IT担当者がいない会社のアカウント・パスワード管理｜退職・交代で困らないために

IT担当者がいない会社で起きがちな4つの問題

従業員10〜100名程度の会社では、パソコンに詳しい社員や社長自身が「ついでに」ITの面倒を見ていることがよくあります。その人がいる間は問題なく回りますが、仕組みとして管理されていないため、次のような問題が少しずつ積み上がっていきます。

1. 管理者パスワードを社長や退職者しか知らない

事務所のサーバー、Wi-Fiルーター、複合機、会計ソフトの管理画面などには「管理者」と呼ばれる特別なアカウントがあります。設定を変えたり、新しい社員を追加したりできる強い権限を持つアカウントです。このパスワードを導入時の担当者だけが知っていて、その人が退職してしまうと、設定変更ができない、新しいPCをつなげない、といった事態になります。業者に初期化してもらえば解決する機器もありますが、中のデータや設定が消えてしまうこともあります。

2. 個人のメールアドレスでクラウドサービスに登録している

ネットショップの管理画面、ドメイン（ホームページのアドレス）の契約、ファイル共有サービス、会計・給与のクラウドサービスなどを、担当者が自分のフリーメールや携帯のアドレスで登録しているケースです。パスワードを忘れたときの再設定メールや、契約更新の案内がすべてその個人に届くため、本人がいなくなると会社からは手が出せなくなります。ドメインの更新案内に誰も気づかず、契約が切れてホームページやメールが止まる、というのは典型的な事故です。

3. 共有IDを全員で使い回している

「受付用」「営業用」といった1つのIDとパスワードを複数人で使う運用です。手軽ではありますが、誰が何をしたのか記録で区別できず、誰かが辞めてもパスワードを変えにくい（変えると全員に知らせ直す必要がある）という問題を抱えます。

4. パスワードが付箋やノートに書かれている

モニターに貼った付箋、机の引き出しのノート、デスクトップに置いた「パスワード.txt」などです。来客や清掃業者の目に触れることもありますし、肝心なときに「どこに書いたか分からない」ことも少なくありません。

まずは会社のアカウントを棚卸しする

最初の一歩は、会社で使っているサービスやシステムのアカウントを一覧にすることです。Excelやスプレッドシートで構いません。いきなり完璧を目指さず、思いつくものから書き出し、社員に「仕事で使っているサービスやログインしている画面」を聞き取って追加していきます。

サービス名	用途	管理者（正・副）	登録メール	2要素認証	契約者名義
独自ドメイン（レジストラ）	ホームページ・メールのアドレス	社長／総務A	info@自社ドメイン	あり（SMS）	会社名義
グループウェア・メール	社内メール、予定表	総務A／営業B	admin@自社ドメイン	あり（認証アプリ）	会社名義
会計クラウド	仕訳、決算	経理C／社長	経理Cの個人Gmail	なし	会社名義
ネットショップ管理画面	EC受注・商品登録	元担当D（退職済み）	不明	不明	不明
事務所のWi-Fiルーター	社内ネットワーク	不明	―	―	リース会社

表を作ると、「登録メールが個人のアドレス」「管理者が退職者」「不明」といった危ないところが一目で分かります。上の例なら、会計クラウドとネットショップ、Wi-Fiルーターが優先して手を付けるべき対象です。

表に「パスワードそのもの」は書かない

この一覧は、どこに何があり、誰が責任を持つかを示す「台帳」です。パスワードそのものは書かず、後述のパスワード管理ツールなど別の場所で管理します。台帳とパスワードを同じファイルに入れてしまうと、そのファイル1つが漏れただけですべてのサービスに入られてしまうためです。

管理の基本となる4つの原則

棚卸しができたら、次の4つの原則に沿って一つずつ整えていきます。全部を一度に直す必要はありません。止まったら困るもの、お金や個人情報を扱うものから順に進めるのが現実的です。

原則1：会社のメールアドレスで登録する

業務で使うサービスは、個人のアドレスではなく会社のドメインのアドレスで登録します。さらにおすすめなのは、「admin@」「info@」のように役割ごとのアドレスを用意し、複数人が受け取れるようにしておくことです。こうしておけば、担当者が替わっても転送先や閲覧者を変えるだけで引き継げます。すでに個人アドレスで登録しているサービスは、登録メールの変更機能を使って切り替えます。

原則2：管理者は必ず2人にする

重要なサービスの管理者権限は、正・副の2人に持たせます。1人が急に休んだり退職したりしても、もう1人が設定やパスワードの再発行を行えるようにするためです。多くのクラウドサービスは複数の管理者を登録できます。社長が「副」として入っておくだけでも、締め出されるリスクは大きく下がります。

原則3：パスワードはツールで管理し、使い回さない

サービスごとに異なる、長く推測されにくいパスワードを使うのが基本です。とはいえ人が覚えられる数には限りがあるので、次の章で紹介するパスワード管理ツールに任せます。同じパスワードを複数のサービスで使い回していると、どこか1つから漏れたときに芋づる式に入られてしまいます。

原則4：多要素認証を有効にする

多要素認証（2要素認証とも呼ばれます）は、パスワードに加えて、スマートフォンに届く確認コードや認証アプリの数字など、もう1つの手段で本人確認をする仕組みです。パスワードが漏れても、それだけではログインできなくなります。メール、会計、ネットバンキング、ドメイン管理など、乗っ取られたときの被害が大きいサービスから優先して設定してください。

パスワード管理ツールと多要素認証の始め方

パスワード管理ツールは、IDとパスワードを暗号化して保管し、ログイン時に自動入力してくれるソフトやサービスです。法人向けのものには、部署やチームごとにパスワードを共有する機能、誰がどのパスワードを見られるかを決める機能、退職者のアクセスを一括で止める機能などが備わっています。

選ぶときに確認したいこと

• 法人・チーム向けプランがあるか：個人向けのツールを各自が使っているだけでは、会社として引き継げません。
• 管理者が複数置けるか：原則2と同じく、ツール自体の管理者も2人にします。
• 共有範囲を細かく決められるか：経理のパスワードは経理と社長だけ、といった分け方ができるか。
• 普段使っている端末で使えるか：WindowsのPC、スマートフォン、使っているブラウザに対応しているか。

料金や機能はサービスごとに異なり、変更もあるため、導入前に公式サイトで確認し、無料の試用期間があれば数人で試してから決めるとよいでしょう。

導入の進め方の目安

一般的な目安として、次の順番で進めると混乱が少なく済みます。

1. 社長と総務担当の2人で導入し、棚卸し表の「重要度が高いもの」から登録する
2. 登録しながら、パスワードを長いものに変更し、多要素認証を有効にする
3. 部署ごとの共有フォルダを作り、各部署の責任者に使い方を説明する
4. 付箋やテキストファイルに書かれたパスワードを回収・削除する

ツールそのものに入るための「マスターパスワード」は、すべての鍵を開ける鍵です。十分に長いものにし、ツールへのログインにも多要素認証を設定してください。万一に備え、社長が封をした紙で金庫に保管する、といった社内ルールを決めておく会社もあります。

退職・担当交代のときのチェックリスト

アカウント管理が試されるのは、人が入れ替わるときです。退職が決まった時点で、最終出社日までに次の項目を確認します。引き継ぎ期間が短いと漏れが出やすいため、退職の申し出があったらすぐに着手するのが理想です。

アカウントは、退職日にすぐ削除するより「停止」してしばらく残すほうが安全な場合があります。削除するとメールや保存データが一緒に消えるサービスもあるためです。一定期間（例：取引先からの連絡が落ち着くまで）停止状態で保管し、必要なデータを移してから削除する、という順番にしておきます。

また、業務システムやExcelマクロの中に、退職者のIDやパスワードが直接書き込まれていることがあります。たとえば「毎朝データを取り込むマクロが、退職者のIDでサーバーに接続していた」というケースでは、アカウントを止めた翌日から処理が動かなくなります。停止前に、システムの保守を担当している会社や社内の詳しい人に確認しておくと安心です。

やってはいけないこと

最後に、よかれと思ってやりがちな、避けたいことをまとめます。

パスワード一覧をExcelファイルで共有フォルダに置く

棚卸し表とは別に「パスワード一覧.xlsx」を作り、社内の共有フォルダやメールで回してしまうケースです。ファイルにパスワードをかけていても、そのパスワードが社内で共有されていれば意味が薄れます。パスワードは専用のツールで管理しましょう。

パスワードをメールやチャットで送る

メールやチャットの履歴は長く残り、誤送信の危険もあります。どうしても伝える必要がある場合は、パスワード管理ツールの共有機能を使うか、IDとパスワードを別の手段で伝えるようにします。

退職者のアカウントを「念のため」そのまま使い続ける

退職者のIDに後任がログインして業務を続ける運用は、誰の操作か分からなくなり、本人の個人情報が含まれるメールなどを後任が見ることにもなります。必要なデータを移したうえで、後任には後任のアカウントを用意してください。

パスワードを定期的に変えさせることだけに頼る

「毎月パスワードを変える」というルールは、かえって単純なパスワードや付箋メモを招きがちです。使い回さない、長くする、多要素認証を有効にする、漏えいや退職のときに確実に変える、という点に力を入れるほうが効果的です。

パソコンに詳しい1人に丸投げする

詳しい社員に任せるのは自然ですが、その人だけが全部を知っている状態こそが、この記事で解決したい問題です。経営者が台帳の存在を把握し、副管理者として名前を連ねておくことが、最も手軽で効果の大きい対策です。