社員のパスワードは、会社で契約した管理ツールへ移し、メールや経理など重要なログインには多要素認証を付けるのが基本の形です。Excelとノートはすぐに捨てず、移行が終わってから処分します。
今日やることは、今あるExcelやノートを見ながら、管理者権限を持つアカウントがいくつあり、それぞれ誰が知っているかを書き出すことです。この一覧が、この先の順番をそのまま決めます。
Excelとノートの何が問題なのか
Excelのファイルはコピーできます。誰がいつ開いたのかも残りにくく、持ち出されても気づけません。1人のノートは、その人が不在だと業務が止まり、紛失すれば中身すべてが手から離れます。
ただ、理由もなく責められるものでもありません。総務省の国民のためのサイバーセキュリティサイトも、やむを得ずメモした場合は鍵のかかる机や金庫に保管するよう書いています。問題は、書いたことそのものより、社内全員のパスワードを1か所に平文で集めていることです。
同じページは、パスワードをメールでやりとりしないことや、サービスごとに別のパスワードを覚えるのは大変なので管理ツールを使うことにも触れています。使い回しが残る原因は意識の低さより、覚えきれないことにあります。ツールは、そこを解消する道具です。
警察庁などの公表資料によれば、2025年（令和7年）に検挙された他人のID・パスワードを使う不正アクセス399件のうち、手口で最も多かったのは「パスワードの設定・管理の甘さにつけ込んで入手」で84件（21.1%）でした。同じ資料は、ネット上のメモアプリに保存していたパスワードが盗まれたとみられるケースにも触れています。Excelをクラウドに置き換えただけでは解決しません。
移行はどの順番で進めるか
全部を一度に移そうとすると止まります。兼任の担当者が1人で進める前提の順番です。
1. 一覧を作る
今のExcelをもとに、サービス名、使う人、管理者権限の有無、共有か個人か、の4列にします。パスワードそのものはこの一覧に書きません。退職者のIDや使っていないサービスが見つかったら、その場で止めます。
2. 重要度で分ける
漏れたときの影響で並べます。
| 順 |
対象 |
例 |
| 1 |
管理者権限 |
メールやクラウドの管理者、サーバ、ネットワーク機器 |
| 2 |
メール |
会社のメールアカウント |
| 3 |
お金に関わるもの |
ネットバンキング、会計、給与 |
| 4 |
取引先の情報を扱うもの |
顧客管理、図面やファイルの共有 |
| 5 |
その他 |
通販サイト、業界サイトなど |
メールが2番目なのは、他のサービスのパスワード再設定に使われることが多いからです。
3. ツールを決め、管理者を2人にする
選び方は次の節に書きます。導入時に決めておくのは、管理者を1人にしないことです。1Passwordの管理者向け案内は、自分のアカウントを自分では復旧できないので、オーナーのグループにもう1人加えるよう書いています。社長と担当者の2人にしておくと、担当者が休んだときも止まりません。
4. 順番どおりに移し、パスワードを変える
重要度の高いものから移します。Excelに長く置かれていたパスワードは、誰が写したか分からないので、移すときに新しいものへ変えます。ツールの生成機能を使えば、人が覚える必要はありません。
合わせて、重要なサービスから順に2つ目の認証を付けます。社内への広げ方は多要素認証を全社に広げる順番で説明しています。
5. 社員に広げる
社員全員を一斉に動かさず、まず数人で試します。困りごとが出るのは、スマートフォンでの自動入力や、ブラウザに保存済みのパスワードの扱いです。試した人に手順を書いてもらうと、説明が現場の言葉になります。
6. Excelとノートを処分する
移行が終わったら、期限を決めて消します。共有フォルダの古い版、メールの添付、個人PCの写しも探します。ノートは裁断します。この工程を飛ばすと、平文の一覧が残ったままになります。
社内ルールには何を書くか
長い規程より、1枚で足ります。次の項目が埋まれば十分です。
- 会社のログイン情報は、指定のツールにだけ保存する
- パスワードはツールで生成し、サービスごとに変える
- パスワードをメール、チャット、付箋で伝えない
- 流出の疑いがあれば、すぐ担当者に連絡する
- 退職、異動のときは担当者が権限を止める
長さと文字種については、基準を1つ決めておきます。IPAの中小企業の情報セキュリティ対策ガイドライン第4.0版は、10文字以上でできるだけ長く、大文字、小文字、数字、記号を含めて複雑に、としています。米国のNIST SP 800-63B-4は考え方が少し違い、パスワードだけで認証する場合は15文字以上を求める一方、文字種の組み合わせの強制はしないとしています。
ツールで長いランダムな文字列を作るなら、両方の基準を満たせます。管理ツールの利用を認めるべきだという点も、NISTは明記しています。
定期変更はやめていい？
自社のルールとしては、やめて構いません。総務省のサイトは、流出などの事実がなければ変更の必要はないとし、定期変更はかえってパスワードの作り方を単純にしかねないと説明しています。NISTも、定期変更を求めず、侵害の形跡があれば変更させるとしています。
ただし、取引先や利用サービスの規定で変更を求められる場合は、それに従います。
管理ツールは何を見て選ぶ？
人数が少なくても、個人向けではなく、組織で管理できるプランを見ます。公式の案内から確かめられる機能の例を挙げます。
Bitwardenの組織機能の説明では、共有フォルダに当たるコレクションとメンバーのグループで権限を管理します。無料の組織は2人まで、Teamsは利用者数に応じた月額課金で、イベントログも使えます。1Passwordの案内には、共有の保管庫、ポリシー、監査ログ、誰がどの項目を使ったかの利用報告が載っています。
比較するときの確認点は次のとおりです。
- 共有する範囲を部署や案件ごとに分けられるか
- 誰がいつ使ったかの記録が残るか
- 退職時にアカウントを止め、共有項目の変更対象が分かるか
- 管理者が復旧の手段を持てるか
- ツール自体に2つ目の認証を付けられるか
製品の違いはパスワード管理ツールの製品比較で見られます。社員が使うクラウドサービスが増えてきたら、ログインの入口そのものをまとめる方法もあります。IDaaSの製品比較は、その検討に使えます。すべてをツールに頼るのではなく、多要素認証の製品比較も合わせて、守りを重ねます。
ブラウザの保存機能でも足りる？
総務省のサイトはブラウザ標準の保存機能の活用にも触れており、個人の使い回しをなくす効果は見込めます。ただ、会社の共有や退職時の管理には向きません。会社のログイン情報は、管理者が権限を止められる場所に置きます。
工場の機器や共有IDはどう扱う？
製造業で残りやすいのが、現場の共有パスワードです。たとえば、工場の複合機、ネットワークカメラ、NAS、生産管理の共用PCの場合です。
まず初期パスワードのまま動いているものがないか確かめます。IPAのガイドラインも、初期設定のパスワード変更と、複合機、カメラ、NASの共有範囲の限定を対策例に挙げています。
機器ごとにできることが違うので、次のように分けます。
- 個人IDを作れる機器は、個人IDに切り替える
- 作れないが事務所のPCから管理できる機器は、管理ツールの共有項目に入れ、見られる人を絞る
- 紙でしか持てない機器は、封筒に入れて金庫などに保管し、取り出した日と人を台帳に書く
3つ目は例外です。例外があること自体は問題ありません。どの機器が例外か把握していることが大事です。
退職のときに何をするか
パスワードの管理で一番抜けやすいのが、人が抜けるときです。退職の手順に次の3つを入れます。
- 本人のアカウントと管理ツールの利用を止める
- 本人が見られた共有パスワードを変更する
- 一覧の担当者欄を書き換える
2は利用記録があると絞り込めます。記録がなければ、見られる範囲にあったものをすべて変えることになります。普段から共有の範囲を狭くしておくと、この作業も減ります。
パスワード管理は、退職者や現職者による持ち出しを防ぐ土台でもあります。共有IDが残っていると、操作の記録を取っても誰の操作か分かりません。その考え方は内部不正を疑わずに防ぐ仕組みで扱っています。ほかの漏えい対策は漏えい対策のカテゴリにまとめています。
