとづいて解説します。

出典・参考資料（1件）

• 出典：NIST SP 800-63-4 Digital Identity Guidelines（基幹巻）｜NIST（2025年7月）

第3版（800-63-3）から第4版（800-63-4）への新旧対照表

第4版での主な変更点を、項目ごとに第3版と対比して整理します。各行の根拠となる巻・セクションは、原典の変更ログ（基幹巻 Appendix C、SP 800-63B-4 Appendix E）で確認できます。

この中でも、自社の運用に直接影響するのはパスワード要件と、パスキー・フィッシング耐性認証のAALの扱いです。次章以降でそれぞれを具体値とともに掘り下げます。

出典・参考資料（1件）

• 出典：NIST SP 800-63-4 基幹巻 Appendix C Change Log｜NIST

出典・参考資料（1件）

• 出典：NIST SP 800-63B-4 Appendix E Change Log｜NIST

パスワード（記憶シークレット）要件はどう変わったか

ここからは、第4版のパスワード要件を具体値で確認します。自社の現行ルールと照らし合わせられるよう、文字数・複雑性・定期変更・その他の運用要件の順に、原文の規範（SHALL／SHALL NOT）とともに見ていきます。

最低文字数は「単一要素なら15文字・多要素の一部なら8文字」

第4版でまず押さえたいのが最低文字数です。パスワードだけで認証する（単一要素の）場合は最低15文字が必須とされ、多要素認証の一要素として使う場合に限り最低8文字まで許容されます。原文では、検証側（verifier）とCSP（資格情報サービス提供者）への要件が次のように示されています。

Verifiers and CSPs SHALL require passwords that are used as a single-factor authentication mechanism to be a minimum of 15 characters in length. Verifiers and CSPs MAY allow passwords that are only used as part of multi-factor authentication processes to be shorter but SHALL require them to be a minimum of eight characters in length.

Verifiers and CSPs SHOULD permit a maximum password length of at least 64 characters.

出典：NIST SP 800-63B-4 §3.1.1.2 Password Verifiers｜NIST

第3版の「最低8文字」を前提に自社ルールを作っている場合、ここは注意が必要です。15文字は「推奨」ではなく、パスワード単独で認証する場合の必須の下限（SHALL）として示されています。

多要素認証と組み合わせる前提であれば8文字まで下げられる、という二段構えで理解すると正確です。最大長についても「64文字まで」ではなく「少なくとも64文字は許容すべき（SHOULD）」とされ、長いパスフレーズを受け付けられるようにする方向です。

複雑性ルールは課さない、定期変更は求めない

文字数と並んで現行ルールの見直し対象になりやすいのが、複雑性ルール（大文字・数字・記号の混在強制）と定期変更です。第4版はいずれも「課してはならない／要求してはならない」と規範で示しています。

Verifiers and CSPs SHALL NOT impose other composition rules (e.g., requiring mixtures of different character types) for passwords.

Verifiers and CSPs SHALL NOT require subscribers to change passwords periodically. However, verifiers SHALL force a change if there is evidence that the authenticator has been compromised.

出典：NIST SP 800-63B-4 §3.1.1.2 Password Verifiers｜NIST

第4版では「大文字と記号を必ず混ぜる」ルールは課してはならず、「90日ごとに変更させる」といった定期変更の強制も要求してはなりません。定期変更が許されるのは、漏えいなどの侵害の証拠があるときに限られ、その場合は逆に変更を強制すること（SHALL）が求められます。複雑性や定期変更は、推測されやすいパターン化や使い回しを招き、かえって安全性を下げるという考え方が背景にあります。

漏えいリスト照合は必須、パスワードマネージャーとペーストは許可する

複雑性や定期変更を求めない代わりに、第4版が必須としているのが漏えい（侵害）パスワードリストとの照合です。利用者が設定しようとするパスワードを、既知の漏えい・一般的・推測されやすい値のリストと突き合わせることが求められます。照合は、漏えいデータとの突き合わせサービスや、Active DirectoryのPassword Protection、ID基盤の該当機能などで実装できます。

When processing a request to establish or change a password, verifiers SHALL compare the prospective secret against a blocklist that contains known commonly used, expected, or compromised passwords.

出典：NIST SP 800-63B-4 §3.1.1.2 Password Verifiers｜NIST

あわせて、利用者が安全なパスワードを無理なく扱えるようにする運用も求められています。verifier（検証側）はパスワードマネージャーの利用を許可しなければならず（SHALL）、入力欄での「貼り付け（ペースト）」機能や、入力中にパスワードを表示するオプションを提供すべき（SHOULD）とされています。

長く複雑なパスワードを手入力させて運用を破綻させるのではなく、ツールで安全に管理できる前提に立っているわけです。

これまで社内でパスワードマネージャーの利用を禁じてきた場合、第4版の方針に沿って許可へ切り替えるにあたり、安全性や企業としての選び方が気になるところです。以下の記事で、管理アプリのリスクと選定のポイントを解説しています。

出典・参考資料（1件）

• 出典：NIST SP 800-63B-4 §3.1.1 Passwords｜NIST

同期可能パスキー・フィッシング耐性認証はどの保証レベルで使えるか

パスワードの次に関心が高いのが、パスキーやフィッシング耐性のある認証を、どの認証保証レベル（AAL＝当人認証の強さを表す3段階。詳細は後述）で使えるのかという点です。ここでは同期可能パスキーとデバイスバウンドの認証器のAALの線引きと、何がフィッシング耐性にあたるのかを整理します。まずは、どの認証手段がどのレベルに位置づくかを俯瞰します。

同期可能パスキーはAAL2まで、デバイスバウンドの認証器はAAL3

パスキーには、複数の端末へ秘密鍵を同期（クローン）できる「同期可能（syncable）」なものと、鍵が1台のデバイスから出ない「デバイスバウンド」なものがあります。第4版は、同期可能な認証器を新たに規定し、その利用はAAL2まで、AAL3では使えません。原文は次のとおりです。

Syncing authentication keys inherently means that the key can be exported. Authentication at AAL2 may be supported subject to the above requirements. However, syncing violates the non-exportability requirements of AAL3.

出典：NIST SP 800-63B-4 Appendix B（normative）Syncable Authenticators｜NIST

線引きの理由は明快です。同期できるということは秘密鍵をエクスポートできるということであり、AAL3が求める「秘密鍵を持ち出せない（非エクスポート可能）」という要件に反します。そのためAAL3では、秘密鍵がデバイス外に出ない認証器が必要になります。

Since syncable authenticators (described in Appendix B) require the private key to be exportable, syncable authenticators SHALL NOT be used at AAL3.

出典：NIST SP 800-63B-4 §2.3.2｜NIST

技術的には、WebAuthn（FIDO2が用いる認証仕様）の「Backup Eligible」フラグで同期可能かデバイスバウンドかを判別し、「User Verified（UV）」フラグで多要素とみなせるか単一要素かを判別します。

注意したいのは、同期可能パスキーをAAL2に数えられるのは、生体認証やPINによる本人確認（UV）を伴い多要素とみなせる場合だという点です。タップのみで本人確認を伴わない場合は、単一要素（AAL1相当）にとどまります。

AAL3の認証器は、第3版の「ハードウェアベースの認証器」という表現から、第4版では「非エクスポート可能な秘密鍵を持つ暗号認証器＋フィッシング耐性＋ハードウェア保護された隔離環境」という要件へと整理されました。物理的なセキュリティキーがこのデバイスバウンドの代表例です。

フィッシング耐性認証はAAL3で必須、AAL2でも提供が求められる

第4版はフィッシング耐性（phishing resistance）の定義を新設しました。偽の検証者（なりすましverifier）に認証情報を渡してしまうことを、利用者の注意力に頼らずに防げる能力を指します。手で入力するタイプの認証（SMSで届くワンタイムパスワードなど）は、この定義ではフィッシング耐性があるとはみなされません。

Phishing resistance requires single- or multi-factor cryptographic authentication. Authenticators that involve the manual entry of an authenticator output (e.g., out-of-band and OTP authenticators) SHALL NOT be considered phishing-resistant.

出典：NIST SP 800-63B-4 §3.2.5 Phishing Resistance｜NIST

何がフィッシング耐性にあたるのかも原典に例示があります。FIDO2が用いるWebAuthnは、検証者のドメイン名に鍵を結びつける「verifier name binding」によってフィッシング耐性を提供します。PIV・CACカードは、クライアント認証付きTLSによる「channel binding」で同じ性質を実現します。

いずれも認証の過程で相手サイトを機械的に確認するため、偽サイトに情報を渡しにくい仕組みです。

どのAALで求められるかは段階的です。AAL3ではフィッシング耐性が必須（SHALL）です。AAL2では、verifier（検証側）が少なくとも1つのフィッシング耐性のある認証手段を提供しなければならず（SHALL）、利用そのものも推奨されています。

また、米国の連邦機関には、AAL2でもフィッシング耐性認証の利用が義務づけられています（SP 800-63B-4 §2.2.2）。「AAL2では任意」と単純化せず、「提供は必須・利用は強く推奨」と捉えるのが原典に忠実です。

出典・参考資料（1件）

• 出典：NIST SP 800-63B-4 §2.3 AAL3／§2.2.2 AAL2／§3.1.7.4 Syncable Authenticators／Appendix B／§3.2.5 Phishing Resistance｜NIST

IAL・AAL・FALの3軸と第4版での選び方

パスワードやパスキーの要件は、第4版が定める3つの保証レベルの枠組みの中に位置づけられています。ここでは3軸の意味と各レベルの定義、そして第4版での「選び方」の考え方を確認します。

IAL・AAL・FALの3軸と各レベルの対応

第4版は、デジタルアイデンティティの保証を3つの軸で表します。身元確認の確からしさ（IAL）、当人認証の強さ（AAL）、フェデレーション連携の保護水準（FAL）で、それぞれLevel 1〜3の3段階です。

自社で「多要素認証を導入している」という場合、ここで言うAAL2に相当することが多いでしょう。AAL2は2つの異なる要素を求める点が重要で、この「異なる要素」という条件は次の見直しポイントにもつながります。

固定選択からリスクベース（DIRM）へ

第4版の中核的な転換が、保証レベルの決め方です。第3版は事前に固定した保証レベルを選ぶ考え方でしたが、第4版はデジタルアイデンティティのリスク管理（DIRM／Digital Identity Risk Management）という、サービスの性質とリスクから保証レベルを導き、継続的に見直すプロセスへと変わりました。

原典はDIRMを、次の5つのステップとして規定しています。

1. オンラインサービスの定義
2. 初期の影響評価
3. 初期保証レベルの選択
4. 保証レベル判定の調整と文書化
5. 継続的な評価と改善

第3版からの「チェックリスト的に保証レベルを当てはめる」運用から、自社のサービスとユーザー、影響を受ける対象を踏まえて判断し、運用後も見直す運用へと軸足が移ったといえます。

一部の解説でDIRMを「4ステップ」とするものがありますが、確定版の原典は「There are 5 steps」と明記しています。

その他の第4版での構造的な変化

上記以外にも、運用方針に関わる変化がいくつかあります。混同されやすい点を中心に挙げます。

• 身元確認はIAL1〜IAL3の3段階のまま：一部のドラフト解説で「IAL0が追加された」と書かれる場合がありますが、確定版（2025年7月）にIAL0は存在しません。身元確認を行わないケースは、独立したレベルではなくDIRMのリスク評価の中で扱います
• 同種の要素を重ねても多要素にならない：多要素認証は「異なる種類の要素」の組み合わせが条件です。パスワードを2つ求めるような同種2要素は、多要素認証を構成しません
• 公平性（Equity）・ユーザビリティの観点を新設：特定の利用者が不利にならないよう、代替手段の提供やバイアスへの配慮が盛り込まれました

出典・参考資料（1件）

• 出典：NIST SP 800-63-4 基幹巻 §3 Digital Identity Risk Management／§3.3.2 Assurance Level Descriptions｜NIST

4分冊（63／63A／63B／63C）の構成と原典の読み方

第4版の記述を自分で確かめたいときのために、4分冊のどこを見ればよいかを整理します。確定版の原典はNISTの公式サイトで全文が公開されています。

• 基幹巻（SP 800-63-4）：全体像を押さえたいときの入口。DIRM（§3）、IAL・AAL・FALの定義（§3.3.2）、変更ログ（Appendix C）
• SP 800-63A-4：身元確認を検討するとき。ディープフェイク・インジェクション攻撃への対策もこの巻
• SP 800-63B-4：パスワード・パスキー・AALの具体要件はこの巻。パスワードは§3.1.1、同期可能認証器は§3.1.7.4とAppendix B、フィッシング耐性は§3.2.5
• SP 800-63C-4：SSO・フェデレーション連携を検討するとき。デジタルウォレットのモデルもこの巻

各巻の末尾には変更ログ（Change Log）があり、第3版からの変更点が公式に一覧化されています。「どの記述が第4版で変わったのか」を確認したいときは、この変更ログが近道です。

出典・参考資料（1件）

• 出典：NIST SP 800-63 Digital Identity Guidelines（4分冊の入口）｜NIST

自社の認証・パスワード方針をどう見直すか

ここまでの要件を、自社のポリシーや設定に落とし込む観点を整理します。SP 800-63は政府機関向けの規格なので、民間企業がそのまま義務を負うわけではありませんが、パスワードや認証の実務標準として参照する価値は高いものです。自社の現行ルールと照らし合わせる出発点としてご活用ください。

• パスワードポリシーの見直し：複雑性の強制や定期変更（例：90日ごと）を課している場合、第4版の方向性とは逆になります。文字数の下限を見直し（多要素と組み合わせる前提か、単一要素かで変わります）、複雑性・定期変更の強制をやめ、漏えいリスト照合とパスワードマネージャー許可へ切り替える、という整理が考えられます
• Active DirectoryやEntra IDなどの設定：パスワードの最小長・有効期限・複雑性要件は、こうしたID基盤の設定項目に対応します。現行値を棚卸しし、どこが第4版の考え方と離れているかを把握するところから始めると、改訂の範囲が見えてきます
• 多要素認証・パスキーの導入水準：AAL2を狙うのか、より高いAAL3まで求めるのかで、選ぶべき認証器が変わります。同期可能パスキーはAAL2まで、AAL3にはデバイスバウンドの物理キーが必要、という線引きを導入検討の前提に置きます

社内規程や稟議の根拠として使う場合は、本記事の各章で示した巻・セクション番号をたどり、確定版の原文を一次情報として添えると説得力が高まります。要件の解釈に迷う箇所は、原典の該当節を確認したうえで判断するのが確実です。

第4版に沿った認証（パスキー／FIDO2・物理キー）をどう実現するか

ここからは、第4版のAALの線引きを実際の製品でどう満たすかという観点で、代表的なサービスを紹介します。AAL2相当の同期可能パスキーやFIDO2に対応するID基盤と、AAL3に求められるデバイスバウンドの物理セキュリティキーは、役割が異なります。網羅的な製品比較は多要素認証（MFA）システムの比較記事に譲り、ここでは第4版の要件に対応づく例として2つのサービスを取り上げます。

認証方式・料金・タイプ別の選び方まで含めて、主要な多要素認証（MFA）システムを横並びで比較検討したい場合は、以下の記事をご覧ください。

AAL2・AAL3に対応づくサービスの比較

上表の「満たせるAALの目安」は各製品が対応づく要件レベルの目安です。実際にどのAALを達成するかは、製品単体ではなく自社の認証フローの実装・運用によって決まります。

1. CloudGate UNO（株式会社インターナショナルシステムリサーチ）

CloudGate UNOは、SSO（シングルサインオン）・多要素認証・アクセス制限・ID管理をまとめたクラウド型のID基盤（IDaaS）です。提供元のインターナショナルシステムリサーチは2014年にFIDOアライアンスへ加盟し、2019年にFIDO2準拠のパスワードレス認証を提供開始するなど、パスキー対応に早くから取り組んできました。

第4版の文脈では、パスキー（FIDO2）によるパスワードレス認証を全プラン・全ユーザーで利用でき、SMS認証やワンタイムパスワードでは満たせないフィッシング耐性のある認証を、SSOと一体で展開できる点が特徴です。

端末・場所・時間の3軸でのアクセス制限や、Windows HelloやTouch ID／Face IDといった端末内蔵の生体認証にも対応します。料金は月額400円〜600円/ユーザー（税抜、プランにより異なる）で、30日間の無料体験が用意されています。

パスワードレスへの移行は、複雑性ルールや定期変更の見直しといったセキュリティ面だけでなく、運用負担の面にも関わります。提供元のインターナショナルシステムリサーチは、導入企業での変化をインタビューで次のように述べています。

2. YubiKey as a Service（株式会社インターナショナルシステムリサーチ）

YubiKey as a Serviceは、Yubico社の物理セキュリティキー「YubiKey」を法人向けにサブスクリプション型で提供するサービスです。秘密鍵とPINがデバイス内に留まり外部へ送信されないため、第4版がAAL3で求める「非エクスポート可能な秘密鍵＋フィッシング耐性」を満たすデバイスバウンドの認証器にあたります。

FIDO2/WebAuthnに加え、PIVやOATH（TOTP）など複数の認証規格に対応し、スマートフォンを支給・使用できない現場でも強固な多要素認証を展開できます。買い切りではなく運用費として導入でき、毎年25%分の予備キー提供や同一ティア内でのキー種類の変更、専任担当による導入支援が付帯します。

契約は200ユーザーからで、料金は選ぶキーや構成に応じた個別見積もりです。先に挙げたCloudGate UNOと組み合わせ、SSO・アクセス制限と一体で運用することも想定されています。

デバイスバウンドの物理キーが具体的にどのような現場で選ばれるのか、提供元のインターナショナルシステムリサーチはインタビューで次のように説明しています。

まとめ

NIST SP 800-63-4は2025年7月に最終化された第4版で、第3版から認証・パスワードの実務標準が大きく整理されました。

要点は、パスワードは単一要素なら最低15文字・多要素の一部なら8文字で、複雑性ルールと定期変更は求めず漏えいリスト照合を必須とすること、同期可能パスキーはAAL2まで・デバイスバウンドの認証器はAAL3という線引き、そして固定選択からリスクベース（DIRM）への転換です。

自社の現行ポリシーと照らし合わせると、複雑性の強制や定期変更など見直すべき点が見つかるはずです。パスキーや物理セキュリティキーの導入は、どのAALを狙うかを起点に検討すると選ぶべき製品が定まります。多要素認証システムの具体的な比較や資料請求は、下記からまとめて進められます。

よくある質問（FAQ）

Q. NIST SP 800-63-4とは何ですか？

A. NIST SP 800-63-4は、米国NISTが2025年7月に最終化したデジタルアイデンティティガイドラインの第4版で、2017年公開の第3版（SP 800-63-3）を正式に置き換える規格です。総論にあたる基幹巻（SP 800-63-4）と、身元確認（63A-4）・当人認証（63B-4）・フェデレーション（63C-4）の領域別3巻を合わせた4分冊で構成されます。

米国政府機関向けの規格ですが、パスワードや認証の実務標準として民間企業でも広く参照されています。

Q. NIST SP 800-63-4でパスワードは何文字に設定すればよいですか？

A. NIST SP 800-63-4のパスワード最低長は、パスワードだけで認証する単一要素の場合は15文字が必須（SHALL）、多要素認証の一要素として使う場合に限り8文字まで許容されます。「最低8文字」を前提にした第3版準拠のルールは、単一要素で使う場合に下限が不足します。

最大長は「少なくとも64文字は許容すべき（SHOULD）」とされ、長いパスフレーズを受け付けられるようにする方向です（SP 800-63B-4 §3.1.1.2）。

Q. NIST SP 800-63-4では、パスワードの定期変更（90日ごとなど）はやめてよいのですか？

A. はい。第4版は定期的なパスワード変更を要求してはならない（SHALL NOT）と定めており、「90日ごとに変更」のような運用は見直しの対象です。あわせて、大文字・数字・記号の混在を強制する複雑性ルールも課してはならないとされています。ただし、漏えいなど認証情報が侵害された証拠がある場合は、例外として変更を強制すること（SHALL）が求められます（SP 800-63B-4 §3.1.1.2）。

Q. 同期可能パスキーがNIST SP 800-63-4でAAL2を満たす条件は何ですか？

A. 同期可能パスキーは、WebAuthnのUser Verified（UV）フラグによる本人確認（生体認証やPINなど）を伴い、多要素の暗号認証器とみなせる場合にAAL2で利用できます。一方、同期可能であること自体が秘密鍵をエクスポートできることを意味するため、非エクスポート可能な秘密鍵を求めるAAL3では使えません。

AAL3には、鍵が1台のデバイスから出ないデバイスバウンドの認証器（物理セキュリティキーなど）が必要です（SP 800-63B-4 §3.1.7.4・Appendix B・§2.3.2）。

Q. NIST SP 800-63-4で身元確認レベルの「IAL0」は新設されたのですか？

A. いいえ。確定版（2025年7月）にIAL0は存在せず、身元確認保証レベルはIAL1〜IAL3の3段階のままです。IAL0はドラフト段階で使われた用語で、最終版には引き継がれませんでした。

身元確認を行わない運用は、独立したレベルではなくDIRM（リスク管理プロセス）の中で判断します。「IAL0が追加された」と書かれた解説は、ドラフト依拠の古い情報である可能性が高いので注意してください（SP 800-63-4 §3.3.2.1）。

Q. 読んでいるNIST SP 800-63-4の情報が確定版かドラフトか、どう見分ければよいですか？

A. 確定版は、DOIやファイル名に「ipd」「2pd」が付かない2025年7月公開の版で、意見募集用ドラフトにはこれらの識別子が付きます。NISTは正式版の公開前にドラフトを複数回出しており、「IAL0の追加」や「DIRMは4ステップ」といった記述はドラフト段階の情報か誤りで、確定版には採用されていません（確定版のDIRMは5ステップです）。

判断の根拠に使う際は、NIST公式サイト（pages.nist.gov/800-63-4）の確定版原文で確かめるのが確実です。

Q. NIST SP 800-63-4に対応するには、自社は結局何を変えればよいですか？

A. 出発点は、パスワードの複雑性強制と定期変更をやめ、漏えいパスワードリストとの照合とパスワードマネージャーの許可へ切り替えることです。Active DirectoryやEntra IDの最小長・有効期限・複雑性の設定を棚卸しし、第4版の考え方と離れている箇所を洗い出します。

認証強化では、AAL2を狙うなら同期可能パスキー／FIDO2対応のID基盤、AAL3まで求めるならデバイスバウンドの物理セキュリティキー、というように狙うレベルから選ぶ製品を定めると判断が早まります。

ただし、本ガイドラインは米国政府機関向けの規格であり、民間企業がそのまま義務を負うわけではない点は前提として押さえておきましょう。

多要素認証（MFA）システムの料金・資料を一括チェック

MCB FinTechカタログでは、FIDO2/パスキー対応のID基盤や物理セキュリティキーなど、NIST SP 800-63-4の考え方に沿った認証サービスの最新資料を無料で一括請求できます。対応する認証方式やAALの水準を横並びで比較できます。

MCB FinTechカタログに掲載しませんか？

MCB FinTechカタログでは、掲載企業様を募集しています。マネックスグループの金融実務ノウハウを活かした独自の評価軸と検索設計により、導入検討者が最適なサービスを効率的に発見できる法人向け比較プラットフォームです。掲載後は管理画面から料金表や導入事例を随時更新でき、常に最新の情報を訴求可能。まずは下記フォームより、お気軽にお問い合わせください。