「共有パスワード」をやめられない会社への処方箋

「部署でひとつのIDを共有している」「引き継ぎ用のパスワードが、みんなの手帳に書いてある」——セキュリティの観点では避けるべき運用ですが、現実にはとても多いのが実情です。

そして「やめましょう」と言うだけでは、まずやめられません。理由があって共有されているからです。今日は、なぜやめられないのかを踏まえたうえで、現実的な移行方法を考えます。

なぜ共有をやめられないのか

現場の事情はだいたいこの4つです。

• ライセンス料の問題：ユーザーを増やすと課金が増える
• 担当者の不在に備えたい：休んだときに誰も入れないと業務が止まる
• アカウントを分ける機能がない：サービス側が複数ユーザーに対応していない
• 手間：全員分を作って管理するのが面倒

どれも「怠慢」ではなく、業務上の必然です。ここを理解しないと、対策は現場に受け入れられません。

共有パスワードの本当のリスク

やめるべき理由も整理しておきます。

1. 誰が操作したか分からない

トラブルが起きたとき、原因の特定ができません。故意でも過失でも、追跡できない状態は組織として危険です。

2. 退職しても変わらない

退職者がパスワードを覚えていれば、辞めた後も入れます。「変えればいい」のですが、共有パスワードは変更のたびに全員へ再周知が必要なため、実際には変えられません。これが最大の問題です。

3. 漏れたときに気づけない

個人アカウントなら「見覚えのないログイン」に気づけますが、共有だと誰かが使っているのか、他人が入っているのか区別がつきません。

4. 保管場所が甘くなる

共有パスワードは、付箋、Excel、チャットの履歴などに書かれがちです。ここが破られると全部漏れます。

現実的な移行ステップ

一気に全部やめるのは無理です。優先順位をつけて、段階的に進めます。

ステップ1：一覧を作る

まず「今、何を共有しているか」を書き出します。これだけでも意味があります。

• サービス名
• 誰が知っているか
• 最後にパスワードを変えたのはいつか
• そのアカウントで何ができるか（お金が動く？顧客情報が見える？）

ステップ2：リスクで3段階に分ける

全部をやめる必要はありません。 ネットバンキング、決済サービス、顧客管理、ドメイン・サーバー管理——ここだけは、何としても個別化してください。

ステップ3：個別化できないものは「金庫」に入れる

サービス側の制約で個別化できない場合は、パスワード管理ツール（法人向け）を導入します。

• パスワード本体は誰も覚えない・見ない（ツールが自動入力する）
• 誰がいつアクセスしたかログが残る
• 退職者のアクセス権をその場で剥奪できる
• 変更しても、全員への再周知が不要

これで「追跡できない」「退職後も入れる」「保管場所が甘い」の3つが同時に解決します。共有をやめられないなら、せめてこれを入れてください。

ステップ4：棚卸しを定例化する

年1回、一覧を見直します。人事異動の時期に合わせると習慣化しやすくなります。

今日からできる応急処置

移行に時間がかかる場合でも、これだけは今日やってください。

• 付箋・ホワイトボードに書かれたパスワードを剥がす
• チャットやメールに残っているパスワードを削除する
• 退職者が知っている共有パスワードを変更する（今すぐ）
• 可能なものから2要素認証を有効にする

特に3つ目。直近で退職した方がいるなら、その方が知っていたパスワードは全部変えてください。

導入と運用設計、ご相談ください

「パスワード管理ツールを入れたいが、どれを選べばいいか分からない」「現場に受け入れられる形で進めたい」——こうしたご相談を承っています。

BULLCOM Security では、共有アカウントの棚卸しから、管理方法の設計、社員への説明までご支援しています。あわせて、セキュリティ講習（座学 ¥49,800〜）で「なぜ必要か」を社員に伝えるところからお手伝いすることも可能です。

ルールを押し付けるのではなく、業務が回る形にすることが大切です。まずは現状をお聞かせください。お気軽にご相談ください。