パスワード管理の基本：小規模事業者が今日からできるセキュリティ対策

結論から言うと、小規模事業者のパスワード対策は、サービスごとに別のパスワードにすること、重要なアカウントから多要素認証を設定することの2つから始めると進めやすくなります。この記事では、総務省とIPA（情報処理推進機構）の資料をもとに、社内で決めておきたいことを紹介します。

まず、守るアカウントを書き出す

はじめに、会社で使っているアカウントを一覧にします。全部を一度に直そうとせず、影響の大きいものから手をつけるためです。次の表は、私たちが考える優先順位の一例です。

優先度	アカウントの例	確認したい理由
高	業務メール	多くのサービスのパスワード再設定に使われるため
高	ネットバンキング、会計	お金や取引の情報に関わるため
高	ドメイン、サーバー、サイトの管理画面	サイトやメールの運用全体に関わるため
中	ファイル共有、予約・顧客管理	お客様や取引先の情報が入っているため
中	SNSの公式アカウント	乗っ取られると、お店の名前で発信されてしまうため

一覧に書くのは、サービス名、管理者、登録メールアドレス、多要素認証の設定状況までとし、パスワードそのものは書きません。業務全体を見直したい場合は、業務の棚卸しと一緒に進めると漏れを減らせます。ドメインやサーバーは、名義が誰になっているかもあわせて確認しておきましょう。

パスワードは「長く・使い回さず」、覚えるのはツールに任せる

中小企業向けのIPA「情報セキュリティ6か条 解説編」は、パスワードを「長く」「複雑に」「使い回さない」ようにすることを挙げています。対策例は次のとおりです。

• 英数字記号を含めて10文字以上にする
• 名前、電話番号、誕生日、簡単な英単語などを使わない
• 同じIDとパスワードを複数のサービスで使い回さない
• 機器やサービスの初期設定パスワードを見直す

使い回しが問題になるのは、あるサービスから流出した情報が、別のサービスへの不正ログインに試されることがあるためです。

とはいえ、すべてを覚えるのは現実的ではありません。総務省「安全なパスワードの設定・管理」では、パスワード管理ツールの利用も推奨されています。スマートフォンやWebブラウザの標準機能、専用アプリのパスワード保存機能のことです。パスワードを自動で作る生成機能を備えたものもあります。

ツール自体は、覚えられる十分に安全なマスターパスワードや、生体認証などの端末ロックで保護する必要があります。

なお、定期的な変更について、同じページは、流出などの事実がなければ変更する必要はないとしています。定期変更によってパスワードがパターン化したり、使い回しにつながったりすることのほうが問題だという考え方です。ただし、利用するサービスや社内の規程で変更を求められている場合は、その決まりも確認してください。

多要素認証は重要なアカウントから設定する

多要素認証とは、パスワードなどの「知っているもの」、スマートフォンなどの「持っているもの」、指紋や顔などの「本人に関するもの」のうち、2つ以上を組み合わせて本人確認をする仕組みです。先ほどの一覧で優先度が高いものから、設定できるかを確かめましょう。

方式を選ぶときの参考になるのが、IPAの解説です。SMSで届くワンタイムパスワードを盗もうとするフィッシング（偽サイトなどで情報をだまし取る手口）が確認されています。一方、パスキーは、スマートフォンやパソコンと、指紋認証・顔認証・PINコードなどを組み合わせる方式です。パスワードや認証コードを入力しないため、フィッシングによる窃取に強いとされています。対応しているサービスなら、選択肢に入れるとよいでしょう。

設定と同時に、端末をなくしたときの備えも決めておきます。たとえばGoogleアカウントでは、スマートフォンの紛失などでコードを受け取れないときのために、バックアップコードを作成できます。印刷して安全な場所に保管でき、誰とも共有しないよう案内されています。

Google Workspaceを使っている場合は、管理者が管理コンソールから2段階認証プロセスを導入できます。

共有・退職・流出のときのルールを決める

ツールと設定に加えて、次の場面での動き方を短い文書にしておくと、判断に迷いにくくなります。

共有するとき

総務省は、パスワードを同僚などの第三者に教えないこと、メールでやりとりしないこと、他人の目に触れる場所にメモを貼らないことを挙げています。社員ごとのアカウントを作れるサービスでは、1つのIDを共有せず、人ごとに発行します。

異動・退職のとき

IPAは、異動や退職時に設定を速やかに変更または削除することを勧めています。総務省の管理者向けページでも、退職者のアカウントや長期間変更されていない共有アカウントの利用は、不正アクセスの原因の例に挙げられています。先ほどの一覧を使って、不要なアカウントがないか定期的に確認しましょう。

再発行を頼まれたとき

同じページでは、再発行の依頼に本人確認なしで応じる危険も指摘されています。本人の電話に折り返すなど、確認方法を先に決めておきます。

流出や不正ログインが疑われるとき

該当のサービスのパスワードをすぐに変更します。同じパスワードを使っていたサービスがあれば、そちらも変更します。判断に迷うときは、IPAの情報セキュリティ安心相談窓口の案内も確認してください。お客様の情報に関わる可能性がある場合は、法的な対応が必要になることもあるので、個別の判断は専門家にご相談ください。

まとめ

• 使っているアカウントを一覧にし、影響の大きいものから見直す
• 英数字記号を含む10文字以上を目安に、サービスごとに別のパスワードにする
• 覚えるのは管理ツールに任せ、マスターパスワードや端末ロックで守る
• 多要素認証やパスキーを重要なアカウントから設定し、端末紛失の備えも決める
• 共有、異動・退職、再発行、流出時の動き方を文書に残す

社内のアカウントやサイト管理の整理に迷ったら、無料相談でお気軽にご相談ください。