中小企業のパスワード管理｜共有をやめるための移行手順

なぜ同じパスワードの共有が危ない？

誰が操作したか分からず、一人が退職しても全員分を変更する必要があります。メールで漏れた一つのパスワードが、別のサービスにも使われていると被害が広がります。

「小さい会社だから狙われない」ではなく、機械的な不正ログインは会社規模を選びません。金銭、顧客情報、Web更新権限があるサービスから直します。

最初に何を一覧にする？

サービス名、URL、契約名義、管理者、利用者、登録メール、多要素認証、復旧方法を一覧にします。パスワード自体は一覧へ直接書きません。

メール、ドメイン、サーバー、会計、銀行、SNS、クラウド保存、予約、決済を優先します。忘れたサービスは、経費明細や受信メールから探します。

• 会社メール
• ドメイン・サーバー
• 会計・銀行・決済
• SNS・広告
• クラウド保存・予約

共有IDをどうやめる？

個人アカウントを追加できるサービスは、一人ずつ作成して必要な権限だけ渡します。管理者権限を全員へ付けません。

共有が避けられないサービスは、利用者を記録し、退職・異動時に変更する手順を決めます。いきなり全サービスを変えず、重要度の高いものから週に3〜5件ずつ進めます。

強いパスワードはどう作る？

長く、サービスごとに異なるものを使います。会社名、電話番号、誕生日、連番は避けます。人が覚えるより、信頼できる管理方法で保存する方が現実的です。

定期的に一律変更するだけでなく、漏えいの疑い、退職、共有範囲変更があった時に確実に変更します。

多要素認証は誰の端末へ入れる？

代表者一人の私物スマートフォンだけに依存すると、紛失や不在で会社が入れなくなります。利用規約に沿って、予備の管理者と復旧コードの保管方法を決めます。

SMS、認証アプリ、パスキーなど方式はサービスごとに異なります。最初はメール、ドメイン、サーバー、会計から設定します。

退職時は何を止める？

メール、クラウド、SNS、会計、サーバー、VPN、共有フォルダの個人アカウントを停止します。共有パスワードを知っていた場合は変更します。

退職日当日に思い出すのではなく、採用時から付与権限を記録します。貸与端末の回収と、個人端末へ保存された会社データの扱いも就業規則や誓約内容に沿って確認します。

月1回は何を確認する？

管理者が不明なサービス、退職者が残っているアカウント、多要素認証が未設定の重要サービスを確認します。全件のパスワード変更ではなく、例外を減らす作業です。

新しいツールを契約する時は、契約名義、管理者、支払、解約方法を最初から台帳へ追加します。