会社のパスワードを、担当者任せにしない

担当者が明日、会社に来られなくなったら。

取引先の発注サイトに入れるでしょうか。会社のホームページを更新できるでしょうか。請求書を確認し、公式SNSを運用し、ドメインの契約を更新できるでしょうか。

パスワードは分かっている。しかし、確認コードは担当者の私物の携帯電話に届く。ログインはできるが、誰が管理者なのか分からない。以前の制作会社が、いまもアクセスできるかもしれない。

こうした状態では、会社の仕事が、特定の人の記憶や端末に支えられています。その人が誠実で、仕事に慣れているほど、問題は表に出ません。不在や退職、端末の紛失が起きたとき、初めて会社として管理できていなかったことが分かります。

パスワード管理を見直す理由は、漏洩を防ぐためだけではありません。誰に仕事を任せ、いつ権限を止め、誰が引き継ぐのか。その判断を、会社ができるようにするためです。

本稿では、中小企業の経営者と実務担当者に向けて、1Passwordを具体例に、この仕組みをどう整えるかを考えます。個別機能は公式資料に基づくもので、実機検証は行っていません。設定や契約プランの詳細は導入時に確認が必要ですが、先に決めるべきことは製品が変わっても共通しています。

パスワードを知っていることと、権限を持つこと

同じIDとパスワードを複数人で使うと、仕事を始めるのは簡単です。担当者を追加するときは、値を教えれば済みます。

ところが、仕事を終えるときには困ります。

チャットからパスワードを消しても、相手の手元の控えまでは消せません。共有フォルダの閲覧を止めても、すでに覚えた値は残ります。パスワード管理ツールの保管庫から外す場合も、この問題は同じです。1Passwordの公式資料も、一度共有した情報を完全に取り戻すことはできないと説明しています。［1］

ここには、情報を渡すことと、権限を与えることの違いがあります。

担当者ごとのアカウントに権限を付けられるサービスなら、必要な人に、必要な仕事だけを任せられます。異動や退職の際にも、その人の権限を対象として停止できます。操作記録が用意されていれば、どのアカウントで何が行われたかを調べる手掛かりにもなります。

ただし、記録の範囲や保存期間はサービスによって異なります。個人別アカウントにしただけで、すべての操作を追跡できるわけではありません。停止時には、ログイン済みのセッションや、別途発行した認証情報も確認する必要があります。

それでも、共通の秘密を知る人を増やし続けるより、会社が権限を調整できる範囲は広がります。

最初の棚卸しでは、「どこにパスワードを保管するか」と同時に、「この仕事は担当者ごとの権限で運用できないか」を確認します。ここでいう個人別アカウントは、社員の私生活にひもづくアカウントへ任せるという意味ではありません。可能な限り、会社が管理する業務用アカウントを一人ずつ用意するということです。

会社で使うサービスを確認

使う人ごとに
アカウントを分けられるか

分けられる

1. 一人ずつアカウントを用意
2. 仕事に必要な操作だけを許可

分けられない

1. 共通アカウントを使う人を限定
2. パスワードなどを共有保管庫で管理

どちらも、担当者が替わるときの
停止と引き継ぎを決める

担当者に共有保管庫の利用を許可

保管庫の中

1. 担当変更時に保管庫から外す
2. 保管庫へのアクセスを停止

保管庫の外

1. 取り出した情報の控えが残る可能性
2. 控えたパスワードは、それだけでは消えない

対象サービス側でも対処
パスワード変更・認証手段の整理・ログイン状態の終了

残る共有を、会社が説明できる形にする

すべての共有をなくせるとは限りません。

担当者を追加できない取引先サイトもあります。古いシステムが共有IDを前提としている場合もあります。すぐに仕組みを変更する費用や時間を確保できない会社もあるでしょう。

そのような共有を、管理された保管庫へ移すことには十分な意味があります。

1Passwordでは、保管庫ごとに利用者やグループを割り当て、閲覧や編集などの権限を管理できます。［2］ たとえば、広報担当者が使うSNS、経理担当者が使う取引先ポータル、限られた管理者が扱うドメインやDNSを分けます。

分ける基準は、「同じ人たちが、同じ理由で使うか」です。部署名だけで機械的に分けたり、全社員が見られる保管庫に何でも入れたりすると、必要以上の情報が渡ります。

それぞれの共有アカウントには、少なくとも次を決めておきます。

• 業務上の責任者と、不在時の代行者
• 利用を認める人と、その理由
• 認証方法と復旧手段
• 担当変更時に止めるもの、変更するもの
• 次に必要性を見直す時期

この一覧に、パスワードの値そのものを書く必要はありません。秘密の保管と、管理責任の記録は分けておきます。

目指すのは、保管庫の項目数を減らすことではありません。持ち主の分からないアカウント、使う理由のない権限、誰も復旧できない状態を減らすことです。管理対象が増えても、その関係を会社が説明できるなら、管理は前に進んでいます。

一人ひとりが、覚えなくても安全に使えるようにする

共有の整理と並行して、社員一人ひとりのパスワード管理も改善します。

多くのサービスで異なるパスワードを使うことを、記憶力だけで支えるのは無理があります。長いランダムな値を生成し、保管庫に保存し、必要なときに自動入力する。これによって、使い回しや手作業の負担を減らせます。

自動入力には、入力先を確かめる働きもあります。保存したサイトと異なる場所で自動入力が出なければ、まずURLや開いた経路を確認する。設定の不具合という場合もありますが、すぐに手で貼り付ける前に立ち止まる習慣が役に立ちます。［3］

ただし、操作を難しくするほど安全になるわけではありません。使いづらい仕組みは、共有メモやチャットへの貼り付けに戻る動機になります。

会社が整えるべきなのは、社員に慎重さを要求し続ける仕組みではなく、通常の操作で安全な方法を選びやすい環境です。

多要素認証とパスキーは、守る範囲を理解して使う

認証を強くする際には、二つの入口を分けて考えます。

一つは、1Passwordそのものへの入口です。もう一つは、保管庫に保存した各サービスへの入口です。保管庫の多要素認証を有効にしても、各サービスの認証設定が自動的に強くなるわけではありません。

とくに見直したいのは、会社の共有アカウントの確認コードが、特定の担当者の携帯電話だけに届く状態です。別の認証方法へ移す場合も、その方法を誰が管理し、紛失したらどう戻すかまで決めます。

認証アプリのコードを生成する情報を、パスワードと同じ保管庫に保存する方法は便利です。一方で、その保管庫が侵害された場合には、両方が影響を受けます。重要な管理者アカウントでは、別に管理するセキュリティキーなどを検討する理由になります。

なお、1Password自身に入るための認証コードを、その1Passwordの中だけに保存してはいけません。入れなくなったときに、入口を開くための情報も取り出せなくなります。［4］

パスキーも有力な選択肢です。秘密鍵をサイトへ渡さず、対象サイトに結びついた認証を行うため、パスワードを偽サイトへ入力してしまう種類の攻撃に強い仕組みです。ただし、秘密がなくなるわけではありません。鍵を保存する端末やサービス、復旧の仕組みを守る必要は残ります。［5］

また、パスキーを追加しても、従来のパスワードや復旧経路が残るサービスがあります。追加できたことと、弱い経路を閉じられたことは別です。

切り替えでは、新しい方法でログインできることと、必要な復旧ができることを確認してから、不要になった認証方法を整理します。保管庫から古いパスワードを削除するだけでは、サービス側のパスワード認証は無効になりません。

1Passwordはパスキーの保存と共有にも対応しています。［6］ しかし、同じアカウントのパスキーを共有しても、利用者を個人別に分ける問題は残ります。共有を終えるときは、保管庫のメンバー変更だけで十分と考えず、サービス側に登録された認証手段とセッションも確認します。

守る場所は、入口だけではない

業務用の端末

更新・端末管理
感染時の隔離

保管庫への入口

保管庫の多要素認証
自動ロック

各サービスへの入口

各サービスの多要素認証
パスキー

ログインした後

不要なログイン状態を終了
操作記録を確認

保管庫の記録は、仕事の記録そのものではない

パスワード管理ツールの利用記録は、調査や引き継ぎに役立ちます。ただし、その記録が何を示すのかは区別しなければなりません。

ある社員が保管庫の項目へアクセスしたことが分かっても、その人が対象サービスでどの操作をしたかまで分かるとは限りません。コピーしたパスワードを後から使うこともできます。

反対に、直近のアクセス記録がないからといって、その人が値を知らないとは言えません。

1Passwordの公式の退職手順は、利用状況の確認に加えて、その人がアクセスできた保管庫のパスワード変更を案内しています。［7］ 記録は変更の優先順位を考える材料になりますが、記録だけを根拠に「この人は知らない」と判断しないことが大切です。

業務上の操作を確認したいなら、対象サービス側の記録も必要です。そして、その記録をいつ、誰が見るのかを決めておきます。

ログが存在することと、会社が状況を把握できることの間には、運用という仕事があります。

何が起きたかを調べる

保管庫の利用記録

誰が認証情報にアクセスしたかを
調べる手掛かり

対象サービスの操作記録

どのアカウントで何をしたかを
調べる手掛かり

共通アカウントでは、操作した人を区別できない場合がある

両方の記録と状況を照合
確認できたことと、分からないことを分ける

端末を守り、入れなくなったときにも備える

保管庫や認証を整えても、業務に使う端末が侵害されれば、情報や操作が奪われるおそれがあります。ログイン済みの状態を悪用される場合には、多要素認証やパスキーだけで防ぐことはできません。

そのため、OSやブラウザの更新、不要なソフトウェアの整理、端末の管理、異常時の連絡先を、パスワード管理と一緒に整えます。ブラウザへの保存から保管庫へ移すだけで、端末の安全性まで確保できるわけではありません。

感染が疑われるときには、端末を隔離し、安全な別端末から権限の停止、セッションの失効、必要な認証情報の変更を進める手順が必要です。退職時の確認表を一部使うことはできますが、感染端末の調査や復旧は別に扱います。

同じくらい重要なのが、正当な担当者が入れなくなった場合への備えです。

端末を紛失した。セキュリティキーが壊れた。管理者が長期不在になった。そうしたとき、誰が復旧を始め、誰が本人確認や承認を行うのか。緊急用の情報はどこに保管されているのか。その保管場所へ入るために、使えなくなったアカウントが必要になっていないか。

1Passwordにも、組織として復旧体制を整えるための公式手順があります。［8］ ただし、手順を保存しただけでは備えになりません。重要なアカウントから、通常の担当者が不在でも復旧できるかを確かめます。

侵入を防ぐことと、正当な仕事を止めないこと。その両方が、会社の管理です。

担当変更・紛失・事故に備える

不要になった利用を止める

1. 退職・異動・不正利用の疑い
2. アカウントや権限を停止
3. 認証情報を見直し、ログイン済みの状態を終了

必要な仕事を再開する

1. 担当者の不在・端末や鍵の紛失
2. 代行者と復旧手順を確認
3. 本人確認・承認を経て復旧

必要な人だけが
仕事を続けられる状態へ

最初の一歩は、重要なアカウントを一枚に並べること

導入を始めるとき、全社の認証を一度に変える必要はありません。

まず、止まると困るサービスを並べます。会社のメール、ドメイン、クラウド管理、請求、受発注、公式SNSなどです。それぞれについて、責任者、利用者、認証方法、復旧先、前任者のアクセスの有無を確認します。

棚卸しでは、秘密の値ではなく管理の所在を記録します。パスワード、認証コードの生成情報、復旧コードそのものは、この表へ記載しません。

次に、個人別の権限へ移せるものを分けます。残る共有は、必要な人だけが使う保管庫へ移します。その過程で、使い回しや不明な共有先を整理し、重要なアカウントの認証を強くします。

担当変更や事故が起きたときの停止手順と、不在や紛失に備えた復旧手順も、この段階で用意します。工程表で後ろに置かれていても、漏洩が疑われる認証情報の変更など、急ぐべき対処は先に行います。

試用で確かめるべきなのは、保存や自動入力の便利さだけではありません。担当者を追加できるか。必要な権限だけを渡せるか。外せるか。引き継げるか。復旧できるか。自社の仕事を一巡させて判断します。

費用も、利用料だけでは決まりません。棚卸し、移行、教育、定期点検に使う時間まで含めて考えます。そのうえで、自社に必要な管理機能を備えたプランを選びます。［9］

人を信頼することと、仕組みを整えること

パスワード管理の見直しは、社員を疑うための作業ではありません。

担当者が休めるようにする。異動のたびに困らないようにする。退職した人に、いつまでも問い合わせずに済むようにする。事故が起きたとき、特定の人の記憶を頼りに走り回らなくて済むようにする。

そのために、会社が権限と引き継ぎの責任を引き受けます。

1Passwordのような道具は、その実行を支えます。しかし、誰に何を任せるか、どこまで共有を認めるか、いつ止めるか、どう復旧するかは、会社が決めることです。

導入の成果を測る問いは、保管したパスワードの数ではありません。

担当者が替わっても、必要な人が安全に仕事を続けられるか。そして、不要になった権限を会社の判断で止められるか。

この問いに答えられる状態をつくることが、会社のパスワード管理です。

関連するエッセイ

• 経営者のためのAIガバナンス：責任、停止、切り替えを、会社が使い続ける力として考えます。
• AI導入で失敗しない会社は、作る前に業務を読む：道具の導入に先立って、業務と責任を整理する視点を扱います。

参考資料

製品仕様の参照日：2026年9月25日。機能・設定・提供プランは変更される可能性があるため、導入時に公式資料で確認してください。

1. 1Password Support, Best practices for securing your 1Password Business account
2. 1Password Support, Create, share, and manage vaults in your organization
3. 1Password, Autofill
4. 1Password Support, Turn on two-factor authentication for your 1Password account
5. FIDO Alliance, Passkeys
6. 1Password, How to save, share, and manage passkeys using 1Password
7. 1Password Support, Offboard a team member
8. 1Password Support, Implement a recovery plan for your organization
9. 1Password, Business & Teams Pricing & Plans