WindowsのPINとは？パスワードとの違いと、4桁でも安全な理由
「Windowsを立ち上げるときのPINって、4桁の数字ですよね。それでパスワードより安全だと言われても、正直納得できないんですが」。Windows 11のPCを配り始めた会社から、ほぼ必ず出てくる質問です。「うちは英数字記号12文字のパスワードを義務にしてきたのに、それを4桁の数字に置き換えていいのか」という、もっともな疑問でもあります。
結論から言うと、PINはパスワードの短い版ではありません。 その端末の中のセキュリティチップ（TPM）に閉じ込めた秘密鍵を取り出すための、端末の外には決して出ない「鍵」です。パスワードのようにサーバーに送られて保存されることがなく、その端末を手にしていない人には何の意味もありません。さらにTPMが試行回数を数えていて、間違え続けると使えなくなります。だから4桁でも、パスワードとは別の次元で安全だと言えます。
ただし「PINにすれば全部安全」でもありません。PINが守るのはサインインであって、ディスクの中身は守りませんし、PINを作ってもパスワードは消えません。本記事では、PINとパスワードの違いを仕組みから説明し、PINが守らないものを正直に書き、そのうえで中小企業が会社としてPINのルールをどう決めればよいかをまとめます。認証手段の全体像はMicrosoft 365のMFA認証手段の比較、パスキーそのものの解説はパスキーとはで扱っているので、本記事は「PIN」に絞ります。
先に結論：PINとパスワードは何が違うのか
| 観点 | パスワード | Windows HelloのPIN |
|---|---|---|
| 認証しているもの | 文字列そのもの（サーバーが持つ値と照合） | 端末のTPMに保存された秘密鍵（PINは鍵を取り出す手段） |
| どこで使えるか | 知っていればどの端末・どの場所からでも | 設定したその端末だけ |
| ネットワークに流れるか | 流れる（暗号化されていても送信はされる） | 流れない。端末の外に出ない |
| サーバーに保存されるか | される（ハッシュ化されていても漏えい対象） | されない。Windows自身も現在のPINのコピーを持たない |
| 漏えいしたときの影響 | 世界中どこからでも不正サインインされる | 端末を物理的に手にしていなければ使えない |
| 総当たり攻撃 | サーバー側のロックアウト設定次第 | TPMが試行回数を数え、失敗が続くと段階的にロック |
| フィッシングで盗めるか | 盗める | 偽サイトに入力させる場面がそもそもない |
| 守る範囲 | アカウント全体 | その端末でのサインインと、端末内の鍵の利用 |
以下、順に説明します。
そもそもPINとは何か ―― 「PIN」と呼ばれるものは複数ある
PINはPersonal Identification Numberの略で、もともとは銀行のキャッシュカードの暗証番号のように「本人だけが知る短い番号」を指す一般的な言葉です。ITの現場でも、次のようにいろいろな場面で「PIN」が出てきます。
- Windows HelloのPIN：Windowsのサインインに使うもの。本記事の主題
- BitLockerの起動前PIN：PCの電源を入れた直後、Windowsが起動する前に求める番号。ディスク暗号化の解除に使う
- SIMのPIN：スマートフォンのSIMカードを保護する番号
- アプリのPIN：Microsoft Authenticatorや銀行アプリなど、アプリ単体で設定するもの
これらは名前が同じだけで仕組みも役割も別物です。社内で「PINを設定してください」と案内するときは、どのPINのことか明示しないと混乱が起きます。
Windows HelloのPINにも3種類ある
さらにややこしいことに、Windowsのサインインに使うPINにも、裏側の仕組みが違うものが3つあります。
| 種類 | 対象アカウント | 裏側の仕組み | 安全性 |
|---|---|---|---|
| Windows Hello for BusinessのPIN | Entra IDのアカウント（会社のMicrosoft 365アカウント） | TPMの中で生成した公開鍵・秘密鍵のペア。PINは秘密鍵を使うための「ほどき方」 | 本記事で「PINは安全」と言うときの対象 |
| Windows HelloのPIN（個人用） | Microsoftアカウント、ローカルアカウント | Microsoftアカウントは鍵ベース。ローカルアカウントは鍵ペアに裏付けられない | Microsoftアカウントなら鍵ベース。ローカルアカウントは利便性が主 |
| 便宜的PIN（Convenience PIN） | オンプレミスのActive Directoryのアカウント、ローカルアカウント | PINで端末内にキャッシュしたパスワードを取り出して認証する | パスワードの使い回しに近い。Microsoftは新規展開で使わないよう明言 |
会社のPCをEntra IDに参加させて、Microsoft 365のアカウントでサインインしている場合、そのPINは自動的にWindows Hello for Businessのものです。逆に、オンプレミスのActive Directoryだけで運用している会社のPINは「便宜的PIN」になっていることがあり、これはパスワードをキャッシュして使い回しているだけなので、本記事の「PINは安全」という話は当てはまりません。Microsoftは便宜的PINをEntra IDのアカウントではサポートしておらず、新規の展開ではWindows Hello for Businessを使うよう明言しています。
以下の説明は、断りがない限りWindows Hello for BusinessのPINについてのものです。
なぜ4桁でも安全と言えるのか ―― 3つの理由
Microsoftの公式FAQは「PINがオンラインパスワードより優れている理由」を3つ挙げています。仕組みを順に見ます。
理由1：PINはその端末に結びついている
パスワードは、知っている人なら誰でも、どの端末からでも、どこからでも使えます。だから漏えいすると、海外のサーバーから自分のアカウントにサインインされます。
PINは、設定したその端末でしか意味を持ちません。PINは「サーバーに登録した値」ではなく、「その端末のTPMの中にある秘密鍵を使うためのほどき方」です。仮に誰かがあなたのPINを知ったとしても、その端末そのものを手に入れない限り、何もできません。別のPCで同じPINを入力しても、そこには対応する秘密鍵がないからです。
理由2：PINは端末の外に出ない
パスワードでサインインするとき、パスワードは（暗号化された経路であっても）サーバーに送られ、サーバー側に保存された値と照合されます。つまり、通信経路とサーバーの両方が漏えいのポイントになります。実際、大規模なパスワード漏えい事件のほとんどは、サーバー側からの流出です。
PINは送信されません。PINを設定するとき、端末のTPMの中で公開鍵と秘密鍵のペアが作られ、公開鍵だけがEntra IDに登録されます。サインインのときは、PINで秘密鍵をほどき、その秘密鍵でサーバーからの「問い」に署名して返します。サーバーは公開鍵で署名を検証するだけで、PINも秘密鍵も受け取りません。
Microsoftの説明で印象的なのは、**「サーバーはPINのコピーを持っていない。それどころか、Windowsクライアント自身も現在のPINのコピーを持っていない」**という一文です。PINは保存されているものではなく、ユーザーが毎回持ち込む「エントロピー（乱数の種）」であり、それとTPMに守られた鍵と、その鍵を生成したTPM本体の3つが揃って初めて秘密鍵が使えます。
この仕組みは、フィッシングにも強く働きます。パスワードは偽サイトに入力してしまえば盗まれますが、PINは「入力先がサーバーである」場面が存在しません。偽サイトが「PINを入力してください」と表示しても、それは端末のTPMとは無関係の単なる入力欄で、何も取り出せません。パスキー認証がフィッシング被害を防ぐ仕組みで説明している「フィッシング耐性」は、まさにこの構造から来ています。
理由3：PINはTPMというハードウェアに守られている
TPM（Trusted Platform Module）は、暗号処理専用の耐タンパー性のあるチップです。Windows 11の要件になっているので、ここ数年のPCにはほぼ必ず載っています。秘密鍵はTPMの中で生成され、TPMの外に取り出せない形で保存されます。マルウェアがWindows上で動いていても、TPMのセキュリティ機能そのものを改ざんすることはできません。
そしてTPMは、PINの失敗回数を数えています。 これが「4桁でも総当たりされない」根拠です。Microsoftの公式FAQによると、Windows Hello for Businessの端末で第三者がPINを当てずっぽうに入力すると、次のように進みます。
- 3回失敗すると「PINを何度も間違えました。再試行するにはA1B2C3と入力してください」という確認が表示される
- A1B2C3を入力するとあと1回だけPINを試せる
- それも失敗すると、PINの入力欄そのものが無効になり、再起動するしかなくなる
- 再起動後も同じことを繰り返すと、TPM 2.0のアンチハンマリング機能によるロックアウトに入る。最初の再起動後は1分、4回目の再起動後は2分、5回目の再起動後は10分と、ロック時間は延びていく
つまり、4桁（1万通り）どころか、数十回試すだけで実用上は手が止まります。Microsoft自身が「PINがパスワードより強いという主張は、PINのエントロピーの強さについて言っているのではない。共有の秘密（パスワード）を使い続けることと、エントロピーを提供することの違いについて言っている」と書いているとおり、PINの安全性は桁数で決まっているのではなく、構造で決まっています。
なお、Windows Hello for Businessは「1111」「1234」「2468」のような、隣り合う数字の差が一定になる単純なPINをはじめから拒否します。桁数に関係なく100通りが禁止リストになっており、これは数字だけのPINに適用されます。
生体認証はPINの「上」に乗っている
顔認証や指紋認証を使っている場合も、裏側の仕組みは同じです。生体認証は「PINの代わりに秘密鍵をほどく手段」であり、生体データそのものはサーバーに送られません。端末内に暗号化されたテンプレートとして保存され、Windows Hello以外のプロセスはアクセスできません。
だからWindows Helloでは、生体認証を設定するときに必ずPINも作らされます。ケガやセンサーの不調で生体認証が使えないときの代替がPINであり、これがなければパスワードに戻るしかなくなるからです。Microsoftのドキュメントも「PINは無効化できない。PINを隠すと生体認証も使えなくなる」と明記しています。
PINが守ってくれないもの ―― ここを誤解すると危ない
「PINは安全」の説明はここまでです。ここからは、PINにしたからといって解決しない問題を挙げます。情シスとして社内に説明するときは、こちらのほうが重要です。
1. ディスクの中身は守らない（BitLockerの仕事）
PINが守るのは「Windowsにサインインする」場面です。PCを盗んだ人がSSDを抜き取って別のPCに接続すれば、PINに関係なくファイルを読めます。これを防ぐのはBitLocker（デバイスの暗号化）で、PINとは役割が違います。
Microsoftの公式FAQでも「端末を盗まれたら」の答えは「攻撃者は物理的に端末を持ったうえで、生体認証を偽装するかPINを当てる必要があり、それをTPMのアンチハンマリングがロックする前に行わなければならない」というサインインの話に限られています。ディスクを暗号化していなければ、そもそもサインインする必要がありません。
Intuneで管理している会社は、コンプライアンスポリシーでBitLockerを必須にし、回復キーがEntra IDに保存されている状態にしてください。Intuneコンプライアンスポリシーの設計で扱っている「最低限のルール」の1つです。
2. のぞき見は防げない
PINは短いぶん、横から見られると覚えられやすいのは事実です。ただしMicrosoftは、これに対して「PINを複雑にする」のではなく、「トラステッドシグナルによる二段階のロック解除」を推奨しています。PINに加えて、登録したスマートフォンが近くにあることや社内ネットワークに接続していることを、ロック解除の第二の条件にする機能です。
現実的な中小企業の対処としては、「離席時は必ずロックする（Windowsキー+L）」「共用スペースでの入力は手元を隠す」「生体認証が使える端末は生体認証を主にする」の3つで十分です。PINを英数字12文字にすると、結局ユーザーは付箋に書きます。
3. パスワードは消えていない
PINを作っても、Entra IDのアカウントにはパスワードが残っています。ロック画面の「サインインオプション」からパスワードを選べば、従来どおりパスワードでサインインできます。つまり、パスワードがフィッシングで盗まれるリスクは、PINを作っただけでは減っていません。
このリスクを減らす手段が2つあります。1つはEntra IDの条件付きアクセスで、パスワードだけのサインインを許さない（多要素認証または認証強度を要求する）ことです。もう1つはWindows側の「パスワードレス体験（Windows passwordless experience）」ポリシーで、後述します。
4. ローカルアカウントのPINは別物
Microsoftアカウントにも会社のアカウントにも紐づかないローカルアカウントでWindows Helloを使っている場合、そのPINは公開鍵・秘密鍵のペアに裏付けられていません。Microsoftのドキュメントは「鍵ベースまたは証明書ベースの認証と同じレベルの安全性は提供しない」と明記しています。共用PCをローカルアカウントで運用している会社は、「PINにしているから安全」とは言えません。
Windows Hello for Businessは「MFA」として扱われる
情シスにとって実務上いちばん大きいのは、この点です。Windows Hello for Businessは、Microsoftの定義では2要素認証です。
- 持ち物：端末のTPMに守られた秘密鍵
- 知識または本人の特徴：PIN、または顔・指紋
公式FAQには「Windows Hello for Businessの鍵はMicrosoft Entraの多要素認証の要件を満たし、リソースにアクセスする際にユーザーが目にするMFAプロンプトの回数を減らす」と書かれています。つまり、条件付きアクセスで「多要素認証を要求」としているテナントでも、Windows Hello for BusinessでサインインしたPCからのアクセスでは、Authenticatorの承認を都度求められなくなります。
これは「PINは便利」という話ではなく、「毎回Authenticatorを承認するMFA」より「Windows Hello for Business」のほうがフィッシングに強いという話です。Authenticatorのプッシュ通知は、偽サイトに誘導された本人が承認してしまえば突破されますが（いわゆるMFA疲労攻撃や中間者型フィッシング）、Windows Hello for Businessには「本人が承認する」場面がありません。MFA認証手段の比較記事で、Windows Hello for Businessとパスキーを最上位に置いているのはこのためです。
パスワードをなくす方向に業界全体が動いている
Microsoft自身が、パスワードを減らす方向にはっきり舵を切っています。
- 2025年5月1日：新規の個人向けMicrosoftアカウント（Outlook.com等）は既定でパスワードなし（パスキー・生体認証・PIN）で作られるようになった
- 2025年8月：Microsoft Authenticatorのパスワード保存・自動入力機能を終了
- 2026年4月下旬〜6月中旬：「Microsoft Entra passkeys on Windows」が一般提供。Entra IDに参加していない個人所有や共用のWindows端末でも、Windows Helloの顔・指紋・PINをEntra IDのパスキーとして使えるようになった。ただし管理下の端末についてはMicrosoftは引き続きWindows Hello for Businessを推奨している
「PINで本当にいいのか」という問いは、業界の方向性からすると、すでに「PINや生体認証をどう主流にしていくか」に変わっています。
会社として決めておくべきPINのルール
ここからは実務です。Microsoft 365 Business Premium等でIntuneを使っている前提で、設定箇所と推奨値をまとめます。Intuneを導入していない会社は、Intune導入ガイドから入ってください。
設定箇所：テナント全体ポリシーとアカウント保護ポリシー
Intuneには、Windows Hello for Businessを設定する場所が2つあります。
| 設定箇所 | パス | 適用範囲 |
|---|---|---|
| テナント全体ポリシー | Intune管理センター > デバイス > 登録 > Windows > Windows Hello for Business | 登録されるすべてのWindows端末。Autopilotの初期設定にも適用 |
| アカウント保護ポリシー | エンドポイントセキュリティ > アカウント保護 | 登録後の端末に、グループ単位で適用 |
小規模な会社は、テナント全体ポリシーで「有効」にして基本値を決め、例外があればアカウント保護ポリシーでグループ単位に上書きする、という構成が管理しやすいです。
主要な設定と推奨値
| 設定 | Intuneの既定値 | 推奨値 | 理由 |
|---|---|---|---|
| Windows Hello for Businessの構成 | 未構成 | 有効 | 未構成だとユーザー任せになる。会社として全端末で使わせる |
| TPMを使用する | 必須 | 必須 | ソフトウェアで鍵を持つと、TPMの防御（改ざん耐性・試行回数制限）が効かない |
| 最小PIN長 | 6 | 6 | 4に下げる理由はない。上げても安全性はほぼ変わらず、覚えられなくなる |
| 英大文字・小文字・記号 | 許可しない | 許可しない | 数字だけで構造上は十分。複雑化は付箋を生む |
| PINの有効期限 | 41日 | 0（期限なし） | 定期変更はユーザーの負担になるだけで、TPMに守られたPINを定期的に変える合理性は薄い。しかも後述のとおり新しい端末では機能しない |
| PIN履歴 | 5 | 0 | 同上 |
| 生体認証 | 許可 | 許可 | 顔・指紋が使える端末では主に生体認証を使わせ、PINは代替に |
| 強化されたなりすまし防止 | ― | はい | 写真による顔認証の突破を防ぐ。対応しない端末では顔認証が使えなくなるので、機種を確認してから |
| 強化されたサインインセキュリティ（ESS） | 対応ハードウェアで有効 | 既定のまま | 生体データの照合を仮想化で隔離する。外付けの顔認証カメラが使えなくなる制約があるので、該当する人がいれば確認 |
PINの有効期限と履歴について補足します。Microsoftのドキュメントによると、ESSが有効な端末と、Windows 11 24H2以降で仮想化ベースのセキュリティ（VBS）が有効な端末では、PINの有効期限と履歴のポリシーは機能しません。 Windows 11 24H2ではVBSは多くの端末で既定で有効なので、これから配る端末では「41日で期限切れ」の設定を入れても効かず、古い端末との間で挙動がばらつきます。既定値のまま放置せず、意識的に0にしておくほうが運用は素直です。
PINリセットサービスを先に有効にする
PINを忘れるユーザーは必ず出ます。Windows Hello for Businessには、Entra IDへの多要素認証を通したうえで、証明書やパスキーを失わずにPINを作り直せる「PINリセットサービス」があります。テナントにこのサービスを登録し、Intuneで「PINの回復を使用する」を有効にしておくと、ユーザーはロック画面の「PINを忘れた場合」から自分で復旧できます。
有効にしていない場合は、既存のPINを削除して作り直す「破壊的リセット」になります。このとき、PINで保護されていた鍵はすべて消えるので、その端末に保存していたパスキーは登録し直しです。ヘルプデスクへの問い合わせを減らすためにも、PINリセットサービスはPINの展開と同時に有効にしてください。 手順はPIN reset（Microsoft Learn）にあります。
なお、生体認証が失敗し続けて一時的に使えなくなった場合は、PINでサインインすれば復活します。再起動では復活しません。この挙動もヘルプデスクの回答集に入れておくと、問い合わせが減ります。
パスワードレス体験でパスワードを画面から消す
Windows 11 22H2（KB5030310以降）のEntra参加端末では、Intuneの設定カタログで 「認証 > Enable Passwordless Experience（パスワードレス体験を有効にする）」 を有効にすると、次のようになります。
- Windows Helloでサインインした最後のユーザーには、ロック画面にパスワードの入力欄が表示されない
- UAC（管理者権限の確認）、ブラウザーのパスワードマネージャー、ファイル共有への接続など、セッション中の認証でもパスワードを求めない
- 設定アプリの「パスワードの変更」が表示されない
パスワードを廃止するのではなく、使う場面をなくして「パスワードを覚えていなくても困らない」状態に慣らしていく機能です。「他のユーザー」からパスワードでサインインする道は残るので、万一のときにロックアウトされることもありません。Windows Hello for Businessが全端末に行き渡ったあとの、次の一手として検討してください。ハイブリッド参加（オンプレミスADとEntra IDの両方に参加）の端末は対象外です。
社内への説明文の例
技術的な説明をそのまま社員に伝えても伝わりません。実際に使っている案内文の骨子を載せます。
PCのサインインはPIN（または顔・指紋）を使ってください。 PINは、このPCの中のセキュリティチップに鍵をかけるための番号です。銀行の暗証番号と違って、番号がインターネットに送られることも、会社のサーバーに保存されることもありません。仮に番号を知られても、このPCそのものがなければ使えません。間違え続けるとPCがロックされるので、短くても総当たりされません。 PINは6桁以上の数字で、誕生日や電話番号など推測されやすいものは避けてください。「1234」「1111」のような並びは設定できません。 PINを忘れたら、ロック画面の「PINを忘れた場合」から自分で作り直せます（スマートフォンのAuthenticatorで本人確認が入ります）。 席を離れるときは Windowsキー+L でロックしてください。
「銀行の暗証番号と違って」の一言は、意外と効きます。多くの人が「PIN＝暗証番号＝どこかに登録されているもの」と思い込んでいるからです。
判断の目安
| 状況 | 判断 |
|---|---|
| Entra参加のWindows 11端末をIntuneで管理している | テナント全体ポリシーでWindows Hello for Businessを有効化。TPM必須・6桁・期限なし。PINリセットサービスを同時に有効化 |
| Intuneを使っていないが、Microsoft 365のアカウントでサインインしている | ユーザーが自分でPINを設定しても仕組みはWindows Hello for Business。まずはBitLockerとMFAを先に固め、Intune導入時にポリシー化 |
| オンプレミスのActive Directoryだけで運用している | そのPINは便宜的PIN（パスワードのキャッシュ）の可能性が高い。Windows Hello for Businessのクラウド Kerberos信頼への移行を検討 |
| 共用PCをローカルアカウントで使っている | PINにしても鍵ベースにならない。共用PCの運用そのものを見直す（共用アカウントのリスク） |
| 「PINは4桁だから危険」という指摘が監査・取引先から来た | 本記事の「3つの理由」とMicrosoftの公式FAQを根拠に、TPMの試行回数制限と鍵ベース認証の構造を説明する。桁数を6にしておけば説明はさらに楽 |
まとめ
- PINはパスワードの短い版ではなく、端末のTPMに閉じ込めた秘密鍵をほどく「鍵」。端末に結びつき、端末の外に出ず、サーバーにも保存されない
- 4桁でも総当たりされないのは、TPMが失敗回数を数えているから。3回の失敗で追加確認、再起動後は1分・2分・10分とロックが延びる。安全性は桁数ではなく構造で決まる
- PINが守るのはサインインだけ。ディスクの中身はBitLocker、のぞき見は離席時ロックと生体認証、残っているパスワードは条件付きアクセスとパスワードレス体験で対処する
- Windows Hello for BusinessはEntra IDのMFA要件を満たす2要素認証で、Authenticatorのプッシュ承認よりフィッシングに強い
- Intuneでは有効化・TPM必須・最小6桁・数字のみ・有効期限なし・PINリセットサービス有効が中小企業の現実的な設定。有効期限と履歴はWindows 11 24H2のVBS有効端末では機能しないので、既定の41日のまま放置しない
- 便宜的PINとローカルアカウントのPINは別物。「PINだから安全」は当てはまらない
「うちのPCのPINが、Windows Hello for Businessなのか便宜的PINなのか分からない」「BitLockerが全端末で有効か把握できていない」という状態なら、そこからです。端末・アカウント・Intuneの設定を含めて現状を読み取り専用で調査し、優先順位付きのロードマップをお渡しするIT環境診断を用意しています。Windows Hello for Businessの展開設計、条件付きアクセスとの組み合わせ、社内向けの案内文の作成は、運用支援の中で対応しています。