IDENTITY SECURITY
パスワード管理を安全にする方法と、
不正ログインを防ぐ優先順位
パスワード管理を安全にするには、次の順で進めます。①使い回し・弱いパスワード・漏えいの有無を全社で把握する。②特権IDと共有アカウントから、2要素認証とパスキーなどのフィッシングに強い認証に切り替える。③共有アカウントと開発で使う鍵を、メールやファイルではなく専用の保管庫で管理する。④退職・異動のときのアカウント停止を手順にする。攻撃の入口は脆弱性だけではなく、使い回し・漏えいしたIDとパスワード、コードに残った鍵も入口になります。
なぜ今、ID・認証情報なのか
トレンドマイクロの解析によると、日本を狙うAI関与の攻撃でも、侵入口は、公開された旧式のシステムや、既定の認証情報のまま放置された設定の不備でした。未知の脆弱性ではなく、「鍵のかかっていない扉」を、AIが規模と速度を上げて探しています。認証情報は、その「鍵」に当たります。使い回しや弱いパスワード、設定ファイルに残った認証情報が1つあれば、そこから社内に入られるおそれがあります。
IPAも、不正アクセスによる情報漏えいの事案が相次いでいることを受けた2026年10月の注意喚起で、自組織が使っている外部サービスについて、認証機能（多要素認証・パスワード）の強化、アカウント付与の範囲の見直し、アカウント棚卸しの運用の見直しを、速やかに取り組む対策に挙げています。
IDと認証情報を狙う3つの経路
- 1認証情報の探索：トレンドマイクロが解析したAIエージェント型の攻撃基盤には、認証情報の探索を受け持つエージェントが含まれていました。他のサービスで漏れたID・パスワードを使い回していると、1カ所の漏えいが社内システムに広がります。
- 2精巧なフィッシング・なりすまし：AIの活用で、不自然な日本語や画面で見分けられていたフィッシングが、見分けにくくなります。経営層や取引先を装った、音声や映像によるなりすましにも注意が必要です。
- 3設定ファイルやコードに残った鍵：ルーターの設定ファイルに残っていた認証情報が使われ、企業の内部ネットワークに直接接続された事例が、トレンドマイクロから報告されています。アプリに埋め込まれた秘密鍵やAPIキーも、解析で特定できる可能性があるとして、JPCERT/CCが注意を呼びかけています。
優先順位と対応期限の決め方
パスワードの対策は、件数の多い順ではなく、被害の大きさで優先順位を決めます。次の4つの材料を組み合わせて判断します。
- 1漏えいが確認されているか：外部の漏えいデータに含まれていたパスワードやメールアドレスは、強度にかかわらず最優先で変える。
- 2権限が大きいか：特権IDや管理者、本番環境の鍵は、一般の従業員のログインより先に守る。
- 3広く共有されているか：複数人で使う共有アカウントは、1つの漏えいの影響が大きい。
- 4外から使えるか：インターネットから使えるサービスは、社内だけで使うものより先に強化する。
| 区分 | 当てはまるものの例 | 対応期限の目安 |
|---|---|---|
| 緊急 | 漏えいや侵害が確認されたパスワード／特権IDや共有アカウントでの使い回し／退職者の有効なままのアカウント | 24〜72時間以内 |
| 高 | 特権ID・管理者のログインに2要素認証がない／共有アカウントをメールやチャットで共有している／平文で置かれた鍵が見つかった | 2週間以内 |
| 中 | 一般の従業員ログインの2要素認証の未設定／弱いパスワード／SSOの外側にあるアプリの未把握 | 1カ月以内 |
| 低 | 重複したアイテム／http で登録されたログイン／期限切れのアイテム | 定期の点検の中で（目安90日） |
期限は目安です。自社の体制で守れる期限を決め、期限内に直せた割合を測り続けることが重要です。
取り組む順序
5つの手順に、それぞれ使う情報・担当・頻度を決めておくと、担当者が替わっても同じ品質で回せます。
| 手順 | 使う情報 | 担当 | 頻度 |
|---|---|---|---|
| 1. パスワードと共有アカウントの状況を把握する | パスワードの点検結果（使い回し・脆弱・漏えい）、共有アカウントの一覧 | 情報システム担当 | 毎週 |
| 2. 優先順位と期限を決める | 上の4つの材料、漏えいの通知 | 情報システム担当（判断に迷うものは責任者） | 新しい漏えいが分かるたび |
| 3. 認証を強くする | 2要素認証の設定状況、パスキーに対応しているサービスの一覧 | 情報システム担当 | 毎月の見直し |
| 4. 共有と入退社の手順を回す | 共有アカウントの一覧、人事からの入退社・異動の連絡 | 情報システム担当と人事 | 入退社・異動のたび |
| 5. 結果を測り、記録する | 下の「測る指標」 | 責任者 | 毎月 |
少人数で続ける運用の型
毎回ゼロから判断するのではなく、確認する場所と時間を決めて定型作業にします。担当者が1〜2人でも、次の型なら無理なく回せます。
- 1毎日（5分）：新しい漏えいの通知と、サインインが止められた人がいないかだけを見る。
- 2毎週（30分）：点検結果のうち優先度の高い分類（侵害されたサイト・使い回し・脆弱）の件数と、2要素認証を設定していない人を確認し、期限を過ぎそうなものに連絡する。
- 3毎月（1時間）：退職・異動の棚卸し、共有アカウントの権限、測る指標を見直し、責任者に報告する。
最初の30日の進め方
| 時期 | やること | 終わりの目安 |
|---|---|---|
| 1週目 | 業務で使うパスワードの状況（使い回し・弱い・漏えい）と、共有アカウントを洗い出す | 件数と、共有アカウントの一覧ができた |
| 2週目 | 優先順位と対応期限、担当と承認者を決め、漏えいが確認されたパスワードを変える | 「緊急」の区分が0件になった |
| 3週目 | 特権IDと管理者に2要素認証を設定し、共有アカウントを共有の保管庫に移す | 特権IDの設定が全て済み、共有アカウントの移行先が決まった |
| 4週目 | 退職・異動の手順を決め、全従業員への2要素認証の案内を始める。最初の指標を報告する | 毎週・毎月の確認が予定に入った |
少人数での分担：社内でやること・ツールで自動化すること・外部に頼むこと
| 分担 | 内容 |
|---|---|
| 社内でやる | 優先順位と期限の判断、退職・異動の連絡と停止の承認、緊急の指示を別の連絡手段で確認するルール、従業員への案内 |
| ツールで自動化する | パスワードの点検と漏えいの通知、共有アカウントの保管、2要素認証の設定状況の確認、平文で置かれた鍵の検出 |
| 外部に委託する | 外部に公開しているサーバーやアプリの診断、端末に入り込んだマルウェアの検知と対応（別の製品やサービスと組み合わせる） |
自社の運用で行うこと
ID・認証情報の対策の多くは、製品を入れるだけでは完結せず、自社のルールと運用で行う作業です。送金や権限変更などの緊急の指示は、電話やオンライン会議の依頼だけで実行せず、システム上の承認フローや別の連絡手段で確認するルールにします。退職・異動・委託先の終了に合わせた、アカウントの棚卸しと停止の手順も、自社で決めて回す必要があります。製品は、これらの運用を支える道具です。
パスワードの漏えいが疑われたときの初動
漏えいの可能性に気付いたら、次の順で動きます。
- 1該当のパスワードを、新しいものに変える。
- 2同じパスワードを使っていた他のサービスを洗い出し、全て変える。
- 32要素認証が設定されているかを確かめ、サービス側のログで、不審なサインインや、作った覚えのないアカウントがないかを確認する。
- 4特権IDや共有アカウントの場合は、責任者に報告し、共有していた全員分を変える。
- 5情報漏えいの可能性があるときは、専門のセキュリティーベンダーへの調査の依頼や、警察、IPA、JPCERT/CCなどの相談先への連絡を検討する。
続けられているかを測る指標
件数そのものより、推移と期限の達成で見ます。報告では「何件あるか」ではなく、「緊急のものが残っていないか」「先月より減ったか」を伝えます。
| 指標 | 見方 |
|---|---|
| 期限内に直せた割合 | 区分ごとに、決めた期限内に直せた割合。運用が回っているかの中心の指標 |
| 使い回し・脆弱・侵害の件数と推移 | 件数そのものより、先月からの増減を見る |
| 2要素認証の設定率 | 全体と、特権ID・管理者の別に見る |
| 共有アカウントの管理率 | 共有アカウントのうち、共有の保管庫で管理している割合 |
| パスキーの適用率 | パスキーに対応しているサービスのうち、切り替えが済んだ割合 |
| 退職・異動のアカウント停止までの日数 | 最終出社日から停止までの日数。0日が目標 |
| 平文の鍵の検出数と是正率 | 検出された鍵のうち、保管庫へ移した、または無効化した割合 |
パスワード管理ツールを入れる前の確認
企業向けのパスワード管理ツールを選ぶときは、機能の多さより、次の6つを先に確認します。
| 観点 | 確認すること |
|---|---|
| 目的 | 何を解決したいかを先に決める（使い回しの把握、共有アカウント、パスキー、開発で使う鍵、退職時の停止） |
| 既存の基盤との相性 | 使っているSSO／IdP、端末の管理、ユーザーの自動追加・停止に対応しているか |
| 総費用 | ライセンス費に加え、展開・問い合わせ対応・従業員への教育にかかる手間 |
| 運用体制 | 誰が点検し、誰が退職・異動を連絡するか。担当者が替わっても回せるか |
| 試験導入 | 特権IDと共有アカウントのある部署で小さく試し、使い勝手と問い合わせの量を確かめる |
| ベンダーへの質問 | 対応していない機能の範囲、日本語での案内、サポートの範囲、監査に使える記録、データの保管場所 |
ツールの選び方と役割分担
1つの製品で全てを担うことはできません。役割ごとに、何で行うかを決めます。
| 役割 | 何をするか | デジタルアクセルズの取り扱い製品 |
|---|---|---|
| パスワード・パスキー・シークレットの一元管理 | 弱い・使い回し・漏えいの可能性があるパスワードの把握、共有アカウントの安全な共有、パスキーの保管、開発で使う鍵の管理 | 1Password |
| SSOの外側にあるアプリの把握と入退社の連動 | 業務で使うアプリの台帳づくり、退職日に合わせたアカウントの削除 | 1Password SaaS Manager（Enterpriseプラン。1Passwordと組み合わせて使う） |
| 端末の状態でログインを止める | OSの更新などが済んでいない端末を、業務アプリに入れない | 1Password（Device Trust） |
| 継続的な監査 | アカウント権限の放置や、設定不備の継続的な点検 | Drata |
| SSO／IdP・ZTNAの基盤 | ログインの入口の統一と、接続先の制御 | 別の専用基盤と組み合わせる |
| 検知と対応（EDR／XDRなど） | 端末に入り込んだマルウェアの検知・駆除 | 別の製品やサービスと組み合わせる |
| 外部に公開している資産の診断 | 公開しているサーバーやアプリの脆弱性の診断 | 別の製品やサービスと組み合わせる |
1Passwordで進める場合
デジタルアクセルズは、1Passwordの日本の正規販売代理店です。1Passwordは、パスワード・パスキー・シークレットを一元管理します。弱い・使い回し・漏えいの可能性があるパスワードの把握、共有アカウントの安全な共有、パスキーの保管、開発で使う鍵の管理を、1つの仕組みで行えます。1Password SaaS Manager（Enterpriseプラン）を組み合わせると、SSO（シングルサインオン）の外側にあるアプリのアクセスも、可視化し管理できます。
ただし、次のことは行えません。パスキーでログインできるかは、各サービスの対応に左右されます。SSO／IdPの基盤やZTNAは、別の専用基盤で整え、1Passwordと連携する形になります。端末に入り込んだ情報窃取型マルウェアの検知・駆除は、EDR／XDRなど別の製品が担います。ディープフェイクの真偽は判定しません。既にコードに入れて配布した鍵は、無効化・再発行しない限り守れません。
経営判断で必要な情報
対象とする従業員数、委託先の数、特権IDの範囲、開発組織の有無を、先に整理します。既に使っているSSO／IdPの有無と、パスキーに対応している主要なサービスも確認します。全社に一度に広げるのではなく、特権IDと共有アカウントから始め、範囲を広げる進め方が現実的です。具体的な導入の順序は、組織の規模や既存の基盤によって異なります。
使える公的資料
自社の対策を点検するときは、次の公的な資料も参考になります。
デジタルアクセルズで相談できること
対象とする従業員・委託先・開発組織の範囲、既存のSSO／IdP、求めるセキュリティー要件を伺い、1Passwordの適合性と、自社の運用で補うべき領域を整理します。提供可能なサービスやサポート範囲は、担当者が確認のうえご案内します。
関連する製品と担う範囲
実際の適用可否は、要件・ライセンス・対応範囲を確認したうえで判断します。
よくある質問
社員のパスワード管理を安全にするには、何から始めればよいですか？
まず、パスワードの使い回し・弱いパスワード・漏えいの有無を、全社で把握します。次に、特権IDと共有アカウントに2要素認証を設定し、共有アカウントのパスワードを、メールやチャット、表計算ソフトでやり取りしない形に変えます。範囲は、特権IDと共有アカウントから始めて広げる進め方が現実的です。最初の30日の進め方は、上の表を参照してください。
企業向けのパスワード管理ツールは、何を基準に選べばよいですか？
目的、既存のSSO／IdPとの相性、総費用、運用体制、試験導入、ベンダーへの質問の6つを確認します。パスキーへの対応、共有と権限の管理、退職・異動のときの引き継ぎ、開発で使う鍵の管理、監査に使える記録、日本語での案内も判断材料になります。既に使っているSSO／IdPの外側に、どれだけアプリが残っているかも確認してください。
不正ログインや認証情報の漏えいを防ぐには、どうすればよいですか？
使い回しをなくし、2要素認証とフィッシングに強い認証（パスキーなど）を、対応するサービスから適用します。退職・異動のときのアカウント停止、コードや設定ファイルに鍵を残さないこと、緊急の指示を別の連絡手段で確認するルールも併せて進めます。1つの対策だけでは防げないため、組み合わせて進める必要があります。
SSOを入れていれば、パスワード管理ツールは不要ですか？
SSOの対象外のアプリや、共有アカウント、開発で使う鍵は、SSOだけでは管理しきれません。SSOを土台にして、その外側を、パスワード管理ツールで補う形が一般的です。1Passwordでは、1Password SaaS Manager（Enterpriseプラン）を組み合わせると、SSOの外側にあるアプリのアクセスも、可視化し管理できます。
パスキーを使えば、パスワードは不要になりますか？
パスキーは、フィッシングに強い認証ですが、対応しているサービスに限られます。全てのサービスが対応するまでは、パスワードの管理も必要です。対応するサービスから順にパスキーへ切り替え、それ以外は、2要素認証と強いパスワードで守ります。
退職した人のアカウントは、いつ止めればよいですか？
最終出社日に止めるのが基本です。1Passwordでは、最終出社日までに従業員保管庫の中身を共有の保管庫へ移し、アカウントを一時停止し、共有していたパスワードを変えたうえで、1カ月ほど空けてから削除する流れが扱いやすくなります。停止のまま放置しないよう、削除の予定日も決めておきます。
1Passwordの日本の正規販売代理店は、どこですか？
デジタルアクセルズが、1Passwordの正規販売代理店です。導入の相談、お見積り、対象範囲の整理について、お問い合わせください。
ID・認証情報の対策について相談する
この窓口は製品選定・導入検討に関する相談窓口です。24時間の緊急インシデント対応、復旧代行、監視サービスの提供を保証するものではありません。製品名が決まっていなくてもご相談いただけます。
相談を申し込む