「社員ごとにパスワードの管理方法が違う」「取引先から多要素認証の実施状況を聞かれたが、どのサービスに設定されているか分からない」。このような悩みを抱えている中小企業は少なくありません。
パスワードを複雑にするよう社員へ呼びかけるだけでは、使い回しや共有アカウント、管理者不明といった問題は解消できません。また、多要素認証を一部の社員が設定していても、会社として登録状況を確認できなければ、未設定のアカウントが残ります。
中小企業が最初に行うことは、高額な製品の購入ではありません。総務担当者やIT兼任担当者が利用中のサービスと管理者を一覧にし、メールと管理者アカウントから多要素認証を設定します。その後、パスワード管理ツールや社内ルールを整え、全社員へ段階的に広げます。
この記事では、専任担当者がいない会社でも進められるように、パスワード管理と多要素認証の導入方法を順番に解説します。
この記事の結論
| 結論 最初の一歩は、パスワードそのものを集めることではありません。「サービス名・利用者・管理者・多要素認証の設定状況」を一覧にすることです。 |
- 業務で利用するサービスとアカウントを一覧にする
- 管理者、メール、VPN、会計などの重要アカウントを特定する
- パスワードの使い回しと共有アカウントを見直す
- 会社が認めるパスワード管理方法を決める
- 管理者とメールから多要素認証を設定する
- 紛失や機種変更に備えた復旧方法を用意する
- 全社員へ展開し、設定状況を記録する
IPAは、不正ログイン対策として、パスワードを長く複雑にし、複数のサービスで使い回さないことに加え、多要素認証の設定を推奨しています。
パスワード管理は社員任せにしない
| 現場でよくある会話 社長「パスワードは社員それぞれが覚えていればよいんじゃないか？」 担当者「個人に任せきると、使い回しや退職時の引き継ぎ状況を会社で確認できません。」 社長「パスワードの文字列ではなく、管理方法を会社で決める必要があるんだな。」 |
会社が管理すべきなのは、社員一人ひとりのパスワードそのものではありません。次のような運用ルールです。
- どのサービスを業務利用してよいか
- アカウントを誰が発行するか
- 管理者権限を誰が持つか
- パスワードをどのように保管するか
- 共有アカウントを認めるか
- 多要素認証を必須にするサービス
- 端末紛失時の連絡先
- 入社、異動、退職時の変更手順
- 漏えいが疑われた場合の報告先
社員のパスワードをExcelや紙へ集めると、その一覧自体が重要な機密情報になります。会社はパスワードの中身を集めるのではなく、ルールへの適合と多要素認証の登録状況を管理します。
安全なパスワード管理の基本
総務省は、推測されにくいパスワードを使い、他人に教えず、メールでやり取りせず、複数サービスで使い回さないよう案内しています。また、パスワード管理ツールの利用も選択肢として示しています。
サービスごとに異なるパスワードを使う
強いパスワードであっても、複数のサービスで使い回していれば安心できません。あるサービスからIDとパスワードが漏えいすると、その組み合わせをほかのサービスでも試される可能性があるためです。
- 業務用メール
- Microsoft 365やGoogle Workspace
- VPNやリモート接続
- 会計・給与・販売管理システム
- インターネットバンキング
- Webサイトやドメインの管理画面
- クラウドストレージ
- パスワード管理ツール
推測されやすい情報を使わない
- 会社名と現在の年
- 氏名や社員番号
- 生年月日や電話番号
- 「password」などの一般的な単語
- 「123456」や「qwerty」などの単純な並び
- 初期パスワード
- 以前のパスワードの末尾だけを変えたもの
文字の種類だけでなく、十分な長さ、推測されにくさ、使い回しの有無をまとめて確認します。
定期変更だけを目的にしない
漏えいした事実がないのに短期間で変更を繰り返すと、末尾の数字だけを変えるなど、パスワードが単純なパターンになることがあります。総務省は、定期的に変更することよりも、サービスごとに固有のパスワードを設定し、流出時に速やかに変更する考え方を案内しています。ただし、利用サービスや取引先との契約で変更ルールが定められている場合は、その条件も確認してください。
パスワード管理ツールを導入するときの確認項目
複数の長いパスワードを社員がすべて暗記するのは現実的ではありません。パスワード管理ツールを使うと、サービスごとに異なるパスワードを生成・保存しやすくなります。
| 確認項目 | 確認する内容 |
| 契約者 | 会社契約か、社員個人の契約か |
| 管理機能 | 利用者の追加・削除を管理者が行えるか |
| 多要素認証 | 管理ツール自体に設定できるか |
| 共有方法 | パスワードの文字列を見せずに共有できるか |
| 退職時の対応 | 保存情報を会社へ引き継げるか |
| 復旧方法 | マスターパスワードを忘れた場合の復旧方法 |
| 端末紛失 | 紛失端末から利用を停止できるか |
| 記録 | 管理操作や利用状況を確認できるか |
| サポート | 問い合わせ窓口と対応言語 |
| データ管理 | 保存場所、契約条件、バックアップ方法 |
特に重要なのは、パスワード管理ツールのマスターパスワードを使い回さず、ツール自体にも多要素認証を設定することです。
多要素認証とは
多要素認証、MFAとは、異なる種類の要素を2つ以上組み合わせて本人確認を行う仕組みです。
| 認証要素 | 意味 | 例 |
| 知識情報 | 本人が知っているもの | パスワード、PIN |
| 所持情報 | 本人が持っているもの | スマートフォン、セキュリティキー |
| 生体情報 | 本人の身体的な特徴 | 指紋、顔 |
たとえば、「パスワードを入力したあと、登録したスマートフォンの認証アプリで承認する」という方法は、知識情報と所持情報を組み合わせています。多要素認証は不正ログイン防止に有効ですが、すべての攻撃を完全に防ぐものではありません。身に覚えのない承認要求を許可したり、確認コードを偽サイトへ入力したりしないよう、社員への案内も必要です。
多要素認証を優先するアカウント
最優先
- Microsoft 365やGoogle Workspaceの管理者
- 業務用メール
- パスワード管理ツール
- インターネットバンキング
- VPNやリモート接続
- Webサイトやドメインの管理画面
次に対応
- 会計・給与・販売管理
- クラウドストレージ
- 顧客管理システム
- バックアップサービス
- SNSや広告アカウント
順次対応
- 勤怠管理
- 社内チャット
- ファイル転送サービス
- 閲覧専用の業務サービス
| 段階導入の考え方 担当者「全社員分を一度に設定するのは難しそうです。」 セキスペパートナー「まず管理者と業務用メールです。少人数で試してから全社へ広げれば大丈夫です。」 |
中小企業が多要素認証を導入する7つの手順
手順1．利用中のサービスを一覧にする
目的は、多要素認証の対象と優先順位を判断できるようにすることです。総務担当者またはIT兼任担当者が中心となり、各部署と外部IT業者へ確認します。
- サービス名
- 利用目的
- 利用者または部署
- 管理者
- 管理者権限を持つ人数
- 多要素認証の設定状況
- 使用している認証方法
- 外部IT業者の管理範囲
- 最終確認日
- 未対応事項
完了条件：メール、クラウド、VPN、会計、Webサイトなど、重要サービスの管理者と多要素認証の状態が分かること。
手順2．導入の優先順位を決める
管理者権限、パスワード再設定、顧客情報、金銭処理、社外アクセス、取引先への影響を基準にします。まず管理者とメール、次にVPN、会計、クラウドストレージなどへ広げます。
完了条件：優先順位と対応対象が決まっていること。
手順3．利用できる認証方法を確認する
認証アプリ、確認通知、パスキー、セキュリティキー、SMS、音声通話、ワンタイムパスワード用トークンなど、サービスが対応する方式を確認します。未設定のままにせず、利用可能な方式で始め、必要に応じてより強い方式へ移行します。
完了条件：対象サービスで利用する認証方法が決まっていること。
手順4．管理者と少人数で試す
初回登録、通常ログイン、端末を忘れた場合、機種変更、通知が届かない場合、圏外での利用、予備の認証方法、管理者による復旧を確認します。
完了条件：通常ログインと復旧の両方を試し、社員向け案内を作成できた状態。
手順5．復旧方法を準備する
予備の認証方法、復旧用コード、管理者による解除、緊急連絡先、予備の管理者、退職時の解除を準備します。復旧用コードは利用端末とは別の安全な場所で、アクセスできる人を限定して保管します。
完了条件：担当者不在時にも復旧できること。
手順6．社員へ案内して段階的に展開する
対象サービス、登録期限、認証方法、私物スマートフォンの利用可否、問い合わせ先、不審な要求を承認しないこと、認証コードを教えないこと、紛失時の連絡先、機種変更前の手順を案内します。
完了条件：対象者が期限と問い合わせ先を理解していること。
手順7．設定状況を確認して記録する
管理画面やレポートで登録状況を確認し、対象者、サービス、登録状態、登録日、方式、未登録理由、担当者、期限、最終確認日を記録します。パスワードや認証コードは記録しません。
完了条件：対象者ごとの登録状況と未対応者が分かること。
Microsoft 365で導入する場合
Microsoft 365では、Authenticator、パスキー、Windows Hello for Business、SMS、音声通話、ハードウェアトークンなどの方法が案内されています。会社側では、セキュリティの既定値、条件付きアクセス、従来のユーザーごとのMFAの違いを確認します。契約プランと現在の設定によって利用できる機能が異なるため、実際の変更前に最新の公式手順と外部IT業者の管理範囲を確認してください。
Google Workspaceで導入する場合
- 社員へ導入計画を通知する
- 利用者が2段階認証を登録できるようにする
- 社員に登録してもらう
- 管理画面で登録状況を確認する
- 登録済みであることを確認してから適用する
認証方法として、セキュリティキー、Googleからのメッセージ、認証アプリ、バックアップコード、SMSや電話、パスキーなどが案内されています。全社員へ即時に強制する前に、未登録者が残っていないかを確認してください。
よくある失敗と勘違い
多要素認証を設定したため、パスワードは共通でもよい
多要素認証とパスワードの使い回し防止は別々の対策です。パスワードもサービスごとに分けます。
認証通知を内容を見ずに承認する
身に覚えのない通知は承認しません。「自分が今ログインしている場合だけ承認する」と伝えます。
復旧方法を準備せずに全社へ適用する
スマートフォンの紛失、故障、機種変更に備え、予備の方法と管理者による復旧手順を先に確認します。
私物スマートフォンの利用を当然と考える
会社として利用可否、費用、紛失時の連絡、退職時の解除方法を決め、難しい社員には代替手段を用意します。
管理者アカウントを複数人で共有する
個人ごとにアカウントを発行し、必要な人だけに管理者権限を付与します。
外部IT業者に任せたままにする
設定作業を委託していても、管理者、対象、復旧手順、緊急連絡先は自社でも把握します。
外部IT業者へ確認したい質問
- 現在の管理者アカウントは誰が保有していますか
- 管理者アカウントを複数人で共有していませんか
- 多要素認証を適用できるサービスはどれですか
- 現在の未登録者を確認できますか
- 利用できる認証方法は何ですか
- 契約プランによる制限はありますか
- スマートフォン紛失時の復旧方法は何ですか
- 復旧用コードや予備の認証方法はどこで管理していますか
- 管理者が不在の場合、誰が解除できますか
- 退職者の認証端末を解除する手順はありますか
- 設定状況を一覧で出力できますか
- 契約終了時に管理権限を自社へ引き渡せますか
回答はメールや議事録として残し、アカウント管理表へ確認日を記録します。
よくある質問
小規模な会社でも多要素認証は必要ですか？
はい。まずは管理者と業務用メールから設定してください。社員数よりも、アカウントが扱う権限や情報の重要性で優先順位を判断します。
無料で始められますか？
利用中のサービスに標準機能として用意されている場合があります。追加費用の有無や利用可能な方式は、契約プランと公式情報を確認してください。
SMS認証でもよいですか？
ほかの方式を利用できない場合の導入手段にはなります。サービスが認証アプリ、パスキー、セキュリティキーなどを提供している場合は、それぞれの特徴を比較します。
パスワードは会社で一括管理すべきですか？
社員のパスワードそのものを一覧へ集めるのではなく、会社が認める管理方法とルールを統一します。共有が必要な業務アカウントは、管理ツールの共有機能などを検討してください。
外部IT業者へ任せればよいですか？
設定作業は依頼できますが、対象サービス、管理者、復旧方法、未登録者は自社でも把握します。
多要素認証は法律上の義務ですか？
すべての中小企業、すべてのサービスに一律で課される一般的な法的義務とは限りません。業界ルール、委託契約、取引先の要求、利用サービスの条件を個別に確認してください。
まとめ：まず管理者とメールから始めよう
- 利用サービスと管理者を把握する
- パスワードを使い回さない
- 会社が認める保管方法を決める
- 管理者とメールへ多要素認証を設定する
- 紛失や機種変更に備えて復旧方法を用意する
- 設定状況を記録し、未登録者を確認する
