パスワードの使い回し、していませんか？
「覚えやすいパスワードを複数のサービスで使い回している」「パスワードをメモ帳やExcelで管理している」——このような運用をしていませんか？実はこれ、情報漏洩の最大のリスク要因のひとつです。
IPA（情報処理推進機構）の調査によると、不正アクセスの原因の多くが「パスワードの使い回し」に起因しています。あるサービスでパスワードが漏洩すると、同じパスワードを使っている他のサービスにも次々と不正ログインされてしまう「パスワードリスト攻撃」の被害が後を絶ちません。
特にビジネスで使うアカウント（Webサイトの管理画面、メール、クラウドサービス、SNSなど）がハッキングされれば、顧客データの漏洩、サイトの改ざん、取引先への影響など、事業に深刻なダメージを与えます。
この記事では、中小企業や個人事業主が今日から実践できるパスワード管理の基本と、おすすめのツールをご紹介します。
安全なパスワードの作り方——3つの基本ルール
まず、安全なパスワードを作るための基本ルールを押さえましょう。
ルール1：長さは最低12文字以上にする——パスワードの強度は、複雑さよりも長さで決まります。8文字のパスワードは現在のコンピューターで数時間から数日で解読されてしまいますが、12文字以上にすると解読に必要な時間が飛躍的に増加します。理想は16文字以上です。
ルール2：英大文字・小文字・数字・記号を組み合わせる——「password123」のような単純な文字列ではなく、異なる種類の文字を混ぜることで、辞書攻撃（よく使われるパスワードを総当たりで試す攻撃）への耐性が高まります。ただし、「P@ssw0rd」のような予測しやすい置き換えは避けましょう。
ルール3：サービスごとに異なるパスワードを使う——これが最も重要です。どんなに強力なパスワードでも、使い回しをすれば1つのサービスの漏洩が全サービスに波及します。「でも、何十個ものパスワードを覚えるのは無理！」と思うかもしれません。そこで活躍するのが、次に紹介するパスワード管理ツールです。
パスワード管理ツールのすすめ——覚えるのは1つだけ
パスワード管理ツール（パスワードマネージャー）を使えば、覚える必要があるのはマスターパスワード1つだけです。それ以外のパスワードはすべてツールが暗号化して安全に保管し、必要なときに自動入力してくれます。
パスワード管理ツールの主な機能には、強力なランダムパスワードの自動生成、パスワードの暗号化保存、Webサイトへの自動入力、複数デバイス間での同期、パスワードの漏洩チェックなどがあります。
おすすめのパスワード管理ツールをいくつかご紹介します。
1Passwordは、ビジネス向けの機能が充実したツールです。チームでのパスワード共有、アクセス権限の管理、セキュリティレポートなどが利用できます。月額制で、個人プランから法人プランまで用意されています。
Bitwardenは、オープンソースのパスワード管理ツールです。個人利用は無料で、ビジネス向けの有料プランもあります。コストを抑えたい中小企業におすすめです。
Google パスワードマネージャーは、Googleアカウントに統合されたパスワード管理機能です。Chromeブラウザを使っていれば追加費用なしで利用でき、パスワードの自動生成や漏洩チェックも行えます。Google Workspaceを業務で活用している企業には自然な選択肢です。詳しくは「Google Workspaceで業務を効率化する方法」もご参照ください。
チームでのパスワード管理——共有アカウントの安全な運用
ビジネスでは、1つのアカウントを複数人で共有するケースがあります。SNSの企業アカウント、Webサイトの管理画面、共有のメールアドレスなどです。このような共有アカウントこそ、適切な管理が欠かせません。
まず、パスワードをチャットやメールで送らないようにしましょう。LINEやSlackでパスワードを共有するのは便利ですが、チャット履歴から漏洩するリスクがあります。パスワード管理ツールの共有機能を使うか、どうしてもの場合は別の通信手段で分割して伝えましょう。
次に、担当者が退職・異動した際のパスワード変更ルールを決めておきましょう。共有アカウントにアクセスできる人が組織を離れた場合、パスワードをすぐに変更しなければ不正アクセスのリスクが残ります。
そして、アクセスログを定期的に確認する習慣をつけましょう。不審なログインがないか、想定外の場所や時間帯からのアクセスがないかをチェックすることで、問題の早期発見につながります。
二段階認証を必ず設定しよう
パスワード管理に加えて、二段階認証（2FA）の設定は今やビジネスにおける必須対策です。二段階認証を設定すれば、万が一パスワードが漏洩しても、追加の認証要素（SMSコード、認証アプリ、物理キーなど）がなければログインできないため、不正アクセスを高い確率で防げます。
特に以下のサービスには優先的に二段階認証を設定しましょう。Webサイトの管理画面（WordPressなど）、メールアカウント、銀行やクレジットカードのオンラインサービス、クラウドストレージ、SNSのビジネスアカウントなどが該当します。
二段階認証の詳しい導入方法は「二段階認証の導入方法」の記事で解説していますので、ぜひ参考にしてください。
認証アプリ（Google Authenticator、Microsoft Authenticatorなど）を使う方法が最もおすすめです。SMSによる認証も一般的ですが、SIMスワップ攻撃（電話番号を乗っ取る攻撃）のリスクがあるため、可能であれば認証アプリを選びましょう。
まとめ——今日からできるパスワードセキュリティ対策
パスワード管理は、難しいことではありません。今日から始められるアクションとして、まずパスワード管理ツールを導入し、既存のパスワードを安全なものに順次変更しましょう。そして、重要なアカウントには二段階認証を設定します。
特にビジネスにおいて優先すべきは、Webサイトの管理画面、メール、クラウドサービスのパスワードです。これらのアカウントが侵害されれば、顧客データの漏洩や事業の停止にもつながりかねません。
「セキュリティにはお金がかかる」と思われがちですが、パスワード管理ツールは無料から始められるものもあり、二段階認証の設定はほとんどのサービスで無料です。コストをかけずにセキュリティレベルを大幅に向上できます。
Webサイトのセキュリティ対策やパスワード管理の見直しについてお困りの方は、Sane Designにご相談ください。お客さまの業務環境に合わせた最適なセキュリティ対策をご提案いたします。
