パスワードマネージャーを会社で使うには、社員が各自のアプリを入れるのではなく、管理者が退職者の利用を止められて共有の範囲を決められる法人向けの契約で導入します。そうでなければ、パスワードの置き場所が見えないまま増えるだけです。
今日やることは、複数人で使っているIDを書き出すことです。代表アドレス、ECサイトの管理画面、取引先のポータル、設備メーカーの保守サイトなど、共有しているものを1枚に並べます。この表が、導入するかどうかの判断材料にも、入れた後の最初の登録データにもなります。
ブラウザ保存では何が足りない？
Chromeのパスワード管理の説明によれば、Chromeにログインしていればパスワードはログイン中の Google アカウントに、ログインしていなければ端末に保存されます。
問題が起きるのは、社員が個人のアカウントでブラウザにログインしたまま業務のパスワードを保存した場合です。保存先は会社が管理していないアカウントなので、PCを回収しても、そちら側の保存分を会社の手で消すことはできません。
IPAの中小企業の情報セキュリティ対策ガイドライン第4.0版に付く情報セキュリティ関連規程のサンプルも、パスワードをブラウザに保存しないことを基本とし、必要なときはシステム管理者の許可を得るとしています。安全な保管の方法としては、施錠保管した紙と並んでパスワード管理アプリを挙げています。
| 比べる点 |
ブラウザ保存 |
法人向けパスワードマネージャー |
| 保存先 |
ログイン中のアカウントか端末 |
会社が契約した組織の保管庫 |
| 退職時 |
個人アカウント分は会社から消せない |
管理者が利用者を止められる |
| 共有 |
各自がパスワードを伝え合いがち |
グループごとに範囲を決められる |
| 記録 |
会社では把握しにくい |
製品によっては操作の記録が残る |
ブラウザへの保存を会社として止めたいときは、管理されたChromeならパスワードの保存を制御するポリシーで設定できます。
法人で要る機能はどれ？
機能の数を比べても決まりません。絞るなら次の4つです。
退職者の利用を止められるか
ここが個人向けとの最大の差です。 確かめるのは、IdP（社員のIDをまとめて管理するサービス）と連携して自動で止まるかどうかです。この連携の規格をSCIMと呼びます。
- BitwardenのSCIMの説明では、IdP側で利用者を停止すると組織へのアクセスが自動で取り消され、組織の保管庫の項目やコレクションにアクセスできなくなります
- 1Passwordの自動プロビジョニングの説明では、Google Workspace、Microsoft Entra IDなどと連携し、IdP側の操作で利用者を停止できます
入社と退職をIdPで管理していないなら、手作業で止める手順で始めても問題はありません。人数が増えて止め忘れが心配になった段階で、IDaaS（ID管理サービス）の比較を見るという順番です。
辞めた人のパスワードが会社に残るか
共有のパスワードが個人の保管庫に入っていると、その人が辞めたときに行方が分からなくなります。
Bitwardenのコレクションの説明では、組織のコレクションに入れた項目は個人ではなく組織のものです。Keeperには退職者の保管庫を別の利用者へ移す機能がありますが、導入の初期段階で管理者が設定しておくものだと案内されています。後から必要になっても遅い場合があるので、導入の最初に確かめておきます。
共有の範囲をグループで決められるか
同じコレクションの説明には、利用者やグループごとに必要な項目だけアクセスさせられるとあります。経理のネットバンキング関連と、現場の保守サイトは分けます。部署の単位で共有の枠を作ると、異動のときの変更も1か所で済みます。
誰が何をしたか残るか
Bitwardenのイベントログの説明では、TeamsまたはEnterpriseの組織で変更や利用の記録が残り、一度に見られる範囲は367日分です。何かあったときに「誰がいつ見たのか」を調べられるかどうかで、社内調査の負担が変わります。
確かめ方
SSOやSCIMの有無は料金プランで変わります。たとえばBitwardenのSSOの説明はEnterpriseの組織向けの機能として書かれています。見積もりの前に、必要な機能が希望のプランに含まれるかを各社の公式の料金表で確かめてください。製品の並びは法人向けパスワードマネージャーの比較で見られます。
導入で気をつける点は？
一か所に集める道具なので、入口の守りと、入れなくなったときの戻し方を先に決めます。
入口は主パスワードです。長く、ほかで使っていないものにして、多要素認証を組み合わせます。規程のサンプルも、機器やサービスの間でパスワードを使い回さないことに加え、多要素認証を使うか、試行回数を制限したうえで長さ8文字以上とする考え方を示しています。多要素認証の方式を検討するなら多要素認証（MFA）製品の比較が参考になります。SSO（1回のログインで複数のサービスを使える仕組み）でIdPにログインを任せる形なら、入口の管理はIdP側に寄せられます。
次に、本人が主パスワードを忘れたときです。1Passwordのアカウント回復の説明では、管理者や回復の権限を持つグループのメンバーが、利用者の回復を実行できます。回復の権限を誰に持たせるかは、導入前に決めておきます。社長と総務の2人のように、1人に集中させない形にします。
定期的な変更については、規程のサンプルは「定期的な変更を強制しない」としています。パスワードを変える場面は、漏えいの疑いがあるときと、共有IDを知る人が辞めたときです。
退職の日に何をする？
パスワードマネージャーを入れても、退職の手続きはなくなりません。流れは次のようになります。
- 利用者を止める（IdP連携なら、IdP側の操作で止める）
- その人が使えた共有の範囲を確かめる
- その範囲のパスワードを変える
- 止めたことと変えたことを記録に残す
3が抜けやすい手順です。パスワードマネージャーの利用を止めても、一度表示して覚えたパスワードや、手元に控えたものは無効になりません。共有IDそのものを減らし、個人別のIDに切り替えられるサービスは切り替えます。
退職時の確認全体は、情報漏えいの4つの経路の整理の「退職者」の節に書きました。
工場や現場では何に気をつける？
たとえば、複数の班で加工機メーカーの保守サイトを共有している部品メーカーの場合を考えます。
事務所のPCならブラウザの拡張機能で自動入力できますが、現場の共用端末で個人の保管庫を開いたままにすると、次に触った人が中身を見られます。共用端末では自動ロックの時間を短くし、個人の保管庫は開かせないようにします。
また、機器の管理画面のパスワードは、規程のサンプルが初期状態のまま使わないよう求めている対象です。ルーターや複合機、ネットワークにつながる設備の管理画面も、共有の表に入れておきます。こうしたIDは人に結びついていないので、誰も変更しないまま残りがちです。
どう進める？
全社一斉にせず、小さく始めて広げます。
- 複数人で使っているIDを書き出す（今日の作業）
- 総務と経理など2〜3人で試し、共有の枠の分け方を確かめる
- 退職時の止め方と、回復の権限を持つ人を決める
- 各部署へ広げ、ブラウザ保存をやめる日を決める
- 共有IDを個人別のIDに切り替えられるものから切り替える
私たちはセキュリティ製品の開発会社ではなく、ここで挙げた製品を試して比べたわけではありません。挙げたのは各社の公式資料で確かめられた機能の例で、優劣を示すものではないので、最終的には少人数で試して、自社の使い方に合うかを確かめてください。
パスワードの管理は、情報漏えい対策のうち入口の部分です。情報漏えい対策のカテゴリでは、メールや持ち出しなどほかの経路もまとめています。
