パスワード、使い回してない？小さな会社が今日から変える3ステップ

仕事で使うメール、クラウドストレージ、ネットショップ、SNS。サービスが増えるほど、パスワードを覚えるのが面倒になり、同じものを使い回したくなります。

しかし、1つのサービスから認証情報が漏れた場合、同じ組み合わせを使っている別のサービスまで不正ログインされるおそれがあります。IPAも、パスワードを長く複雑にし、複数サービスで使い回さないことを勧めています。

今回は、小さな会社や個人事業主が無理なく始められる「使い回しをやめる3ステップ」を紹介します。

ステップ1．守る順番を決める

すべてのアカウントを一度に変更しようとすると途中で止まりがちです。まず、乗っ取られた場合の影響が大きい順に並べます。

最初の今日はメールと決済だけ、次の日は仕事のサービス、という進め方で構いません。共有アカウントがある場合は、誰が管理者かも一緒に確認します。

パスワードは「できるだけ長く」「複雑に」「使い回さない」が基本です。ただし、異なる長い文字列を人の記憶だけで管理するのは現実的ではありません。

そこで、信頼できるパスワード管理機能やパスワードマネージャーを使い、サービスごとに異なる文字列を生成・保存します。導入時は、提供元、料金、復旧方法、複数端末での利用方法、管理者権限を確認してください。

会社で使う場合は、個人のメモ帳や共有ファイルへ一覧を置くのではなく、退職や担当変更の際に権限を回収できる運用を決めます。

多要素認証は、パスワードに加えて、スマートフォンや認証アプリ、生体認証など別の要素を使って本人確認する方法です。パスワードが知られても、それだけではログインしにくくできます。

まずはメール、管理者アカウント、決済サービスから有効にします。設定後は、復旧コードをログイン端末とは別の安全な場所へ保管し、担当者が不在でも復旧できる手順を残します。

多要素認証を設定していても、偽サイトへパスワードや認証コードを入力すると被害につながることがあります。メールやSMSに届いたリンクから急いでログインせず、公式アプリやブックマークから開き直してください。

「今すぐ確認」「アカウント停止」など不安をあおる連絡ほど、差出人だけで判断せず、公式窓口で確認します。

同じパスワードを複数サービスで使わない
メールと管理者アカウントは多要素認証を必須にする
共有が必要な情報は指定した管理方法だけを使う
退職・異動時は当日中に権限を見直す

最初から完璧な規程を作るより、守る対象と担当者を決めて運用を始め、定期的に見直す方が続けやすくなります。

まず、仕事で使うメールのパスワードがほかのサービスと同じでないか確認してください。同じなら変更し、多要素認証を有効にします。次に、重要なアカウントを一覧にして、変更済みかどうかだけを記録します。パスワードそのものを一覧へ書く必要はありません。

ホワイトクリエイティブ合同会社では、ITツールの選定、アカウント管理を含む業務ルールの整理、Excel業務の改善・自動化、社内システム制作について相談を承っています。