中小企業のパスワード管理と多要素認証の始め方

メール、会計ソフト、ネットバンキング、取引先とのファイル共有など、仕事で使うサービスにはどれもIDとパスワードがあります。IT担当者がいない会社では、パスワードの決め方も保管のしかたも社員任せになりがちです。この記事では、社内のパスワードルールの決め方から、多要素認証の選び方と導入手順、つまずきやすい点まで、今日から始められる順に整理します。

1. パスワード管理が会社の守りになる理由

不正ログインの多くは、特別な技術よりも、弱いパスワードや使い回しから起こります。あるサービスから流出したIDとパスワードを、攻撃者が別のサービスで試す手口があるためです。社員が私用のサービスと同じパスワードを仕事のメールに使っていれば、会社とは関係のない流出から社内に入られるおそれがあります。

IPA（情報処理推進機構）が中小企業向けにまとめた「情報セキュリティ6か条」でも、「パスワードを強化しよう！」が基本対策の一つに挙げられています。パスワードは「長く」「複雑に」「使い回さない」ようにして強化し、可能な場合は多要素認証やパスキーなどの認証を強める機能を使う、という内容です。詳しくはIPAの「中小企業の情報セキュリティ対策ガイドライン」で確認できます。

メールのアカウントに入られると、取引先へのなりすましメールや、請求書の振込先を書き換える詐欺に使われることがあります。被害は自社だけにとどまりません。パスワード管理は、取引先からの信頼を守るための仕事でもあります。

2. 社内のパスワードルールを決める

まずは、社員全員が守れる短いルールを決めます。以前は「3か月ごとに変更する」「記号を必ず入れる」といったルールがよく使われていました。しかし、頻繁に変えさせると「末尾の数字だけ変える」ような規則的なパスワードが増え、かえって推測されやすくなります。

総務省の「国民のためのサイバーセキュリティサイト」では、流出の事実がなければパスワードを変更する必要はなく、定期的に変えるよりも、機器やサービスの間で使い回しのない固有のパスワードを設定することが求められる、としています（安全なパスワードの設定・管理）。社内ルールも、この考え方に合わせて見直しましょう。

ルールは一枚の紙に収まる量にし、なぜそうするのかを一言ずつ添えます。たとえば「使い回さない：ほかのサービスで流出したときに、会社のアカウントまで入られないようにするため」と書けば、社員も納得して守りやすくなります。ルールの対象は、会社のメールやクラウドサービスだけでなく、ルーターや複合機の管理画面、ネットバンキングまで含めて考えましょう。

3. パスワードの保管と共有のしかた

付箋やExcelの一覧は見直す

パスワードを長く、サービスごとに別にすると、覚えきれなくなります。そこで、モニターに付箋を貼ったり、パスワードを並べたExcelファイルを共有フォルダに置いたりする会社は少なくありません。付箋は来客や清掃の業者からも見えますし、Excelの一覧は、共有フォルダに入られたときにすべてのパスワードを一度に渡すことになります。

パスワード管理ツールを会社で選ぶ

パスワード管理ツールは、IDとパスワードを暗号化して保管し、ログインのときに呼び出せる仕組みです。一つの強いパスワード（マスターパスワード）と多要素認証でツールを守れば、ほかのパスワードは覚えなくて済みます。長くランダムなパスワードを自動で作る機能があるものも多く、使い回しを減らせます。

会社で使う場合は、社員がそれぞれ好きなツールを入れるのではなく、会社として一つを選びます。確認したいのは、管理者が利用者を追加・削除できるか、部署ごとに共有の範囲を分けられるか、退職者の利用を止められるか、といった点です。料金やプランの内容はツールごとに違い、変わることもあるため、最新の情報は各サービスの公式サイトで確認してください。

共有アカウントは減らし、残すなら管理者を決める

「受付用」「経理用」のように、複数の人が同じIDとパスワードを使うアカウントは、誰がいつ使ったのかが分からなくなります。退職者が出るたびにパスワードを変える必要もあり、変更し忘れも起きやすくなります。サービスが対応していれば、一人ひとりにアカウントを発行し、必要な権限を付ける形に切り替えましょう。どうしても共有が必要なアカウントは、管理する人を決め、パスワード管理ツールの共有機能で必要な人だけに渡します。チャットや通常のメールにパスワードをそのまま書いて送るのは避けてください。

4. 多要素認証の仕組みと方式の選び方

多要素認証は、「知っているもの」（パスワードなど）、「持っているもの」（スマホやセキュリティキーなど）、「本人に関するもの」（指紋や顔など）のうち、二つ以上を組み合わせて本人を確かめる仕組みです。パスワードが漏れても、もう一つの要素がなければログインできないため、不正ログインの被害を大きく減らせます。Googleでは同じような仕組みを「2段階認証プロセス」と呼んでいます。

方式にはいくつかの種類があり、手軽さと強さが違います。社員のスマホの状況や、使っているサービスが対応している方式を見て選びましょう。

IPAの解説では、パスキーはパスワードや確認コードを入力しないため、偽サイトに認証情報を盗まれにくい方式だと説明されています。一方で、SMSで届く確認コードを盗もうとする手口も確認されているとして、不審なメールやサイトに注意するよう呼びかけています。最初は認証アプリを基本にし、対応しているサービスから順にパスキーを使う、という進め方が取り組みやすいでしょう。

5. 多要素認証を社内に導入する手順

1. 使っているサービスを洗い出す：メール、ファイル共有、会計、勤怠、ネットバンキング、ホームページの管理画面などを一覧にし、多要素認証に対応しているかを確認します。社外に情報が出たときの影響が大きいものから優先します。
2. 管理者アカウントから始める：設定を変えられる管理者のアカウントは、狙われたときの被害が大きくなります。社員に広げる前に、管理者が先に設定し、登録の手順や画面を確かめておきます。
3. 社員に予定と理由を伝える：なぜ始めるのか、いつまでに登録するのか、どの方式を使うのか、困ったときの連絡先はどこかを伝えます。登録手順は画面の写真付きで一枚にまとめると、問い合わせが減ります。
4. 登録期間を設けてから必須にする：いきなり必須にすると、登録が済んでいない社員がログインできなくなります。登録状況を確認し、全員が終わったところで必須に切り替えます。
5. 例外と復旧の手順を決める：スマホを持っていない社員や、スマホを紛失したときの対応を決めます。本人確認をしてから認証をやり直す手順を、管理者が実行できるようにしておきます。

Microsoft 365を使っている場合

Microsoft 365のアカウントは、Microsoft Entra IDという仕組みで管理されています。Microsoftの公式ドキュメントでは、「セキュリティの既定値群」を有効にすると、追加費用なしで、すべてのユーザーに多要素認証の登録を求め、管理者にはサインインのたびに多要素認証を求める設定が適用されると説明されています。多要素認証に対応しない古い接続方式もブロックされるため、古いメールソフトや、スキャンをメールで送る複合機を使っている場合は、先に影響を確認してください（Microsoft Learn：セキュリティの既定値群）。上位のライセンスで「条件付きアクセス」を使っている場合は、設定の考え方が変わります。

Google Workspaceを使っている場合

Google Workspaceでは、管理コンソールでユーザーが2段階認証プロセスを使えるようにし、登録を案内してから、組織部門やグループごとに必須にできます。Googleのヘルプでは、必須にするときに新しいユーザーの登録期間を設定でき、その間はパスワードだけでログインできると案内されています。SMSや電話以外の方式に限定する設定もあるため、使ってほしい方式を先に決めておきましょう（Google Workspace 管理者ヘルプ：2 段階認証プロセスを導入する）。

どちらの場合も、画面の名前や設定の項目は変わることがあります。作業の前に、最新の公式ドキュメントを確認してください。Microsoft 365の導入や移行全体の流れは、中小企業のMicrosoft 365導入・移行手順でも紹介しています。

6. 導入後につまずきやすい場面と備え

多要素認証は、設定したあとの運用でつまずくことが多い仕組みです。よくある場面を先に想定し、対応を決めておきましょう。

• スマホの機種変更：古いスマホを手放す前に、認証アプリの引き継ぎか、新しいスマホでの登録をやり直すよう案内します。手放してから気づくと、管理者による再設定が必要になります。
• スマホの紛失や故障：本人からの連絡を受けたら、本人確認をしたうえで、管理者が認証の登録をやり直せるようにします。連絡先は登録手順の紙に書いておきます。
• 管理者が一人しかいない：その人がログインできなくなると、誰も設定を直せなくなります。管理者の権限を持つ人を二人以上にするか、外部の支援先と復旧の手順を共有しておきます。
• 入社と退職：入社時はアカウントの発行と多要素認証の登録をセットで行います。退職時は、アカウントの停止、パスワード管理ツールの共有の解除、共有アカウントのパスワード変更を同じ日に行います。
• 確認の通知が何度も届く：本人がログインしていないのに承認を求める通知が届いたら、承認せずに管理者へ連絡するよう伝えます。誰かがパスワードを知っている可能性があるため、パスワードも変更します。

こうした対応は、担当者の頭の中だけにあると、休みや異動のときに止まってしまいます。手順は短い文書にまとめ、管理者が見られる場所に置いておきましょう。

7. 今日から使えるチェックリスト

自社の状況を確かめるために、次の項目を順に見てください。できていない項目があれば、上から順に取り組むと進めやすくなります。

すべてを一度に整える必要はありません。たとえば今月は管理者アカウントの多要素認証とルールづくり、来月は社員への展開、その次はパスワード管理ツールの検討、というように、月ごとに一つずつ進める計画でも十分に効果があります。

まとめ：ルールを短く決め、管理者から多要素認証を

パスワード管理は、長く、推測されにくく、使い回さないパスワードを、安全な方法で保管することが基本です。定期的な変更よりも、流出したときにすぐ変えられる体制を整えましょう。そのうえで多要素認証を加えれば、パスワードが漏れたときの被害を大きく減らせます。まずは仕事で使うサービスを一覧にし、管理者アカウントの多要素認証から始めてみてください。

この記事を書いた人：栗原 勇太（Arcle代表）
代表メッセージを見る