お世話になっております！新入社員の道守みちるです！
白状します。わたしはパスワードを覚えるのが、絶望的に苦手です。
そして世の中の「安全なパスワードの作り方」を読むたびに、こう思っていました。それ、全部覚えられる人います？
厳しいルールを決めても、現場が守れなければ意味がありません。というわけで今回は、中小企業やフリーランスにとっての、現実的な落とし所を探してみます。
この記事で扱うのは、だいたいこの3つです。🔐
- 「複雑さ」より、はるかに効く一点
- 定期変更が推奨されなくなった件（根拠つき）
- 結局どこに保管するのか、そして何から手を付けるか
いちばん効くのは「使い回さない」でした🤔
記号を混ぜる、大文字を入れる、20文字にする。どれも意味はあります。ただ、それより先に効くことがありました。
同じパスワードを、複数のサービスで使い回さない。
理由は仕組みを知ると納得できます。どこかのサービスからIDとパスワードの組み合わせが流出すると、そのリストを使って他のサービスへ次々とログインを試す、という攻撃の手口が知られています。使い回していると、1か所の流出が全部に波及してしまうわけです。
逆に言えば、使い回していなければ、被害は流出したそのサービスの中で止まります。
【最重要】パスワード対策の第一歩は、複雑にすることではなく分けることです。
【重要】定期的な変更は、もう推奨されていません
ここ、社内ルールが古いままになっている会社が多いところだと思います。わたしも「3か月ごとに変更」が正しいものだと思い込んでいました。
総務省の「国民のためのサイバーセキュリティサイト」には、流出などの事実がない場合は変更する必要はない、という趣旨が明記されています。むしろ定期的な変更を求めるほうが、パスワードの作り方がパターン化して簡単になったり、使い回しを招いたりするほうが問題だ、と説明されています。
同サイトでは、その根拠として米国国立標準技術研究所（NIST）のガイドライン SP800-63B と、内閣サイバーセキュリティセンター（NISC）の見解が挙げられています。
- 出典：総務省「安全なパスワードの設定・管理」（国民のためのサイバーセキュリティサイト）
【Point】変更すべきなのは「期間が来たとき」ではなく、流出や乗っ取りが疑われるときです。
もし社内規程に「定期変更」が残っているなら、見直しの検討材料になると思います。ただ、取引先や業界のルールで定期変更が求められている場合もあるので、そこは確認が必要です。
じゃあ、どこに保管するの？
使い回さない、となると当然こうなります。覚えられない。
現実に使われている保管方法を並べてみます。
| 方法 | 気をつけたいところ |
|---|---|
| 頭で覚える | 数が増えると破綻し、結果として使い回しに戻りやすい |
| ディスプレイ横の付箋 | 他人の目に触れる場所への貼り付けは避けるべきとされています |
| 共有のExcelファイル | 置き場所と閲覧できる人を絞れているかが分かれ目 |
| ブラウザやスマホの保存機能 | 端末のロック（生体認証など）で守られていることが前提 |
| 専用のパスワード管理ツール | マスターパスワードが破られると全部が開くので、そこだけは強く |
総務省の解説では、パスワードを覚える必要のない管理ツールを使うことも推奨されています。ブラウザやスマホの標準機能でも構わない、という書かれ方です。「専用ソフトを買わないとダメ」ではないところが、小さな会社にはありがたいと思いました。
なお、どのツールがいいかについては、会社の事情によりすぎるので、わたしからは特定の製品名を挙げません。
全社に広げる前に、守る対象を3つに絞る
ここからは、わたしの考えです。
「全社員が、全サービスで、強いパスワードを、管理ツールで」。これを一度にやろうとすると、たぶん止まります。人は、増えた手間の分だけ抜け道を探すので。
なので、先に対象を絞るのがいいと思っています。目安はこの3つです。
- お金が動くもの（ネットバンキング、決済サービス）
- 他のアカウントの入口になるもの（会社のメール、Googleなどのアカウント）
- お客様の情報が入っているもの（顧客管理、予約システム）
特に2つ目は見落としがちです。メールを取られると、他のサービスのパスワード再設定が全部そこを通ってしまいます。メールは鍵束だと考えると分かりやすいかもしれません。
たぶん、いちばん効くのは多要素認証です
パスワードの話をしておいて何ですが、総務省の同じページでは多要素認証の活用も勧められています。
多要素認証を日本語で言い直すと、「知っていること（パスワード）」「持っているもの（スマホなど）」「体の特徴（指紋・顔）」のうち、2つ以上を組み合わせて本人確認をすること。パスワードだけが漏れても、それだけでは入られない状態を作る仕組みです。
【Point】上に挙げた3つの対象については、パスワードを強くするより先に、多要素認証が設定できるかを確認するほうが早いと思います。
それでも、正直むずかしいと思っていること
ここまで書いておいて、きれいにまとめられない部分があります。
【結論】複数人で1つのアカウントを共有している状況を、どうやってきれいに解くのか。これはわたしにはまだ答えが出せません。
「アカウントは1人1つに」が原則なのは分かります。ただ、人数分の利用料が発生するサービスもありますし、シフト制の職場で全員に配るのが現実的でない場面もあると思います。理屈だけで「共有はやめましょう」と書くのは、たぶん役に立ちません。
今のわたしに言えるのは、せめて共有しているアカウントの一覧を、紙でもいいので持っておくところまでです。誰が知っているのかが分からない状態が、いちばん動けません。
この「社内の中身を誰が把握しているか」という話は、内製か外注かの判断チェックリストでも、AI時代のSIの記事でも、結局同じところに戻ってきました。技術の話に見えて、たいてい人と記録の話です。
歯切れが悪くてすみません。でも、守れないルールを書くより、守れる範囲を書くほうが役に立つと思っています。
