【連載第5回】パスワード管理とアカウント運用のベストプラクティス
「全員同じパスワードを使っている」「退職者のアカウントがまだ生きている」「admin / password で管理画面に入れる」――中小企業の現場では、こうした状況は珍しくありません。
パスワードに関する最新の考え方
NISTの推奨（2024年改訂版）
米国国立標準技術研究所（NIST）のガイドラインでは、従来の「定期変更」から方針が大きく変わっています。
- 定期的なパスワード変更は不要（漏洩が確認された場合のみ変更）
- 最低8文字以上（推奨は12文字以上）
- 複雑性ルール（大文字小文字記号必須）は非推奨（覚えにくく、単純なパターンに陥りやすい）
- パスフレーズを推奨（例: 「コーヒー好きな猫が3匹いる」）
定期変更をやめるには条件がある
「定期変更が不要」という部分だけが独り歩きしがちですが、これは他の対策とセットで成立する考え方です。次が満たされていない状態で変更をやめると、単に防御が弱くなります。
- 多要素認証が有効になっている — パスワードが漏れても、それだけでは入れない状態を作る
- 漏えいを検知する仕組みがある — 流出したパスワードが使われていないかを確認できる
- 十分な長さが確保されている — 短いパスワードを変えずに使い続けるのは危険です
Microsoft 365 や Google Workspace では、流出が確認された資格情報の使用を検知して警告する機能が管理者向けに提供されています。定期変更を廃止する場合は、この通知を受け取る担当者を決めておいてください。通知先が誰も見ていない管理者アカウントのままでは意味がありません。
パスワードマネージャーの導入
1Passwordやbitwardenなどのパスワードマネージャーを導入すれば、各サービスに固有の強力なパスワードを設定しつつ、ユーザーが覚えるのはマスターパスワード1つだけで済みます。
導入時に決めておくべきこと
- マスターパスワードを忘れた場合の復旧手段 — 個人向けプランでは復旧できない設計の製品があります。法人向けプランを選び、管理者による復旧を可能にしてください
- 退職時の扱い — 業務用のボールト（保管庫）を個人アカウントに作らせると、退職時に取り出せなくなります。組織の管理下にある共有ボールトを使わせてください
- 共有範囲 — 「全社共有ボールト」に何でも入れると、権限管理をしていないのと同じになります。部門・用途で分けます
- ブラウザの保存機能との併用をやめる — 二重管理になると、どちらが最新か分からなくなります
パスキーへの移行も検討する
パスワードそのものを使わない**パスキー（FIDO2）**への対応が、主要なクラウドサービスで進んでいます。フィッシングで盗まれる仕組みが原理的に存在しないため、MFAの中でも最も強い方式です。
全社一斉の移行は現実的でないため、管理者アカウントから先に適用する進め方が効果的です。権限の強いアカウントほど狙われやすく、対象人数も少ないため、着手のハードルが低くなります。
アカウント管理の5つのルール
1. 個人アカウントを原則とする
「info@」「admin@」のような共有アカウントは、誰が何をしたか追跡できません。各社員に個人アカウントを発行し、権限管理を行いましょう。
どうしても共有せざるを得ない場合（代表メールアドレス、契約の都合で1つしか作れないSaaSなど）は、次の運用にしてください。
- 共有メールボックスや委任機能を使う — Microsoft 365 の共有メールボックスなら、個人アカウントで認証したうえで代表アドレスを扱えます。誰が操作したかも記録に残ります
- どうしても資格情報を共有するなら、パスワードマネージャーの共有ボールト経由にする — 口頭・チャット・付箋での共有をやめます
- 共有している人の一覧を管理する — 退職・異動のたびにパスワードを変更する必要があるため、対象者が分からないと変更漏れが起きます
2. 入社・退職のアカウント管理フローを整備する
- 入社時: アカウント作成 → 必要なライセンス付与 → 端末キッティング
- 退職時: アカウント無効化 → ライセンス回収 → データ保全 → 一定期間後に削除
退職時は「無効化」と「削除」を分けて考えてください。
| 操作 | タイミング | 注意点 |
|---|---|---|
| 無効化（サインイン禁止） | 退職日当日 | データは残る。まずこれを実行する |
| セッションの取り消し | 無効化と同時 | ログイン済みの端末が使えたままになるのを防ぐ |
| データの引き継ぎ | 無効化後 | メール・OneDriveの内容を上長へ移管 |
| 削除 | 一定期間後 | 削除するとデータも消える。ライセンスを外すと猶予期間後に消えるサービスもある |
急いでライセンスを剥がさないでください。 Microsoft 365 ではライセンスを削除すると、一定の猶予期間を過ぎてデータが失われます。引き継ぎが済むまでは、無効化のみで止めておくのが安全です。詳細は退職者対応のチェックリストにまとめています。
3. 管理者アカウントと通常アカウントを分離する
IT管理者であっても、日常業務には通常アカウントを使い、管理作業時のみ管理者アカウントに切り替えます。
あわせて、緊急用アカウント（ブレークグラスアカウント）を1つ用意してください。 条件付きアクセスの設定ミスやMFAの障害で、管理者全員が締め出される事故が実際に起きています。
- 条件付きアクセスの対象から除外する（例外として明示的に設定）
- パスワードは長大なものにし、印刷して施錠保管する
- 通常は使わない。使用されたら通知が飛ぶように設定する
- 年1回、ログインできるかを確認する
4. アクセス権の定期棚卸し
半年に1回、誰がどのサービスにアクセスできるかを確認します。不要な権限は削除します。
棚卸しで抜けやすいのは、情シスが把握していないSaaSです。シングルサインオンに載っていないサービスは、管理コンソールからは見えません。
- 経費精算の記録から探す — クレジットカードの明細に、知らないサービスの月額課金がないか
- 部門ごとに「業務で使っているサービス」を申告してもらう — 責めない前提で聞くこと。処分される空気があると申告されません
- 退職者の名前で契約されたサービスを確認する — 契約者が退職すると、更新も解約もできなくなります
5. 退職者アカウントは即日無効化
退職日当日にアカウントを無効化するプロセスを確立してください。「引き継ぎが終わるまで」と残しておくのは非常に危険です。
人事とIT担当の情報連携が要になります。 退職の連絡がIT担当に届くのが後日になる運用では、当日の無効化は実現できません。
- 人事システムや勤怠システムの退職処理と連動させる
- 難しければ、月次で人事から在籍者一覧をもらい、アカウント一覧と突き合わせる
- 突然の退職・懲戒に備え、即時無効化を誰が実行できるかを決めておく（IT担当者の不在時に止まらないように）
次回は、メールセキュリティの設定方法を解説します。
まとめ
- 定期変更の廃止はMFA・漏えい検知・十分な長さとセットで成立する。単独でやめると弱くなる
- 流出資格情報の警告を受け取る担当者を決める。誰も見ない管理者アドレス宛では意味がない
- パスワードマネージャーは法人向けプランを選び、管理者による復旧手段を確保する
- 業務用のボールトを個人アカウントに作らせない。退職時に取り出せなくなる
- パスキーは管理者アカウントから適用する。対象人数が少なく効果が大きい
- 共有アカウントが避けられないなら、共有メールボックス／委任機能を使い操作者を記録に残す
- 退職処理は無効化・セッション取り消し・引き継ぎ・削除を分ける。急いでライセンスを外さない
- 緊急用アカウントを1つ用意する。条件付きアクセスの設定ミスで全員が締め出される事故は実在する
- 棚卸しで抜けるのはSSO外のSaaS。経費明細と部門申告から探す
- 退職者名義の契約は、更新も解約もできなくなる前に洗い出す
- 即日無効化には人事との情報連携が前提。難しければ月次の在籍者突合で代替する
← 前回: 【連載第4回】多要素認証の設定ガイド ｜ 次回: 【連載第6回】メールセキュリティ設定 →
まとめ・ご相談
セキュリティ対策の強化をご検討の方は、Security365（セキュリティ運用・SOCライト）をご覧ください。
貴社のIT課題について、まずは60分の無料相談でお気軽にご相談ください。