会社で使うパソコン、メール、クラウドサービス、ホームページなどのパスワードを、社員それぞれに任せきりにしていないでしょうか。
パスワード管理で大切なのは、単に「複雑なパスワードを使う」ことだけではありません。誰がどのアカウントを管理しているのかを会社として把握し、退職や担当変更があっても引き継げる状態にしておくことが重要です。
まずは、会社で利用しているアカウントを洗い出し、「会社が管理すべきもの」と「個人が利用するもの」を整理するところから始めましょう。
社員任せのパスワード管理で起こりやすい問題
中小企業では、新しいサービスを導入した社員がそのままアカウント管理者になることがあります。
最初は問題なくても、担当者の異動や退職によって、次のような問題が起こることがあります。
- 管理者のメールアドレスが分からない
- パスワードを知っている社員がいない
- 誰のスマートフォンで多要素認証しているのか分からない
- パスワード再設定メールを受信できない
- 退職者のアカウントが残っている
- 同じパスワードを複数のサービスで使っている
- ホームページやドメインの契約者が分からない
特に注意したいのが、会社の重要なサービスを社員個人のメールアドレスや電話番号だけで登録しているケースです。
パスワードそのものが分かっていても、多要素認証や本人確認が必要になればログインできなくなることがあります。
最初に「会社で使っているアカウント」を一覧にする
いきなり全社員のパスワードを集める必要はありません。
最初に行いたいのは、業務で利用しているサービスと管理責任を把握することです。
例えば、次のようなものを確認します。
- Microsoft 365やGoogle Workspaceなどの業務アカウント
- メール
- ホームページ・WordPress
- レンタルサーバー
- ドメイン
- SNS
- Googleビジネスプロフィール
- クラウドストレージ
- 会計・業務システム
- Wi-Fiやルーターなどの管理画面
- プリンターやNASなどの管理画面
一覧には、サービス名だけでなく「管理責任者」「登録している会社用メールアドレス」「多要素認証の管理方法」「退職時の引き継ぎ方法」なども整理しておくと管理しやすくなります。
ただし、**パスワードをそのままExcelや共有スプレッドシートへ並べる方法はおすすめできません。**閲覧できる人が増えたり、ファイルそのものが流出したりするリスクがあるためです。
パスワードは社員間で使い回さない
「会社の共通パスワードを一つ決めて、みんなで使う」という方法も避けた方がよいでしょう。
可能なサービスでは、一人ひとりに個別のアカウントを発行します。
個別アカウントにすると、退職者だけを無効化したり、必要な人だけに管理権限を付けたりしやすくなります。また、サービスによっては操作履歴から誰が操作したのか確認できます。
複数人で同じIDとパスワードを共有すると、一人が退職するたびにパスワード変更が必要になり、誰が操作したのか分かりにくくなることがあります。
パスワードマネージャーの利用を検討する
多くのサービスを安全に管理する方法の一つが、パスワードマネージャーです。
パスワードマネージャーは、サービスごとに異なるパスワードを保存・管理するための仕組みです。製品によっては、会社やチーム向けに共有範囲や権限を設定できる機能があります。
導入するときは機能だけでなく、
- 会社として管理者を設定できるか
- 社員の追加・削除を管理できるか
- 必要な情報だけ共有できるか
- 多要素認証を利用できるか
- 退職時にアクセス権を外せるか
- 復旧方法を会社として管理できるか
などを確認します。
製品によって管理方法や復旧の仕組みが異なるため、自社の人数や利用サービスに合ったものを選ぶ必要があります。
多要素認証も「誰のスマホか」を確認する
パスワード管理と一緒に確認しておきたいのが多要素認証です。
多要素認証とは、パスワードだけでなく、認証アプリなど別の要素も使って本人確認を行う仕組みです。アカウント保護を強化するため、利用できるサービスでは設定を検討します。
ただし、会社の重要な管理アカウントを「担当者個人のスマートフォンでしか認証できない」状態にすると、退職や端末故障の際に困る可能性があります。
バックアップや復旧手段を含め、会社として引き継げる状態になっているか確認してください。
管理者アカウントと普段使うアカウントを分ける
サービスによって可能であれば、システム全体を変更できる管理者権限を全社員に与えるのではなく、必要な人だけに限定します。
「便利だから全員を管理者にする」という運用は、誤操作やアカウント侵害時の影響を大きくする可能性があります。
反対に、管理者を一人だけにして、その人しか復旧できない状態も避けたいところです。
重要なサービスについては、管理権限と復旧方法を会社として把握し、特定の社員一人に依存しない運用を考えます。
退職・異動時の手順を決めておく
パスワード管理は、導入したときよりも社員が退職するときに差が出ます。
少なくとも、
- 対象社員が利用している会社アカウントを確認する
- 必要なメールやデータを会社のルールに従って引き継ぐ
- 共有情報へのアクセス権を外す
- 不要になったアカウントを停止・削除する
- 共有アカウントが残る場合は認証情報の変更が必要か確認する
- 多要素認証や復旧先も確認する
という流れを決めておくとよいでしょう。
サービスによって、アカウントを削除するとメールやデータも削除される場合があります。必要なデータを確認しないまま削除するのは避けてください。
パスワードを定期的に変更すれば安全とは限らない
以前は「パスワードを定期的に変更する」という運用も広く行われていました。
現在は、一律に短期間で変更することより、十分な長さのパスワードを使用し、使い回しを避け、漏えいや侵害の可能性がある場合に変更することなどが重要とされています。
会社のルールを作る際は、「3か月ごとに全員変更」といった決まりだけに頼らず、利用しているサービスの仕様や最新の公的・公式ガイドラインも確認しましょう。
自社で最初に確認できること
パスワードそのものを集める前に、次の点なら比較的安全に確認できます。
- 会社で利用中のサービスを一覧にする
- 各サービスの管理責任者を確認する
- 会社用と個人用のアカウントを区別する
- 退職者のアカウントが残っていないか確認する
- 多要素認証の管理者・復旧方法を確認する
- サーバーやドメインなど重要な契約の管理者を確認する
この段階で「管理者が誰か分からない」「退職した社員しか情報を持っていない」と判明した場合は、むやみに設定を変更するより、現在の契約情報や管理権限を確認することを優先してください。
社内だけで変更しない方がよいケース
特に慎重に対応したいのは、ホームページ、ドメイン、メールなどが同じアカウントや契約に関係している場合です。
管理者や契約内容が分からないまま設定を変更すると、メールやホームページなど別の業務へ影響する可能性があります。
また、複数の社員が利用するMicrosoft 365やGoogle Workspaceなども、管理者設定を変更する前に現在の構成を確認する必要があります。
「パスワードを変えれば終わり」ではなく、誰が管理し、誰が利用し、問題が起きたときに会社としてどう復旧するかまで決めることが、会社のパスワード管理では重要です。
まとめ
社員任せのパスワード管理を見直すときは、すべてのパスワードを一か所へ集めることから始めるのではありません。
まず会社で利用しているアカウントを把握し、管理責任者、権限、多要素認証、復旧方法、退職時の処理を整理します。そのうえで、必要に応じて法人・チーム向けのパスワード管理方法を検討します。
特定の「パソコンに詳しい社員」だけが分かる状態から、担当者が変わっても会社として管理を続けられる状態へ移していくことが大切です。
パスワードや会社のIT管理をまとめて見直したい場合
アポロン7では、社内に専任のIT担当者がいない茨城県内の中小企業・店舗・個人事業主様を対象に、会社のIT環境の整理や管理をサポートしています。
パスワードだけでなく、パソコン、メール、ホームページ、WordPress、プリンター、Wi-Fi、データ、バックアップなど、「誰が管理しているのか分からない」というものもまとめて確認できます。
一度整理するスポット対応のほか、定期訪問でアカウントやパソコンなどを継続的に確認する方法にも対応しています。
水戸市を中心に、ひたちなか市、那珂市、茨城町、笠間市、常総市など茨城県内に対応しています。何を確認すればよいか整理できていない段階でもご相談いただけます。
