NIST SP 800-63-3とは？保証レベル(IAL/AAL/FAL)とパスワード要件・800-63-4との違いを解説

パスワードの定期変更をやめた方がよい、複雑な文字種の強制には意味がない——こうした認証の新常識の多くは、米国国立標準技術研究所（NIST）が公開した「NIST SP 800-63-3」という文書にたどり着きます。取引先や監査、親会社から「NISTに準拠しているか」と問われ、原典を確かめたい担当者も増えています。

では、NIST SP 800-63-3とは具体的に何を定めた文書で、本人確認・認証・連携の保証レベルやパスワードの要件はどうなっているのでしょうか。しかもこの版は、すでに後継の「NIST SP 800-63-4」に置き換えられています。いま参照すべきはどちらなのかも、あわせて押さえておく必要があります。

本記事では、NIST SP 800-63-3の全体像を、3つの保証レベル（IAL・AAL・FAL）と、最もよく引用されるパスワード（記憶シークレット）の要件、そして後継のNIST SP 800-63-4との違いまで整理します。数値や要件は「どの版のものか」を明記して示すので、自社の認証基準を見直す際の判断材料としてご活用ください。

NIST SP 800-63-3とは何か

NIST SP 800-63-3は、米国国立標準技術研究所（NIST：National Institute of Standards and Technology）が発行した「デジタルアイデンティティ・ガイドライン（Digital Identity Guidelines）」です。

オンラインで人や組織の身元を確認し、安全にログインさせるための技術要件を、米国の政府機関（agencies）向けにまとめています。初版の発行は2017年6月で、現在は後述のとおり後継版に引き継がれています。

この文書が広く知られているのは、従来の認証運用を見直す根拠として参照されているためです。パスワードの定期変更を一律に強制しない、文字種の混在を義務づけない、といった現在の考え方の出どころがここにあります。政府機関向けの技術ガイドラインという位置づけですが、具体的で検証しやすいことから、民間企業が自社の認証ポリシーを設計する際の拠りどころとしても参照されています。

ひとつ注意すべき点があります。このNIST SP 800-63-3は、2025年8月1日付で後継の「NIST SP 800-63-4」に置き換えられました（後継版は2025年7月に最終版として公開）。NISTの公式ページも、現行のガイドラインとして63-4を参照するよう案内しています。

とはいえ社内規程や取引先の要求が「63-3」を名指しする場面もあるため、本記事では63-3の内容を正確に示したうえで、後継版との違いも版を分けて整理します。

This revision of NIST SP 800-63 has been superseded by NIST SP 800-63-4 as of August 1, 2025. Please refer to those documents for the current guidelines.

出典：NIST SP 800-63 Digital Identity Guidelines（公式インデックスページ冒頭バナー）｜NIST

なぜ米国の基準を日本企業も参照するのか

NIST SP 800-63は米国政府機関向けの文書ですが、日本の公的機関や業界団体もこれを参照・解説しています。たとえば一般財団法人日本情報経済社会推進協会（JIPDEC）は、SP 800-63-3の概要と日本の事業者への影響をまとめたレポートを公開しています。認証の設計思想として参照できる具体性があるため、自社のパスワードポリシーやログインの強度を見直す際の共通言語になっているのが実情です。

取引先や監査、親会社から「NISTに準拠しているか」と確認を求められる場面が増えているのも、こうした背景があるためです。自社だけの判断ではなく、第三者にも説明できる根拠として、原典の要件を把握しておく意味があります。

出典・参考資料（2件）

• 参考資料：NIST SP 800-63-3 Digital Identity Guidelines｜National Institute of Standards and Technology（https://pages.nist.gov/800-63-3/）
• 参考資料：NIST SP 800-63-3の概要と今回の改訂がもたらす影響｜JIPDEC（https://www.jipdec.or.jp/library/report/20171127.html）

NIST SP 800-63-3の文書構成（63-3・63A・63B・63C）

NIST SP 800-63-3は1つの文書で完結しているわけではなく、本体と3つの付属巻（コンパニオンボリューム）で構成されています。本体が全体のフレーム（デジタルアイデンティティモデル・リスク管理・保証レベルの選び方）を示し、本人確認・認証・連携の具体的な要件は各巻に分かれています。どの巻に何が書かれているかを把握すると、原典を調べるときに迷いません。

巻	正式名称	扱う領域
SP 800-63-3（本体）	Digital Identity Guidelines	全体のフレーム。デジタルアイデンティティモデル、リスク管理、保証レベル（xAL）の選び方を定める
SP 800-63A	Enrollment and Identity Proofing	登録と本人確認。申請者がどのように身元を証明し、正規の利用者として登録されるか（本人確認保証レベル＝IALの要件）
SP 800-63B	Authentication and Lifecycle Management	認証とライフサイクル管理。利用者がどのように安全に認証するか（認証器保証レベル＝AALの要件）。パスワード要件もこの巻
SP 800-63C	Federation and Assertions	連携とアサーション。フェデレーション（認証結果を別システムへ伝える仕組み）の要件（連携保証レベル＝FALの要件）

よく引用される「パスワードは定期変更しない」「複雑さを強制しない」といった要件は、認証を扱うSP 800-63Bに書かれています。本記事のパスワードの要件の節も、このSP 800-63Bを出典としています。

登場する用語とモデル（CSP・subscriber・claimant・verifier・RP）

保証レベルの解説に入る前に、NISTが使う登場人物（役割）を押さえておきます。NIST SP 800-63-3は、登録から認証までの流れを「デジタルアイデンティティモデル」として整理しています。

• CSP（Credential Service Provider：資格情報サービス提供者）：利用者の身元を確認し、認証器と資格情報を発行・管理する主体です。IDaaS（Identity as a Service）製品がこの役割を担うことが多くあります。
• subscriber（加入者）：本人確認を経て登録された利用者を指します。
• claimant（主張者）：ログイン時に、認証器を自分が管理していることを証明しようとする利用者です。
• verifier（検証者）：claimantが認証器を管理していることを検証する主体です。
• RP（Relying Party：依拠当事者）：検証の結果（アサーション）を受け取り、アクセスを許可するかを判断するアプリケーション側の主体です。

登録のフェーズでは、申請者がCSPに身元を証明してsubscriberになり、認証器と資格情報が発行されます。認証のフェーズでは、claimantがverifierに認証器の管理を証明し、verifierがその結果をアサーションとしてRPに渡す、という流れです。この「本人確認」「認証」「連携」の3つの局面が、次のIAL・AAL・FALに対応します。

3つの保証レベル（IAL・AAL・FAL）とレベル1〜3の違い

NIST SP 800-63-3の中核は、デジタルアイデンティティを3つの局面に分け、それぞれに保証レベル（どれだけ確からしいか）を定めている点です。従来の単一の「保証レベル（LoA）」をやめ、本人確認・認証・連携を別々に評価できるようにしたのが大きな特徴です。3つをまとめて指すときは「xAL」と呼びます。

• IAL（Identity Assurance Level：本人確認保証レベル）：登録時の身元確認がどれだけ確かか（SP 800-63A）
• AAL（Authenticator Assurance Level：認証器保証レベル）：ログイン時の認証がどれだけ強いか（SP 800-63B）
• FAL（Federation Assurance Level：連携保証レベル）：連携（アサーション）の仕組みがどれだけ強いか（SP 800-63C）。フェデレーションを使わないシステムでは任意

それぞれが独立してレベル1〜3を持ち、サービスのニーズに応じて組み合わせられます（たとえばIAL1かつAAL2、といった選び方が可能です）。各レベルの内容を、NIST SP 800-63-3本体の定義（Table 5-1〜5-3）にもとづいて一覧にします。

保証レベル	レベル1	レベル2	レベル3
IAL（本人確認）	属性は自己申告（または自己申告として扱う）	リモートまたは対面での本人確認が必要。SP 800-63Aの手順で属性を検証	対面での本人確認が必要。有資格のCSP担当者が物理的な証明書類で検証
AAL（認証）	単要素認証を許容（幅広い認証技術が利用可）	2つの異なる認証要素の所持と管理を、安全な認証プロトコルで証明	AAL2に加え、ハードウェアベースの認証器と、検証者なりすまし耐性を備える
FAL（連携）	連携先（RP）が、認証した側の署名付きで認証結果の通知（アサーション）を受け取る	レベル1に加え、通知を暗号化し連携先だけが中身を読めるようにする	さらに、通知で参照される鍵を本人が持っている証明もあわせて提示する（最も改ざん・なりすましに強い）

IALは「登録時にどこまで本人だと確かめたか」、AALは「ログイン時にどこまで強く認証したか」、FALは「連携でどこまで安全に結果を受け渡したか」を測ります。多くの企業が自社のログイン強化で最初に向き合うのは、認証の強さを定めるAAL（特にAAL2・AAL3）です。認証器の具体的な要件は、後述のAAL2・AAL3の節で詳しく扱います。

出典・参考資料（1件）

• 出典：NIST Special Publication 800-63-3, Digital Identity Guidelines（§5 Table 5-1〜5-3）｜NIST（https://pages.nist.gov/800-63-3/sp800-63-3.html）

パスワード（記憶シークレット）の要件

NIST SP 800-63-3で最もよく引用されるのが、SP 800-63Bが定めるパスワードの要件です。NISTはパスワードを「記憶シークレット（Memorized Secret）」と呼びます。ここでは63-3／63B（2017年版）の要件を示します。後継の63-4では一部の数値が変わっているため、版の違いとあわせて確認してください。

• 最低文字数：利用者が選ぶパスワードは最低8文字（SHALL＝必須）。CSPやverifierがランダムに生成する場合は最低6文字で、数字のみでもよい（SHALL）。
• 最大文字数：64文字以上を許容すべき（SHOULD＝推奨）。印字可能なASCII文字と空白文字を受け入れるべきとされ、パスワードの切り詰め（truncation）は行ってはならない（SHALL NOT）。
• 複雑さの強制をしない：文字種の混在を要求するなどの構成ルールを課すべきでない（SHOULD NOT）。
• 定期変更を強制しない：パスワードを任意に（たとえば定期的に）変更させるべきでない（SHOULD NOT）。ただし認証器の侵害の証拠がある場合は変更を強制しなければならない（SHALL）。
• 侵害・辞書リストとの照合：新規設定・変更時に、過去の漏えいデータ・辞書語・連続文字・サービス名やユーザー名などの文脈依存語を含むリストと照合しなければならない（SHALL）。
• 貼り付けの許可：パスワード入力時の「貼り付け」を許可すべき（SHOULD）。パスワード管理ツールの利用を後押しするためとされています。

注目すべきは、要件の強さがSHALL（必須）・SHOULD（推奨）・MAY（許容）で書き分けられている点です。たとえば「64文字以上の許容」はSHOULD（推奨）であって必須ではなく、「最低8文字」や「侵害リスト照合」はSHALL（必須）です。

従来の「複雑なパスワードを定期的に変える」運用から、「長さを確保し、漏えい済みのものを弾き、不必要に変えさせない」運用への転換が、要件として明文化されています。

Memorized secrets SHALL be at least 8 characters in length if chosen by the subscriber. … Verifiers SHOULD NOT require memorized secrets to be changed arbitrarily (e.g., periodically). However, verifiers SHALL force a change if there is evidence of compromise of the authenticator.

出典：NIST SP 800-63B, Authentication and Lifecycle Management（§5.1.1 Memorized Secrets）｜NIST

出典・参考資料（1件）

• 出典：NIST SP 800-63B, Authentication and Lifecycle Management（§5.1.1 Memorized Secrets）｜NIST（https://pages.nist.gov/800-63-3/sp800-63b.html）

この「貼り付け許可」が前提とするパスワード管理ツールについて、その安全性や法人で導入する際の選び方は、以下の記事で整理しています。

自社に必要な保証レベル（xAL）の選び方

NIST SP 800-63-3は「全社一律でAAL3にせよ」とは求めません。本体のSP 800-63-3（§6）は、リスクアセスメントの結果にもとづいて、本人確認・認証・連携それぞれに必要なレベルを選ぶ考え方を示しています。

基本的な流れは次のとおりです。まず、認証などが失敗したときに起こりうる影響を、影響カテゴリ（評判・金銭的損失・公共の利益への害・機微情報の不正開示・個人の安全・民事/刑事上の違反）ごとに、低・中・高で評価します。

NISTは、認証失敗が招く直接・間接の結果（複数回の失敗や、複数の人・組織への被害の可能性を含む）をすべて考慮しなければならない（SHALL）としています。次に、その影響プロファイルを各レベルの上限プロファイル（本体のTable 6-1）と照らし合わせ、分析したすべてのカテゴリで影響を満たす「最も低いレベル」を選びます。

本体には、この判断を補助する決定木（IAL・AAL・FALごとの図6-1〜6-3）も用意されています。「扱う情報の重要度に対して過不足のない強度を選ぶ」のが基本思想で、むやみに最高レベルを課して利用者の負担を増やすことは推奨されていません。自社のどのシステムに、どのレベルが必要かを棚卸しすることが、見直しの出発点になります。

出典・参考資料（1件）

• 出典：NIST SP 800-63-3, Digital Identity Guidelines（§6 Selecting Assurance Levels, Table 6-1）｜NIST（https://pages.nist.gov/800-63-3/sp800-63-3.html）

AAL2・AAL3で求められる認証器

認証の強度を定めるAALのうち、企業の認証強化で実際に目標になりやすいのがAAL2とAAL3です。それぞれで求められる認証器（authenticator）の要件を、SP 800-63B（§4）にもとづいて整理します。

AAL2の認証器要件（多要素・リプレイ耐性）

AAL2は、claimantが認証器を管理していることに「高い信頼」を与えるレベルです。安全な認証プロトコルを通じて、2つの異なる認証要素の所持と管理を証明することが求められます。AAL2以上では、承認された暗号技術（approved cryptographic techniques）の利用も必須です。

認証器の構成には2通りあります。1つは多要素認証器（1つで2要素を満たす機器）を使う方法、もう1つは単要素認証器を2つ組み合わせる方法です。後者の場合は、記憶シークレット（パスワード）と、所持ベース（something you have）の認証器を組み合わせます。また、AAL2のverifierはリプレイ攻撃への耐性（replay resistance）を備えることが求められます。

FIDO2／パスキーに対応した認証や、認証アプリによるワンタイムパスワードなどが、この要件を満たす手段の一例です（製品名はNISTの規定そのものではなく、該当する認証器タイプの具体例です）。

AAL3の認証器要件（ハードウェアベース・検証者なりすまし耐性）

AAL3は「非常に高い信頼」を与える最上位のレベルで、暗号プロトコルによる鍵の所持証明にもとづいて認証します。AAL3の認証はハードウェアベースの認証器と、検証者なりすまし耐性（verifier impersonation resistance）を備えた認証器を用いなければならない（SHALL）とされます（同じ機器が両方を満たしてもかまいません）。

AAL2と同様に、2つの異なる認証要素の所持と管理の証明も必要です。

さらにSP 800-63Bは、AAL3で使う多要素認証器について、FIPS 140 全体でLevel 2以上、かつ物理セキュリティでLevel 3以上の検証を受けたハードウェア暗号モジュールであることを求めています。物理的なセキュリティキー（ハードウェアトークン）が、この要件を満たす代表的な手段です。

出典・参考資料（1件）

• 出典：NIST SP 800-63B, Authentication and Lifecycle Management（§4.2 AAL2／§4.3 AAL3）｜NIST（https://pages.nist.gov/800-63-3/sp800-63b.html）

AAL3で必須となる物理セキュリティキーそのものの仕組みや、パスキーとの違い、企業で全社導入を進める際の手順は、以下の記事で具体的に解説しています。

後継のNIST SP 800-63-4との違い

冒頭で触れたとおり、NIST SP 800-63-3は2025年8月1日付で後継のNIST SP 800-63-4に置き換えられました（63-4は2025年7月に最終版として公開）。これから自社の認証基準を設計・見直しするなら、現行版である63-4を参照するのが基本です。ここでは、特に実務に効く主な違いを版ごとに整理します。

論点	NIST SP 800-63-3（2017年版）	NIST SP 800-63-4（2025年版・現行）
パスワードの用語	「記憶シークレット（Memorized Secret）」	「パスワード（Password）」に統一
最低文字数	利用者選択で一律8文字以上（SHALL）	単要素として使うパスワードは15文字以上（SHALL）。多要素の一要素としてのみ使う場合は8文字以上でよい（SHALL）
複雑さ・定期変更	構成ルール・定期変更を課すべきでない（SHOULD NOT）	同趣旨だが助動詞が強化され、課してはならない（SHALL NOT）
フィッシング耐性	AAL3で検証者なりすまし耐性を要求	AAL2でもフィッシング耐性認証の選択肢の提供を要求。AAL3は「フィッシング耐性認証器＋鍵の非エクスポート」と明文化
パスキー（同期可能認証器）	規定なし	同期可能認証器（syncable authenticators）をAppendix Bで正式に（normativeに）規定

最も実務に影響するのは、単要素パスワードの最低文字数が8文字から15文字へ引き上げられた点です。ただし多要素認証の一要素として使うパスワードは、引き続き8文字以上でかまいません。

また63-4では、クラウド同期されるパスキー（同期可能認証器）の扱いが正式に規定され、フィッシング耐性の要求も強まりました。「8文字」は63-3の値、「15文字」は63-4の値である点を取り違えないことが、社内説明でも重要になります。

出典・参考資料（2件）

• 出典：NIST SP 800-63B-4, Digital Identity Guidelines（§3.1.1 Password Verifiers ほか）｜NIST（https://pages.nist.gov/800-63-4/sp800-63b.html）
• 出典：SP 800-63-4（Date Published: July 2025, Supersedes: SP 800-63-3）｜NIST CSRC（https://csrc.nist.gov/pubs/sp/800/63/4/final）

NIST SP 800-63-3の要件を自社の認証にどう取り入れるか

ここからは、NIST SP 800-63（63-3および現行の63-4）の考え方を自社の認証にどう反映するかを整理します。要件を満たす手段と、見直しの進め方の両面から見ていきます。

自社の認証基準への落とし込み（ギャップ分析・移行の考え方）

いきなり全システムを作り変えるのではなく、段階的に進めるのが現実的です。前節で定めた目標レベルに対して、現在のパスワードポリシーや認証方式がどれだけ離れているか（ギャップ）を洗い出すところから始めます。

パスワードポリシーについては、定期変更の強制や文字種の強制をやめ、長さの確保と漏えいパスワードの照合に切り替える、という見直しが典型です。

認証方式は、重要度の高いシステムから順に、目標レベルを満たす認証器へ段階的に移行する計画を立てると、利用者の負担と現場の混乱を抑えられます。具体的な手段は次の節で紹介します。

要件を満たす認証を実現するサービス

AAL2の多要素・パスワードレス認証はFIDO2／パスキーに対応したID基盤で、AAL3のハードウェアベース認証は物理セキュリティキーで実現できます。ここでは、FIDO認証に早くから対応してきた提供元のサービスを例に、両方式を揃えられる構成として紹介します（他の提供元を含めた比較は後述のまとめ記事を参照してください）。

1. CloudGate UNO（株式会社インターナショナルシステムリサーチ）

CloudGate UNOは、シングルサインオン（SSO）・多要素認証・アクセス制限・ID管理を1つにまとめた国産のクラウド型ID基盤（IDaaS）です。提供元のインターナショナルシステムリサーチは2014年にFIDOアライアンスへ参画し、2019年にはFIDO2準拠のパスワードレス認証を提供開始するなど、フィッシングに強い認証に早くから取り組んできました。

パスキー（FIDO2）によるパスワードレス認証は全プランで無制限に利用でき、AAL2が求める多要素認証を満たす手段になります。パスキーはフィッシングに強い方式でもあり、63-4でAAL2にも提供が求められるようになったフィッシング耐性の選択肢にも対応できます。

認証方式は、パスキーのほかWindows HelloやTouch ID／Face IDなどの端末内蔵生体認証、自社の認証アプリ、ワンタイムパスワードに対応します。加えて、端末・場所・時間の3軸での柔軟なアクセス制限や、アカウントの作成・更新・削除を自動化するID管理（プロビジョニング）を全プランに標準搭載している点も特徴です。

料金はStandard Plusが月額400円／ユーザー（税込440円）からで、30日間の無料体験が用意されています（2026年11月時点、公式料金ページ）。

パスワードレス認証への切り替えが実際の運用にもたらす変化について、提供元のインターナショナルシステムリサーチは自社の導入事例として次のように述べています。

2. YubiKey as a Service（株式会社インターナショナルシステムリサーチ）

YubiKey as a Serviceは、Yubico社の物理セキュリティキー「YubiKey」を法人向けにサブスクリプション型で提供するサービスです。デバイス内に秘密鍵を保持し、鍵やPINを外部に送信しないため、フィッシング耐性の高い認証を実現します。ハードウェアベースの認証という点で、AAL3が求める要件に直接対応できる手段です。

対応規格はFIDO2／WebAuthnを中核に、FIDO U2F・スマートカード（PIV）・OATH（OTP／TOTP）など幅広く、米国FIPS基準に適合するFIPSシリーズのティアも選べます。買い切りではなく運用費として導入でき、契約期間中の同一ティア内でのキー種類の変更、紛失・増員に備えた予備キーの提供、導入運用支援が付帯します。

最低200ユーザー・3年または5年契約で、料金は選ぶキーに応じた個別見積もりです（2026年11月時点、公式ラインナップページ）。スマートフォンを業務利用しにくい医療・製造現場などでも使える認証手段として適しています。

物理キーの運用で懸念されやすい紛失時のリスクについて、提供元のインターナショナルシステムリサーチは次のように説明しています。

要件を満たす認証方式・サービスの比較

以下は、紹介した2サービスの対応認証方式と、満たせる保証レベルの目安をまとめた比較表です。

表の「満たせる保証レベルの目安」は、各手段が認証器として対応できるおおよその水準です。実際にどのAALに到達するかは、認証器だけでなく検証者側の構成を含む実装全体で決まります。たとえばID基盤と物理セキュリティキーを組み合わせれば、より高いAAL3を狙うこともできます。各レベルで検証者側に求められる要件は、前述のAAL2・AAL3の節を参照してください。

ここで取り上げたのはFIDO2／パスキー対応のID基盤と物理セキュリティキーの2サービスですが、多要素認証システムはSSO一体型から特化型まで幅広く、対応方式も料金も大きく異なります。自社の認証基盤に合う製品を認証方式・料金・タイプ別に横並びで比較検討したい場合は、以下のまとめ記事もあわせてご覧ください。

まとめ

NIST SP 800-63-3は、本人確認（IAL）・認証（AAL）・連携（FAL）の3つの保証レベルで、デジタルアイデンティティの確からしさを定めたガイドラインです。最もよく引用されるパスワード要件では、定期変更や文字種の強制をやめ、長さの確保と漏えいパスワードの照合へと考え方が転換されました。自社に必要なレベルは、扱う情報の重要度に応じたリスクアセスメントで選ぶのが基本です。

そして、この63-3はすでに後継のNIST SP 800-63-4に置き換えられています。これから認証基準を設計・見直しするなら、単要素パスワードの最低15文字やパスキーの正式な扱いなど、現行の63-4を参照してください。

要件を満たす認証の実現には、AAL2ならFIDO2／パスキー対応のID基盤、AAL3なら物理セキュリティキーが有力な選択肢になります。自社の課題に合うサービスの資料を取り寄せて、比較検討の出発点にしてください。

よくある質問（FAQ）

Q. NIST SP 800-63-3とは何ですか？

A. NIST SP 800-63-3は、米国国立標準技術研究所（NIST）が2017年6月に発行したデジタルアイデンティティ・ガイドラインです。オンラインでの本人確認・認証・連携の技術要件を、本人確認（IAL）・認証（AAL）・連携（FAL）の3つの保証レベルで定めています。

米政府機関向けの文書ですが、具体的で検証しやすいことから、民間企業が自社の認証ポリシーを設計する際の参照基準としても広く使われています。2025年8月1日付で後継のNIST SP 800-63-4に置き換えられている点は、あわせて押さえておくとよいでしょう。

Q. NIST SP 800-63-3と800-63-4のどちらを参照すればよいですか？

A. これから自社の認証基準を設計・見直しするなら、現行版である800-63-4を参照するのが基本です。NIST SP 800-63-3は2025年8月1日付で800-63-4に置き換えられ（superseded）、NIST公式も63-4を現行ガイドラインとして案内しています。

ただし、社内規程や取引先・監査の要求が「800-63-3」を名指ししている場合は、その版の要件（例：パスワードは最低8文字）を確認したうえで、63-4との差分もあわせて押さえておくと、版の取り違えを防げます。

Q. NIST SP 800-63-3ではパスワードは何文字必要ですか？

A. NIST SP 800-63-3（SP 800-63B）では、利用者が選ぶパスワードは最低8文字と定められています（SHALL＝必須）。システムがランダムに生成する場合は最低6文字です。

よく言われる「15文字」は後継の800-63-4の値で、単要素として使うパスワードに適用される要件です（多要素認証の一要素として使う場合は、63-4でも8文字以上でかまいません）。8文字は63-3、15文字は63-4と、どちらの版の数値かを取り違えないことが、社内説明でも重要になります。

Q. NIST SP 800-63-3ではパスワードの定期変更は不要ですか？

A. NIST SP 800-63-3では、パスワードを任意に（たとえば定期的に）変更させるべきではない（SHOULD NOT）とされています。文字種の混在を要求する構成ルールも課すべきでないとされます。

ただし、認証器が侵害された証拠がある場合は、変更を強制しなければならない（SHALL）点は例外です。この考え方は後継の800-63-4にも引き継がれ、助動詞がより強い「課してはならない（SHALL NOT）」へと強化されています。

Q. NIST SP 800-63-3のAAL2とAAL3の違いは何ですか？

A. NIST SP 800-63-3では、AAL2は2つの異なる認証要素による多要素認証とリプレイ耐性を求めるレベル、AAL3はそれに加えてハードウェアベースの認証器と検証者なりすまし（フィッシング）耐性を必須とする最上位レベルです。

AAL2は、FIDO2／パスキーに対応した認証や、認証アプリによるワンタイムパスワードなどで満たせます。AAL3は、FIPS 140で検証されたハードウェア暗号モジュール、すなわち物理セキュリティキーが代表的な手段です。

Q. 「NIST SP 800-63-3に準拠している」と言うには何をすればよいですか？

A. まず、自社のシステムごとに扱う情報の重要度からリスクアセスメントを行い、必要な保証レベル（主にAAL）を定めることが出発点です。そのうえで、パスワードポリシーを「定期変更・文字種強制の廃止」と「長さの確保・漏えいパスワードの照合」へ見直し、重要度の高いシステムにはAAL2（FIDO2／パスキー）やAAL3（物理セキュリティキー）を満たす認証器を割り当てます。

NISTは全社一律の最高レベルではなく、扱う情報の重要度に対して過不足のないレベル選定を求めている点がポイントです。

多要素認証（MFA）システムの料金・資料を一括チェック

MCB FinTechカタログでは、NIST SP 800-63の要件を満たす多要素認証・パスキー・物理セキュリティキー対応サービスの最新資料を無料で一括請求できます。対応する認証方式や料金を比べて、自社の認証強化の検討にお役立てください。

MCB FinTechカタログに掲載しませんか？

MCB FinTechカタログでは、掲載企業様を募集しています。マネックスグループの金融実務ノウハウを活かした独自の評価軸と検索設計により、導入検討者が最適なサービスを効率的に発見できる法人向け比較プラットフォームです。掲載後は管理画面から料金表や導入事例を随時更新でき、常に最新の情報を訴求可能。まずは下記フォームより、お気軽にお問い合わせください。