1Passwordを導入するとき、多くの組織で情報システム部門やセキュリティー部門の審査を通します。導入した後は、取引先から自社の管理体制を問われる場面でも1Passwordの説明が要ります。質問は毎回似ていますが、答えの根拠が散らばっていると、担当者によって回答が食い違います。このページでは、質問を領域に分けて答える方法、1Password社が持つ情報、利用データの送信、通信先と外部サービス、設計上の限界の書き方、社員から聞かれること、解約とデータの削除を説明します。
質問を領域に分けて答える
審査の質問は、おおむね次の領域に分かれます。回答書をこの単位で作っておくと、質問票の形式が変わっても組み替えるだけで済みます。
| 領域 | 答えの要点 | 詳しいページ |
|---|---|---|
| 暗号化 | 端末の中で暗号化し、鍵はサーバーに渡らない | 暗号化とゼロナレッジの仕組み |
| 認証 | パスワードをネットワークに流さずに認証する | 認証と鍵の設計 |
| 第三者の評価 | ISO 27001、SOC 2 Type 2、年1回のペネトレーションテスト | 第三者による監査と報告書の入手 |
| データの所在 | 米国、カナダ、EUから選ぶリージョン | リージョンの選択とデータの保管場所 |
| 通信 | 443番ポートと決まったドメインだけを使う | ネットワーク要件とプロキシー環境 |
| 記録 | 監査ログとSIEMへの送信 | ログの保管とアラートの設計 |
回答書には、どの設定を前提にした答えかも書いてください。2要素認証の強制やファイアウォールのルールは組織が選ぶ設定で、製品の性質ではありません。
1Password社が持つ情報
「ベンダーは当社のデータにアクセスできるか」という質問には、2つに分けて答えます。保管庫とアイテムの中身、アカウントパスワード、Secret Keyは、1Password社が復号も取得もできません。一方で、組織名、氏名、メールアドレス、グループの名前と説明、サインインしたIPアドレス、端末の情報、2要素認証のシークレット、サインインの日時、保管庫とアイテムの数、使っている容量は、1Password社が持っています。
1Password社は、執行力のある法的な要請に応じる場合などを除いて、公開されていない情報を第三者に渡さない方針です。漏洩が起きたときは、カナダの法令とGDPRの通知の要件に従って開示するとしています。ただし、サーバーのデータは政府の要請などで第三者の手に渡りうるという前提で設計されています。そのときに中身を守るのは、社員のアカウントパスワードとSecret Keyです。
利用データの送信
1Passwordは、製品の改善のために利用データ（テレメトリー）を集めています。ビジネスのアカウントでは、2024年11月20日から既定でオンになっています。
集めるのは、ロックの解除やアイテムの作成といった操作の記録と、端末の種類、アカウントの種類、アプリのバージョンといった付帯情報です。保管庫の中身は含まれません。
送信を止められるのは所有者だけです。管理コンソールの設定で、組織の全員の利用データを共有するスイッチをオフにします。社員は業務のアカウントについて個別に止められません。オフにすると、各端末で次にロックを解除したときから送信が止まり、集めた生データは収集から21日で削除されます。
同じ端末に個人のアカウントも入っている社員について、個人のアカウントだけに関わる操作は、本人が同意していない限り集められません。外観や自動入力の設定のように両方に関わる操作は、送信がオンのアカウントの記録として集められることがあります。
【運用のポイント】 送信を止めるかどうかは、ロールアウトの前に決めて回答書に書いてください。既定のオンのまま進めると、「外部に送る情報はない」という回答と食い違います。
通信先と外部サービス
1Passwordのアプリが使うのは443番ポートで、通信先はリージョンごとに決まったドメインです。許可リストの作り方はネットワーク要件とプロキシー環境で扱います。
「パスワードを外部のサービスに送っていないか」と聞かれやすいのが、Watchtowerの漏洩したパスワードの照会です。1Passwordは、パスワードから40文字のハッシュを作り、先頭の5文字だけをPwned Passwordsのサービスに送ります。返ってきた候補との照合は端末の中で行うため、パスワードもハッシュの全体も外に出ません。安全でないサイトの判定も、一覧を端末に取り込んで端末の中で照合します。保存しているサイトの一覧は送りません。ただし、アイテムのアイコンを自動で取得する機能は、保存しているサイトのドメインをアイコンのキャッシュサーバーに問い合わせます。止め方はネットワーク要件とプロキシー環境で扱います。
SIEMへの送信に使うEvents Reportingは、1Passwordの他のシステムから切り離されたサーバーで動き、イベントのデータだけを扱います。保管庫とアイテムの名前は端末の側で暗号化されているため、SIEMには届きません。
設計上の限界を先に書く
回答書で「完全に安全」と書くと、後から見つかった例外が全て回答の誤りになります。次の限界は、質問されなくても先に書いておくと審査が早く進みます。
| 限界 | 組織の対策 |
|---|---|
| 保管庫から外しても暗号の鍵は変わらない | 退職者が使っていた保管庫のパスワードを変える。後から加える中身を見せたくない場合は新しい保管庫に移す |
| ロックを解除した端末はマルウェアから守れない | 端末の保護と自動ロックを組み合わせる |
| 招待と復旧にメールを使う | 復旧を担う人とメールの管理者を分け、本人確認をメール以外で行う |
| ウェブ版はTLSで配信される | 業務ではデスクトップアプリを使う |
| 特定のメールアドレスがメンバーかどうかは外部から確かめられる | 一覧を取り出すことはできない。フィッシングへの注意を社員に促す |
退職時の手順は退職時の手順、復旧の設計は復旧の設計（誰が復旧できるか）で扱います。
社員から聞かれること
社員が最も気にするのは、管理者に私的な情報を見られないかです。従業員保管庫の中身は、所有者にも管理者にも直接は見えません。Watchtowerのレポートに出るのは保管庫ごとの件数で、どのアイテムかは分かりません。
ただし、所有者と管理者は社員のアカウントを復旧できます。復旧のパーミッションを持ち、社員のメールも管理できる人が手続きを悪用すれば、本人のアカウントに入れます。社員に説明するときは「見えない設計になっている」と「復旧の手続きは本人確認と記録で統制している」を一緒に伝えてください。
解約とデータの削除
契約を終える場面の質問にも、回答を用意しておきます。支払いを止めたアカウントは読み取り専用の状態になり、データを取り出してエクスポートできます。エクスポートに含まれるのは保存したアイテムで、保管庫のパーミッションやグループの構成が含まれる保証はありません。構成は別に記録しておいてください。
完全な削除は、所有者がアカウントを削除した後に、1Password社へ消去を依頼します。稼働中のシステムからは消されますが、障害復旧のための変更できないバックアップは、法的に求められない限り残ります。