会社のパスワード管理ツールの選び方｜共有・退職・2段階認証で確かめる5つのこと

「社員みんなが使うパスワードを、表計算のファイルにまとめて共有している」「担当者のメモ帳にしか書いていない」。ホームページの保守でお客様とやり取りしていると、こうした管理のしかたをよく見かけます。

先に結論をお伝えします。会社のパスワードは、共有できるパスワード管理ツールにまとめるのが表計算やメモより、ずっと安全で手間も減ります。選ぶときは、料金や知名度よりも「誰に・どこまで見せるかを分けられるか」「人が辞めたときにすぐ外せるか」「2段階認証を全員に必ず使わせられるか」を先に確かめてください。

この記事では、北海道千歳市でホームページの制作と保守をしている私たちが、パスワード管理ツールを選ぶときに確かめたい5つのことと、小さく始める進め方をまとめました。

表計算やメモでの共有が危ない理由

パスワードを表計算のファイルやメモで共有するやり方には、次のような弱点があります。

• ファイルごと持ち出されると、すべてが一度に漏れる：メールに添付したり、共有フォルダに置いたりしたファイルは、誰がいつ開いたかが分かりにくく、コピーも簡単です。
• 覚えやすいパスワードになり、使い回しが増える：人が手で管理すると、短く覚えやすいものになりがちです。ほかのサービスから漏れたIDとパスワードを別のサービスで試す「リスト型攻撃」では、使い回しているだけで被害につながります。
• 人が辞めても、見えていたパスワードは消えない：退職した人や、昔お願いしていた業者が、今もパスワードを知っているかもしれません。どれを変えればよいかも分からなくなります。

総務省の「国民のためのサイバーセキュリティサイト」でも、パスワードを使い回さないこと、ほかの人と共有したりメールで送ったりしないこと、パスワード管理のソフトを使うこと、2段階認証などの多要素認証を使うことがすすめられています（総務省：安全なパスワードの設定・管理）。同じページでは、漏えいなどがない限り、決まった期間ごとに変える必要はないとも書かれています。

できるだけ一人ひとりに自分のアカウントを作り、どうしても共有しなければならないものだけを、見せる人を絞ってツールの金庫に入れるのが安全です。

パスワード管理ツールとは

パスワード管理ツールは、IDとパスワードを暗号化して「金庫」にしまっておくサービスです。利用する人は、金庫を開けるための鍵（マスターパスワードや、スマホの顔・指紋の認証）だけを覚えておけば、ほかのパスワードは長くて覚えられないものにできます。

• 作る：サービスごとに、長くてばらばらのパスワードを自動で作れます
• 入れる：ログイン画面で自動で入力できるので、手で打ったり、画面に表示したりする機会が減ります
• 分ける：会社向けのプランでは、部署や仕事ごとに金庫を分けて、必要な人にだけ見せられます

会社で使うときに大切なのは、3つ目の「分ける」です。全員が全部のパスワードを見られる状態では、表計算のファイルとあまり変わりません。

会社で選ぶときに確かめたい5つのこと

1. 誰に・どこまで見せるかを分けられるか

「経理だけが見る金庫」「ホームページの担当者だけが見る金庫」のように分けられるか、「見るだけ」と「書き換えもできる」を、人ごとに分けられるかを確かめます。外部の業者に一部だけ渡したいときに、ゲストとして招待できるかも見ておくと安心です。

2. 人が辞めたときに、すぐ外せるか

退職や異動のときに、管理者の画面からその人を外すだけで、すべての金庫を見られなくできるかが大事です。あわせて、その人が見られたパスワードの一覧を出せると、どれを変えればよいかがすぐ分かります。外したあとは、その人が見られたパスワードを変えるところまでが1セットです。

3. 2段階認証を全員に必ず使わせられるか

金庫の鍵が1つだけでは、その鍵が盗まれたときに全部が開いてしまいます。管理者の設定で、全員に2段階認証を必須にできるかを確かめてください。最近は、パスワードの代わりにスマホやパソコンの認証を使う「パスキー」を保管できるツールも増えています。

4. 管理者が使われ方を確かめられるか

誰がいつ、どの金庫を開いたかの記録が残るか、漏えいしたパスワードや弱いパスワードを知らせてくれるかも見ておきます。何かあったときに、どこまで影響があるかを調べられるかどうかが変わります。

5. 人数と料金、使いやすさが合っているか

料金は「1人あたり月いくら」の形が多く、年払いで安くなるのが一般的です。社員がパソコンとスマホの両方で迷わず使えるか、画面が日本語で使えるかも、無料の試用期間で確かめましょう。使いにくいと、結局メモに戻ってしまいます。

代表的なツールの例と料金の目安

会社向けのプランがある代表的なツールを、公式の料金表をもとに並べました（2026年11月時点・年払いの場合。料金は米ドル建て・税別で、円での金額は為替で変わります。料金や内容は変わることがあるので、申し込む前に公式の料金表で確かめてください）。

どのツールも、うたっている機能はよく似ています。違いが出やすいのは、権限の分け方の細かさ、管理者の画面の分かりやすさ、日本語の案内やサポートです。上の5つのことを表にして、2つほどを試用で比べると決めやすくなります。

なお、パスワード管理ツールの会社そのものが狙われることもあります。2022年には、大手のサービスで、金庫の控え（中身は暗号化されていたものの、サイトのアドレスなど一部は暗号化されていなかった）が盗まれたことが公表されました（発表（英語））。暗号化されていても、鍵となるマスターパスワードが短いと破られるおそれがあります。マスターパスワードは長くし、2段階認証と組み合わせることが前提です。

社内に入れるときの進め方

いきなり全社で入れ替えると、混乱しがちです。次の順番で、小さく始めるのがおすすめです。

1. 今あるパスワードを洗い出す：表計算やメモに散らばっているものを集め、誰が使っているかを書き出します。この時点で、もう使っていないサービスは解約やアカウントの削除の候補にします。
2. 金庫の分け方を決める：「全員」「経理」「ホームページ・サーバー」のように、見せる範囲ごとに分けます。社長と、もう1人の管理者を決めておくと、1人しか開けられない状態を防げます。
3. 大事なものから移し、パスワードを変える：銀行・メール・ホームページの管理画面・ドメインなど、乗っ取られると困るものから移し、移したときに新しい長いパスワードに変えます。2段階認証もこのときに設定します。
4. 古いファイルを消し、ルールを決める：移し終えたら、表計算のファイルやメモは消します。「新しいアカウントは必ず金庫に入れる」「辞めた人はその日のうちに外す」を社内の決まりにします。

実例：私たちの保守の現場で

私たちは、お客様のホームページの管理画面やサーバーのログイン情報を、パスワード管理ツールの金庫に分けて保管しています。お客様のサイトの守りを強める作業で、ログイン画面のアドレス（URL）を変えたときも、新しいアドレスとパスワードを金庫の該当する場所に入れてから、お客様には決められた方法でお知らせしています。メールの本文にパスワードを書いて送ることはしません。

また、AIに作業を手伝わせるときも、パスワードや鍵はAIに渡さず、AIが触れられる場所には置かないようにしています（考え方はAIに仕事を任せるなら「専用の部屋」でにまとめました）。設定のファイルや作業のメモに、うっかりパスワードが残ってしまうことがあるためです。

やってはいけないこと

• マスターパスワードを使い回す・短くする：金庫の鍵が弱いと、中身がすべて危なくなります。
• 全員に全部の金庫を見せる：ツールを入れても、表計算のファイルと同じ危なさが残ります。
• 管理者を1人にする：その人が休んだり辞めたりしたときに、誰も金庫を開けられなくなります。
• 移したあとも古いファイルやメモを残す：新しいパスワードに変えていても、古いファイルから会社で使っているサービスの一覧が分かってしまいます。

まとめ

• 表計算やメモでのパスワードの共有は、持ち出し・使い回し・辞めた人の問題が残る
• パスワード管理ツールは「作る・入れる・分ける」ができる。会社では「分ける」が大事
• 選ぶときは、見せる範囲・辞めた人の外し方・2段階認証の必須化・使われ方の記録・人数と料金の5つを確かめる
• 大事なアカウントから移し、移すときにパスワードを変え、古いファイルは消す

株式会社ツヨシオカでは、北海道千歳市を拠点に、ホームページの制作と保守、サーバーの管理やセキュリティ対策までお手伝いしています。「ホームページやドメインのログイン情報が誰の手元にあるか分からない」「昔の業者が管理画面に入れるままかもしれない」といったご相談も、お気軽にお寄せください。

▶ ツヨシオカの事業内容を見る　▶ お問い合わせはこちら