会社のアカウント・パスワード管理と多要素認証 — 中小企業が最初にやる3つの対策

アカウント管理とは、会社で使うサービスのIDとパスワード、そして「本人であることの確かめ方」を会社として決めて運用することである。中小企業の情報漏えいは、高度な攻撃よりもパスワードの使い回しと、退職者のIDが生きたままだったことが入口になるケースが多い。ここでは、専任のIT担当がいない会社が最初に取り組むべき3つの対策を、費用目安と判断基準つきで整理する。

パスワードは「本人しか知らないはず」の情報に依存している。だが実際には、別のサービスから流出したIDとパスワードの組み合わせが名簿として出回り、それを他のサービスに片端から試す手口が一般化している。1つのパスワードを複数サービスで使い回していると、まったく関係のないサイトの流出が、自社の業務メールやクラウド会計への侵入につながる。

- 使い回し: 1か所の流出が全サービスに波及する
- 共有アカウント: 誰が操作したか追えず、担当が変わってもパスワードが変わらない
- ブラウザ任せの保存: PCを持ち出した・故障した時点で引き継ぎも復旧もできない
- 付箋・共有Excel: 退職時に回収できず、更新されないまま古い情報が残る

これらは「気をつける」で解決しない。仕組みで防ぐ必要がある。セキュリティ対策全体の優先順位は中小企業のセキュリティ 最初の一歩で整理しているので、あわせて確認したい。

全アカウントを一度に厳格化しようとすると、現場が回らなくなって形骸化する。まず「乗っ取られたときの被害が大きい順」に並べ、上から手を打つ。

特に見落とされやすいのがドメイン・DNSの管理アカウントである。担当者の個人メールで取得したまま誰も把握していない例は珍しくない。パソコン・ライセンスと同じくIT資産管理の一覧に含めて管理したい。

人間が覚えられるパスワードの数には限界がある。ツールで生成・保存し、覚えるのはツールを開くためのマスターパスワード1つだけにする、というのが現在の標準的な考え方である。

法人向けツールを選ぶ際は、価格よりも「退職者のアクセスを管理者側で即座に止められるか」を最優先の判断軸にしたい。個人アカウントの寄せ集めで運用すると、辞めた社員の端末に会社の認証情報が残り続ける。

多要素認証（MFA / 2段階認証）とは、パスワードに加えてもう1つの要素で本人確認する仕組みである。パスワードが流出しても、もう1つの要素がなければ入れない。方式によって強さと手間が違う。

全社一斉ではなく、対策1で作った優先度の上位（経営者・経理・管理者アカウント）から有効にする。ここだけでも被害の大きい経路はふさげる。運用で必ず決めておきたいのが予備手段で、スマホの紛失・機種変更で全員がログインできなくなる事故は現実に起こる。復旧コードを印刷して金庫に保管する、管理者を2名以上にする、といった備えをセットにする。

- 共有アカウント: 「代表メール」「経理共通ID」など複数人で使うIDは、MFAの受け取り先が誰なのか曖昧になりがち。個人IDに分けるか、パスワード管理ツールの共有機能に移す
- 退職・異動時の停止漏れ: 業務システムは止めたが、クラウドストレージや外部SaaSが残る。停止対象の一覧を先に作っておく（退職者のクラウドアカウント管理）
- 外部委託先のアカウント: 制作会社・会計事務所に渡したIDが、契約終了後も有効なまま残る。契約終了時の停止を運用に組み込む

- 会社で使っているサービスとアカウントを一覧化したか
- ドメイン・DNS・サーバーの管理アカウントの所在を把握しているか
- 被害の大きい順に優先度を3段階程度で分類したか
- パスワード管理ツールを決め、管理者が退職者のアクセスを止められる形で契約したか
- 経営者・経理・各サービスの管理者アカウントにMFAを有効化したか
- MFAの復旧手段（復旧コードの保管場所・予備の管理者）を決めたか
- 共有アカウントを洗い出し、個人IDへの分離または共有機能への移行方針を決めたか
- 退職・異動・委託終了時に止めるアカウントの一覧を作ったか
- 万一の漏えい時に誰が何をするかを決めてあるか（情報漏えい発生時の対応）

アカウント管理は、高価な製品を入れる話ではなく「一覧化する・使い回しをやめる・大事なところから多要素認証をかける」という3つの積み重ねである。まず会社のアカウントを1枚の表に並べ、被害の大きい順に並べ替える。そこから上位数件にパスワード管理ツールとMFAを適用するだけでも、中小企業を狙う典型的な侵入経路の多くはふさげる。全社展開はその後で構わない。リスク対策全体の見取り図は中小企業のITリスク対策 完全ガイドにまとめている。