「取引先のポータルのパスワード、誰が知ってる？」「前の担当者のExcelに書いてあったはず」。共有のログイン情報を探して社内を聞いて回るのは、パソコンまわりを兼任で見ている担当者によくある仕事です。パスワードは共有フォルダーのExcel、付箋、各自のブラウザの保存機能に分かれて置かれ、誰が何を知っているかは本人に聞くまで分かりません。
この記事は、こうした状態から、会社としてパスワード管理ツールを入れるかどうかを決めたい担当者に向けて書いています。先に、要点をまとめます（NISTの公開文書とLastPassの公表内容で2026年10月13日に確認）。
- 共有で使うアカウントが複数あり、パスワードをExcelや付箋で受け渡している会社は、法人向けのパスワード管理ツールで置き換える価値があります。誰がどのパスワードを見られるかを決められ、退職時に会社側で見られなくできる点が、Excelや個人のブラウザ保存との違いです
- シングルサインオン（SSO）や多要素認証の代わりにはなりません。SSOで入口をまとめられるサービスはSSOに寄せ、残る共有アカウントや非対応のサービスをツールで管理する、という分担で考えます
- 選ぶときは、価格より先に「共有と権限」「退職時の回収」「管理者が締め出されたときの復旧」「データの書き出し」を確かめます。ツール自体が侵害された事例もあるため、マスターパスワードと多要素認証の設定は導入初日に決めます
以下の比較表で自社にツールが必要かを判断し、導入の5段階で試験導入から全社展開までの段取りを組み立てられます。
パスワード管理ツールは、Excelやブラウザ保存と何が違うのか？
パスワードを暗号化して保管し、誰がどのパスワードを見られるかを管理者が決められる点が違います。Excelは渡した相手から回収できず、ブラウザ保存は個人の持ち物として扱われるため、会社としての管理が届きません。
パスワード管理ツール（パスワードマネージャー）は、サービスごとのIDとパスワードを暗号化して保管し、ログイン画面で自動入力する道具です。個人向けと法人向けがあり、法人向けには、部署やチームで共有する保管庫（共有フォルダーのような単位）と、管理者が利用者を追加・停止する機能が付いています。
社内でよく見かける管理方法と比べると、違いは次のとおりです。
| 管理方法 | 誰が見られるか | 退職・異動のとき | 共有のしかた | 記録 |
|---|---|---|---|---|
| 共有フォルダーのExcel・紙 | ファイルを開ける人全員 | 本人が覚えた・控えたパスワードは回収できない | ファイルを渡す、メールやチャットで送る | 誰が見たかは残らない |
| 各自のブラウザに保存 | その人だけ（個人アカウントで同期していれば私物の端末からも） | 会社側で消せない。個人アカウントに残る | 口頭やチャットで別途伝える | 残らない |
| 法人向けパスワード管理ツール | 管理者が保管庫ごとに決めた人 | 管理者が利用者を停止すると、共有保管庫を見られなくなる | 共有保管庫に入れる。パスワード自体を送らない | 製品によって閲覧・変更の履歴が残る |
| シングルサインオン（SSO） | 各サービスのパスワードを社員が持たない | 認証基盤のアカウントを止めれば、連携しているサービス全体に入れなくなる | 共有しない。個人ごとのアカウントで入る | 認証基盤にログインの記録が残る |
表の下の行ほど、会社側で止められる範囲が広がります。Excelから法人向けツールに移すと、「見られる人を決める」「辞めた人を止める」の2つが、担当者の記憶ではなく設定で管理できるようになります。
一方で、退職者がパスワードを自分で控えていた場合は、ツールで共有を止めても本人の頭の中やメモには残ります。共有アカウントは、退職時にパスワードそのものを変える手順とセットで考えます。退職時に止めるアカウントの洗い出しは、退職者アカウントの削除漏れを防ぐチェックリストで扱っています。
会社で導入したほうがよいのは、どんな状態か？
共有アカウントがあり、そのパスワードをExcelやチャットで受け渡している状態なら、導入を検討する時期です。逆に、使うサービスが少なくSSOでほぼまとまっている会社では、急ぐ理由は小さくなります。
次のうち2つ以上に当てはまるなら、試験導入を検討してよい状態です。
- 取引先のポータル、銀行の法人口座、ドメインやサーバーの管理画面など、複数人で同じIDを使うアカウントがある
- パスワードの一覧が、共有フォルダーのExcelやテキストファイルにある
- パスワードをメールやチャットで送ったことがある
- 前任者や退職者しか知らないパスワードが、過去に見つかったことがある
- 社員がブラウザにパスワードを保存しているが、どのアカウントで同期しているかを把握していない
当てはまらない場合もあります。社員が使うクラウドサービスが数個で、Microsoft 365やGoogle Workspaceのアカウントでほぼログインできている会社では、先にそのアカウントの多要素認証（MFA）を全員に設定するほうが、守れる範囲が広くなります。
すでにパスワードが誰にも分からなくなっているシステムがある場合は、ツールを入れる前に復旧が先です。手順は社内システムのパスワードが誰も分からないときの復旧手順で整理しています。
SSOや多要素認証とは、どう組み合わせるか？
SSOは「入口を1つにまとめる」、多要素認証は「入口を破られにくくする」、パスワード管理ツールは「まとめきれないパスワードを安全に保管する」役割です。3つは置き換えではなく、分担して使います。
社内のアカウントを、次の順で振り分けると整理しやすくなります。
- SSOでまとめられるサービス: Microsoft 365やGoogle Workspaceのアカウントでログインできるクラウドサービスは、そちらに寄せます。個別のパスワードを社員に持たせない
- SSOに対応しないが、個人ごとにアカウントを作れるサービス: 各自のアカウントにし、パスワードは各自がツールの個人保管庫で管理する
- 1つのIDを複数人で使うしかないアカウント: 取引先のポータルや機器の管理画面など。ツールの共有保管庫に入れ、見られる人を絞る
この振り分けで3に残ったアカウントが、パスワード管理ツールで管理する中心になります。SSOの仕組みと費用の考え方はシングルサインオン（SSO）とはで、多要素認証の始め方は多要素認証（MFA）は中小企業の最低限のセキュリティ対策で扱っています。
法人向けのツールを選ぶとき、何を確かめるか？
価格と機能の数より先に、共有と権限、退職時の回収、管理者の復旧、データの書き出しの4点を確かめます。どれも、導入後に困ってから気づくと、ツールの乗り換えが必要になる項目です。
製品ごとの名前や料金は変わるため、ここでは確認する項目と、その項目で何を見るかを挙げます。試用版で、実際に操作して確かめてください。
| 確認する項目 | 何を見るか |
|---|---|
| 共有保管庫と権限 | 部署やチームごとに保管庫を分けられるか。「見るだけ」「編集できる」を人ごとに分けられるか |
| 利用者の停止と回収 | 管理者が利用者を停止したとき、その人が共有保管庫を見られなくなるか。個人保管庫に業務のパスワードが残る場合の扱い |
| 管理者の復旧 | 管理者がマスターパスワードを忘れた、退職したときに、別の管理者が会社のデータを引き継げるか。管理者を2人以上置けるか |
| 多要素認証 | ツール自体へのログインに多要素認証を設定でき、管理者が全員に必須にできるか |
| 暗号化の方式 | 保管データが利用者の端末で暗号化され、提供会社がマスターパスワードを知らない方式か |
| 記録 | 誰がいつ、どのパスワードを閲覧・変更したかが管理者に見えるか |
| 書き出し | 保管しているデータを一括で書き出せるか。将来ほかのツールに移るときの手段になる |
| 対応する端末 | 社内で使っているOS・ブラウザ・スマートフォンで自動入力が使えるか |
「書き出し」は、選定時には見落とされがちな項目です。ツールに一度入れたパスワードは、書き出せなければ乗り換えのたびに手で入れ直すことになります。契約の前にデータの持ち出し方を確かめる考え方は、脱ロックインの第一歩: 自社で管理すべきアカウント一覧と同じです。
クラウド型のツールが侵害されたら、どうなるのか？
提供会社のサーバーから保管データが持ち出されても、マスターパスワードから作られた鍵で暗号化された部分は、そのままでは読めません。ただし暗号化されない項目もあり、マスターパスワードが短いと解読の時間を稼げないため、マスターパスワードと多要素認証の設定が守りの中心になります。
実際に起きた例があります。パスワード管理サービスのLastPassは、2022年12月22日の公表で、攻撃者がクラウド上のバックアップ用ストレージに侵入し、顧客の保管データのバックアップを複製したと説明しました。同社によると、保管データのうちWebサイトのURLは暗号化されておらず、ユーザー名・パスワード・セキュアノートなどは、各利用者のマスターパスワードから作られる鍵で256ビットAES暗号化されていました。マスターパスワードはLastPass側では保持しておらず、暗号化と復号は利用者の端末側で行う仕組みだとしています。
この例から、導入する会社側で決めておくことは次の3つです。
- マスターパスワードは長くし、ほかのサービスと使い回さない。暗号化された保管データを持ち出された場合、破られるまでの時間はマスターパスワードの強さで変わります
- ツールへのログインに多要素認証を必須にする。マスターパスワードが漏れても、それだけではログインできないようにします
- URLのように暗号化されない項目があるかを、製品の説明で確認する。保管しているサービスの一覧そのものが、攻撃の手がかりになり得ます
ツールが侵害される可能性があることは、Excelで管理し続ける理由にはなりません。共有フォルダーのExcelは、暗号化されずに置かれ、開ける人全員がすべてのパスワードを読めるからです。比べるべきなのは「ツールを使うか使わないか」より、「今の置き場所と比べて、見られる人と漏れたときの被害をどこまで絞れるか」です。
導入は、どんな順番で進めるか？
共有アカウントの棚卸し、情シスと1部署での試験導入、保管庫の設計、全社展開、退職手続きへの組み込みの5段階で進めます。全社に一度に配ると、保管庫の分け方を後から直すのが大変になります。
- 共有アカウントの棚卸し: 複数人で使っているアカウントを一覧にします。この一覧にはパスワードを書かず、「サービス名・用途・使う人・管理責任者」だけを書きます
- 試験導入（情シスと1部署）: 共有アカウントの多い部署を1つ選び、2〜4週間を目安に使ってもらいます。自動入力がうまく動かないサービスや、共有の単位の過不足をここで洗い出します
- 保管庫と権限の設計: 試験の結果をもとに、部署別・用途別に保管庫を分け、それぞれ「見るだけ」「編集できる」人を決めます。管理者は2人以上にし、片方が不在でも復旧できるようにします
- 全社展開と旧一覧の廃止: 社員に案内を配り、各自のブラウザに保存しているパスワードの扱い（ツールへの移行と、ブラウザ側の削除）を決めます。移し終えたら、共有フォルダーのExcelは削除します。残すと、どちらが最新か分からなくなります
- 入退社手続きへの組み込み: 入社時のアカウント発行と、退職時の利用停止・共有アカウントのパスワード変更を、人事の手続きの一覧に加えます
試験導入で確かめたいのは、機能よりも「現場が使い続けられるか」です。自動入力が効かないサービスが多い部署では、手でコピーして貼り付ける場面が増え、Excelに戻る人が出ます。
パスワードの定期変更や複雑さのルールは、どう決めるか？
米国国立標準技術研究所（NIST）の認証ガイドラインは、パスワードの定期変更の強制と、文字種の組み合わせの強制を「してはならない」とし、パスワード管理ツールと自動入力の利用を認めるよう求めています。漏えいの疑いがあるときだけ変更させる、という考え方です。
NISTが2025年8月26日付で公開した SP 800-63B（第4版）には、次の内容があります。米国の連邦機関向けの文書で、日本の法令ではありませんが、社内のパスワードのルールを見直すときの参考になります。
- 認証する側は、パスワード管理ツールと自動入力の利用を認めなければならない（SHALL）
- パスワードの入力欄では、貼り付けを認めるべきである（SHOULD）
- 文字種の組み合わせ（大文字・数字・記号を必ず入れる等）を求めてはならない（SHALL NOT）
- 定期的なパスワードの変更を求めてはならない。ただし、漏えいした証拠があれば変更させなければならない（SHALL）
社内ルールに「90日ごとに変更」と書いてある会社では、ツールの導入をきっかけに、この部分を見直す候補にできます。社員が覚える必要があるのは、ツールのマスターパスワードと、SSOで使う会社のアカウントのパスワードに絞られます。ほかのサービスのパスワードは、ツールで長いものを作らせて覚えないで済む運用にします。
ただし、取引先や業界の基準で定期変更を求められている場合は、そちらに従います。社内ルールを変える前に、取引先から届くセキュリティチェックシートの設問も確認してください。
社員に配る案内には、何を書いておけばよいか？
「どこに保存するか」「何を共有してよいか」「辞めるときどうなるか」の3つを短く書きます。操作手順はツールの公式の説明に任せ、社内のルールだけを書きます。
社員向けの案内は、たとえば次のように書けます。ツール名・連絡先・運用は自社のものに置き換えてください。
業務のパスワードの保存先について
- 業務で使うパスワードは、会社が用意したパスワード管理ツールに保存してください。ブラウザへの保存、Excel・メモ帳・付箋への記録はやめてください
- 部署で共有するアカウントは、共有保管庫に入っています。パスワードをメールやチャットで送らないでください
- ツールのマスターパスワードは、ほかのサービスで使っていない長いものにしてください。忘れた場合は総務部〇〇まで連絡してください
- 退職・異動のときは、共有保管庫の閲覧を止めたうえで、共有アカウントのパスワードを変更します
まとめ：まず、共有アカウントの一覧を作る
パスワード管理ツールの導入で押さえたいのは、次の3点です。
- Excelや個人のブラウザ保存との違いは、見られる人を決められることと、退職時に会社側で止められること
- SSOでまとめられるものはSSOに寄せ、残った共有アカウントと非対応のサービスをツールで管理する
- 選定では共有と権限・退職時の回収・管理者の復旧・データの書き出しを確かめ、導入初日にマスターパスワードと多要素認証のルールを決める
最初の作業は、複数人で使っているアカウントを、パスワードを書かずに一覧にすることです。その一覧の行数が、ツールが必要かどうかを判断する材料になり、そのまま試験導入の対象リストにもなります。社内のセキュリティ対策全体の中での優先順位は、中小企業のセキュリティ対策、最低限やるべき10項目で確認できます。
