会社のパスワード管理方法｜初心者IT担当が決めるルールと安全な運用

会社のアカウント管理を任されると、

「パスワードは8文字以上」
「大文字・小文字・数字・記号を全部入れる」
「90日ごとに変更する」

といったルールを、そのまま社員へ適用してよいのか迷うことがあります。

こうしたルールは長く使われてきましたが、現在のパスワード管理では、単純に「複雑にして頻繁に変える」ことだけを重視する考え方から変わってきています。

重要なのは、

• 十分な長さを確保する
• 同じパスワードを使い回さない
• よく使われる・漏えい済みのパスワードを避ける
• 漏えいが疑われたときに速やかに変更する
• 多要素認証（MFA）と組み合わせる
• 社員個人の記憶だけに管理を任せない

といった仕組みを会社として整えることです。

この記事では、初心者IT担当向けに、現在の考え方を踏まえた会社のパスワード管理方法を整理します。

会社にパスワード管理ルールが必要な理由

パスワード管理を社員一人ひとりの注意力だけに任せると、運用がばらばらになります。

たとえば、

• 短いパスワードを使っている
• 複数サービスで同じパスワードを使っている
• Excelにパスワード一覧を作って共有フォルダへ置いている
• 複数人で同じ管理者アカウントを使っている
• 退職者が知っている共有パスワードをそのまま使い続けている

といった状態です。

こうした問題は、社員一人の意識だけでは解決しにくいものです。

会社として、

• パスワードの作り方
• 保管方法
• 共有方法
• 初期発行
• リセット
• 退職・異動
• 管理者アカウント

までルールを決めておく必要があります。

アカウントそのものの発行・変更・棚卸しについては、社内アカウント管理の方法｜初心者IT担当が最初に作る台帳と運用ルールでも整理しています。

「複雑にして頻繁に変更する」だけでは不十分

パスワードについて、現在もよく見かけるのが、

• 8文字以上
• 英大文字を1文字以上
• 英小文字を1文字以上
• 数字を1文字以上
• 記号を1文字以上
• 90日ごとに変更

というルールです。

しかし、現在のNIST SP 800-63B-4では、こうした文字種の組み合わせを強制するルールを要求していません。

また、漏えいなどの証拠がない状態で、パスワードを定期的に変更させることも要求していません。

頻繁な変更や複雑性ルールを強制すると、利用者が、

• 末尾の数字だけ変える
• 記号を決まった場所へ付ける
• 覚えやすい短い単語を変形する
• 同じパスワードを複数サービスで使い回す

といった予測しやすい行動を取ることがあります。

そのため現在は、単に複雑性を上げるよりも、長さ・使い回し防止・漏えい済みパスワードの排除などを重視します。

パスワードは何文字にすればよい？

NIST SP 800-63B-4では、認証システム側に対して次の基準を示しています。

認証方法	NIST SP 800-63B-4の最低長
パスワードだけで認証する場合	15文字以上
MFAの一部としてパスワードを使う場合	8文字以上

ここで注意したいのは、この数字を、

「日本のすべての会社は必ず15文字にしなければならない」

と解釈しないことです。

NISTのガイドラインは、会社のパスワードポリシーを考えるうえで非常に有力な基準ですが、実際には利用しているサービスの仕様や、自社のリスク、MFAの有無なども合わせて決めます。

ただし、

「8文字あれば十分」

という考え方をそのまま会社の標準にするのは避けた方がよいでしょう。

サービス側が対応しているのであれば、長いパスワードを設定できる環境を用意することが重要です。

文字種を全部混ぜることより長さを重視する

「大文字・小文字・数字・記号をすべて使う」というルールは、一見すると強そうに見えます。

しかし、社員が毎回、

単語 + 数字 + !

のような似たパターンを使ってしまえば、ルールを満たしていても予測されやすくなります。

そのため、

文字種を全部入れたかどうかだけで安全性を判断しない

ことが重要です。

サービス側に独自の文字種ルールがある場合は従う必要がありますが、会社独自のルールとして必要以上に複雑性を追加するより、

• 十分な長さ
• サービスごとに異なる値
• よく使われるパスワードを避ける

ことを優先します。

サービスごとに異なるパスワードを使う

会社のパスワード管理で特に重要なのが、使い回しを防ぐことです。

たとえば社員が、

• メール
• 勤怠管理
• 会計サービス
• ファイル共有
• CRM

ですべて同じパスワードを使っていたとします。

どれか1つのサービスから認証情報が漏れると、そのID・パスワードを他サービスでも試される可能性があります。

このような攻撃を、クレデンシャルスタッフィングなどと呼びます。

そのため、

1サービスにつき1つの固有パスワード

を基本にします。

よく使われる・漏えい済みのパスワードを避ける

長いパスワードでも、多くの人が使っている文字列なら安全とは限りません。

NIST SP 800-63B-4では、パスワードを設定・変更するときに、

• よく使われているもの
• 推測されやすいもの
• 過去に漏えいしたもの
• サービス名などから予測できるもの

などを含むブロックリストと照合することを求めています。

会社で利用しているID管理サービスやクラウドサービスに、こうしたパスワード保護機能がある場合は活用を検討します。

ただし、機能の有無や設定方法はサービスによって異なります。

自社でインターネット上の漏えいパスワード一覧をダウンロードして独自管理するのではなく、まず利用サービスやID管理基盤が提供している保護機能を確認しましょう。

会社名や氏名など推測しやすい文字列を避ける

次のような情報を、そのままパスワードにするのも避けます。

• 会社名
• サービス名
• ユーザー名
• 社員名
• 部署名
• 生年月日
• 電話番号
• 連続した数字
• キーボード上で並んだ文字

攻撃者が会社や社員について調べれば推測できる情報は、パスワードには向きません。

定期的なパスワード変更を一律に強制しない

「90日ごとに変更」のようなルールも、現在は一律に設定する必要はありません。

NIST SP 800-63B-4では、パスワードを定期的に変更することを要求せず、認証情報が侵害された証拠がある場合には変更させる考え方になっています。

つまり、

「期限が来たから変更する」

より、

「漏えいした可能性があるから変更する」

という運用を重視します。

漏えい・不正利用が疑われたら変更する

定期変更をしないからといって、ずっと同じパスワードを使い続ければよいわけではありません。

次のような場合は、速やかな対応が必要です。

• フィッシングサイトへパスワードを入力した
• パスワード漏えいの警告が出た
• 身に覚えのないログインがあった
• 利用サービスから情報漏えいの通知を受けた
• マルウェアなどによる認証情報窃取が疑われる

この場合は該当パスワードを変更し、同じパスワードを他サービスでも使っていた場合は、そちらも変更します。

不審メールから認証情報を入力してしまった場合の初動は、不審メールを開いてしまったときの対処法｜リンク・添付・情報入力別の初動対応でも解説しています。

パスフレーズも選択肢になる

人が覚える必要があるパスワードでは、長さを確保する方法として「パスフレーズ」という考え方もあります。

短く複雑な文字列を無理に覚えるのではなく、長い文字列を使う方法です。

ただし、

• 有名な文章
• 歌詞
• ことわざ
• 会社で全員が同じ形式を使う

といった予測しやすいものは避けます。

また、多数のサービスについて社員が長いパスワードをすべて暗記する必要はありません。

そのため、実務ではパスワードマネージャーを利用する方法も検討します。

法人向けパスワードマネージャーを使う

サービスごとに長く固有のパスワードを設定すると、それらを人間がすべて覚えるのは現実的ではありません。

そこで使われるのがパスワードマネージャーです。

パスワードマネージャーを利用すると、

• サービスごとに異なるパスワードを生成する
• 長いランダムなパスワードを保存する
• 必要な社員だけに資格情報へのアクセスを許可する

といった運用がしやすくなります。

会社で導入する場合は、パスワードを保存できることだけでなく、

• 組織としてアカウントを管理できるか
• MFAに対応しているか
• 社員の追加・削除がしやすいか
• 共有範囲を制御できるか
• 管理・監査に必要な機能があるか
• 退職者のアクセスをすぐ止められるか

なども確認します。

パスワードマネージャー自体が重要な認証情報を集める場所になるため、そのアカウントも強く保護する必要があります。

Excel・共有フォルダでパスワード一覧を管理しない

避けたいのが、

会社のパスワード一覧.xlsx

のようなファイルを作り、共有フォルダへ置く運用です。

この方法では、

• 誰が閲覧したか把握しにくい
• コピーされたことに気づきにくい
• パスワード変更後の更新漏れが起こる
• 必要以上の社員が閲覧できる

といった問題が起こります。

特に、暗号化されていないExcelやテキストファイルへパスワードをまとめて保存し、複数人で共有する運用は避けましょう。

共有が必要な資格情報は、アクセス制御できる組織向けの管理方法を使う方が適しています。

紙への記録は用途と保管方法で考える

紙へ書くこと自体を、すべて禁止する必要はありません。

たとえば、

• 緊急時用の復旧コード
• 非常用アカウントの情報

などを、施錠された場所へ厳重に保管する運用が適する場合もあります。

一方、

• PCに付箋で貼る
• デスクの上に置く
• 誰でも開ける引き出しへ入れる

といった状態は避ける必要があります。

重要なのは、媒体そのものではなく、

誰がアクセスでき、利用したことを管理できるか

という点です。

ブラウザのパスワード保存を一律禁止する必要はない

ブラウザのパスワード保存機能も、

「ブラウザだから危険」

と一律に判断する必要はありません。

たとえば、

• 会社管理PCだけで使う
• OSのログインを適切に保護する
• ディスク暗号化を利用する
• ブラウザ同期に使うアカウントをMFAで保護する
• 私物アカウントへ業務パスワードを同期させない

といった管理ができていれば、一般社員向けの選択肢になる場合があります。

一方、会社として資格情報の共有・棚卸し・退職者管理まで行いたい場合は、法人向けパスワードマネージャーの方が管理しやすいことがあります。

会社として、

ブラウザ保存を許可するのか、組織指定のパスワードマネージャーへ統一するのか

を決めておきましょう。

共有アカウントはできるだけ減らす

複数人で1つのIDとパスワードを使う共有アカウントは、できるだけ減らします。

共有アカウントでは、

• 誰が操作したか分からない
• 退職者だけアクセスを止めにくい
• パスワード変更の影響範囲が大きい
• MFAを誰の端末へ登録するか困る

といった問題が起こります。

可能なら、

社員ごとに個別アカウントを発行し、必要な権限だけ与える

運用を基本にします。

どうしても共有資格情報が必要な場合

サービスの仕様上、どうしても1つの資格情報を複数人で使わなければならない場合もあります。

その場合は、

• パスワードマネージャーなどでアクセス権を制御する
• 利用できる社員を必要最小限にする
• 誰にアクセス権を与えているか管理する
• メンバー変更時にアクセス権を見直す
• パスワードを本人が知っていた場合は、退職・異動時に変更する

といった運用を行います。

「共有だからチャットでパスワードを送る」という管理にはしないようにしましょう。

管理者アカウントは一般社員より厳重に扱う

Microsoft 365、Google Workspace、サーバー、ネットワーク機器などの管理者アカウントは、一般社員より被害が大きくなります。

そのため、

• 日常業務用アカウントと管理者アカウントを分ける
• 強い認証方法を設定する
• MFAを利用する
• 管理者権限を持つ人数を必要最小限にする

といった対策を優先します。

管理者を含めたMFAの導入方法については、多要素認証（MFA）とは？会社で導入するときの方法と注意点で詳しく整理しています。

初期パスワードを全社員共通にしない

新入社員などへアカウントを発行するときに、

全員の初期パスワードを同じ文字列にする

運用は避けましょう。

初期パスワードを使う必要がある場合は、社員ごとに異なるランダムな値を発行します。

利用しているサービスが、

• 招待リンク
• 一時的なアクセス方法
• 初回利用用のワンタイム資格情報
• 初回ログイン時の変更要求

などに対応している場合は、その仕組みを優先して利用します。

また、初期パスワードを長期間有効なまま放置しないことも重要です。

パスワードリセット時は本人確認を行う

社員から、

「パスワードを忘れました」

と連絡が来たからといって、申告だけを信じてすぐ変更するのは危険です。

攻撃者が社員になりすまし、IT担当へパスワードリセットを依頼する可能性があるからです。

会社として、

• 上長や登録済み連絡先などを使った確認
• 社内で定めた本人確認方法
• サービスのセルフサービスリセット機能

など、本人確認方法を決めておきます。

特に管理者や重要アカウントでは、ヘルプデスクへの電話一本だけで認証を解除しないようにしましょう。

退職・異動時にもパスワード管理が必要

社員が退職するときは、本人のアカウントを停止するだけではありません。

その社員が、

• 共有パスワードを知っていた
• パスワードマネージャーへアクセスできた
• 管理者資格情報を使っていた

場合は、それらも確認します。

必要に応じて、

• パスワードマネージャーのアクセス権削除
• 共有資格情報の変更
• 管理者権限の削除

を行います。

退職時のIT対応全体については、社員が退職するときのIT対応チェックリスト｜アカウント停止・PC回収の手順も確認してください。

MFAを導入してもパスワード管理は必要

MFAを導入すれば、パスワードだけを盗まれた場合の不正ログインリスクを大きく下げられます。

しかし、

MFAがあるから弱いパスワードでもよい

という意味ではありません。

パスワードが漏れれば、

• 攻撃者からMFA通知を何度も送られる
• 別サービスで使い回していたパスワードを悪用される
• MFAが設定されていない古いサービスを突破される

といった別のリスクが残ります。

そのため、

固有で適切なパスワード ＋ MFA

を組み合わせることが基本です。

初心者IT担当が最初に決めるパスワードルール

最後に、会社として最低限決めておきたい項目を整理します。

項目	基本的な考え方
長さ	短いパスワードを基準にしない。NISTでは単独認証15文字以上、MFAの一部なら最低8文字を基準としている
文字種	大文字・小文字・数字・記号のすべてを会社独自に強制することを基本にしない
使い回し	サービスごとに異なるパスワードを使う
漏えい対策	利用サービスにブロックリスト等の保護機能があれば活用する
定期変更	日数だけを理由に一律変更させず、侵害が疑われたときに変更する
保管	平文のExcelや共有フォルダへ一覧化しない
管理ツール	必要に応じて法人向けパスワードマネージャーを導入する
ブラウザ保存	一律禁止ではなく、会社管理端末・同期・端末保護を含めてルール化する
共有アカウント	できるだけ減らし、個別アカウントを基本にする
管理者	一般アカウントと分け、MFAなど強い認証を優先する
初期発行	全員共通の初期パスワードを使わない
リセット	本人確認方法を事前に決める
退職・異動	アカウント停止だけでなく共有資格情報へのアクセスも確認する

最初から複雑なパスワード規程を作る必要はありません。

まずは、

長くする・使い回さない・安全に保管する・MFAを使う・退職者のアクセスを残さない

という基本から整えることが重要です。

パスワード管理は社員一人ひとりの記憶力や注意力に任せるものではありません。

会社として守りやすいルールと仕組みを作り、そのルールを無理なく継続できる状態にしていきましょう。