パスワードマネージャーで共有していた人が辞めるとき、何を止めて何を変えるか

パスワードマネージャーの管理画面で止められるのは、その後に保管庫を開くことです。その人がすでに見たパスワードでサービスにログインすることは、サービス側でパスワードを変えるまで止まりません。端末に残った保管庫の写しも、しばらく開ける場合があります。

共有したパスワードは本人に渡っている

保管庫を共有された人は、その項目を開き、自動入力やコピーで使えます。LastPass の公式ヘルプは、見える形で共有したパスワードは、本人がほかの場所にも控えているかもしれないと書いています。そのため、社員のアカウントを止めるときは、止め方にかかわらず、会社で共有しているパスワードをすべて変えるよう強く勧めています。変えなければ、会社の外からでもそのサービスに入れるからです。

1Password の公式ヘルプも、退職者の手順の中に、その人に共有したパスワードを変える工程を置いています。所有者か管理者のグループにいた人については、管理できる保管庫のパスワードをすべて見たものとして扱うよう書かれています。どちらの手順も、共有したパスワードは本人に渡ったものとして扱っています。

管理画面で止める操作

どの製品にも、一時的に止める操作と、完全に外す操作があります。公式ヘルプにある操作の名前で並べます。

表の Employee vault は、1Password で社員ごとに作られる保管庫です。Bitwarden の組織は、会社として契約した利用の単位です。Bitwarden の Remove は組織から外す操作で、組織の項目は組織に残ります。

LastPass には、表とは別に Remove from company という操作があります。本人のアカウントを会社から切り離す操作で、本人は同じメールアドレスで保管庫を個人のものとして使い続けます。外すときは、会社の人から共有された項目を残すか消すかを選びます。退職者に共有項目を残さないなら、消す側の「Forbid access to shared folders and sites」を選びます。

完全に外す前に、業務で使う項目を共有の保管庫へ移しておきます。1Password の公式ヘルプは、Employee vault の中身を移し終えるまでアカウントを削除しないよう求めています。Keeper には、本人の項目と共有フォルダーをほかの人へ移してからアカウントを削除する Transfer Account があります。ただし、事前に権限の設定で移す操作を有効にし、本人がその後のログインで同意している必要があります。退職が決まってから設定しても、本人が同意していなければ移せません。移すときは、先にアカウントを止めます。

端末に残る保管庫の写し

止めた瞬間に、本人の端末から中身が消えるとは限りません。1Password の公式ヘルプでは、止めた人の端末からデータが消えるには条件が 2 つあります。端末がインターネットにつながっていることと、1Password のロックが解除されていることです。オフラインのまま止められた場合は、次にインターネットにつないで開こうとするまで、項目を使える状態が続きます。

Bitwarden の公式ヘルプも、オフラインの端末は組織の項目を含む読み取り専用の写しを持つと書いています。一部のアプリでは、組織から外した後もしばらく読める場合があります。悪用が心配なら、外すときにその人が使えたパスワードを変えるよう案内しています。

Keeper は、オフラインで使うための保管庫の写しを、暗号化して端末に置きます。管理者は権限の設定で、オフラインでのログインを禁止できます(画面では「Restrict Offline Access」)。許す場合、オフラインで使える期間(30 日・14 日・7 日・1 日)は、本人が自分の設定で選びます。ただし、アカウントを止めたときに端末の写しが消えるかは、確認した公式ドキュメントには書かれていませんでした。

変えるパスワードの範囲

範囲は、その人が使えた保管庫の項目すべてです。LastPass が勧めるのはさらに広く、会社で共有しているパスワードすべてです。1Password では、管理画面の People でその人を選ぶと、使えた保管庫の一覧が出ます。その人が入っていたグループに共有された保管庫も確かめます。

Bitwarden では、組織の中で項目を分けて共有する単位をコレクションと呼びます。Enterprise では、管理画面のレポートにある Member access で、メンバーごとに使えるコレクションと権限を書き出せます。

使った記録は、変える順番を決めるのに使えます。1Password Business の使用状況レポートには、その人が過去 12 か月に使った項目が出ます。表示・コピー・自動入力などの操作も分かります。Bitwarden の Teams・Enterprise にも、操作の記録(画面では「イベントログ」)があります。項目の閲覧、パスワードの表示とコピー、自動入力が残ります。

しかし、記録にない項目を対象から外すことはできません。1Password のレポートに出るのは、作る人が管理の権限を持つ保管庫の操作だけです。古い版のアプリでの操作は、種類が分からない形で残ります。Bitwarden の公式ヘルプは、記録の多くは端末から送られるため、通信が切れると残らないと書いています。書き換えられたり止められたりするおそれもあり、セキュリティや法的な調査には足りない場合があるとも書いています。範囲は使えた項目すべてとします。

変えた後の値は、共有の保管庫の項目に入れ直します。LastPass の公式ヘルプのとおり、共有フォルダーの変更は、残る全員の保管庫に反映されます。サービス側で変えると、二段階認証のコードの受け取り先の確認などの作業も起きます。それは退職者が出るたびにパスワードを変える運用の限界にまとめています。

異動のとき

異動では、アカウントは残したまま、前の部署の保管庫やコレクション、グループから外します。グループに入ったままだと、そのグループに共有された保管庫は使えるままです。外した保管庫の項目も、本人はそれまで見られました。そのため、変える範囲の決め方は退職と同じです。

作業の順番

ここまでの理由から、作業は次の順に進めます。

1. 業務の項目を共有の保管庫へ移してもらう — 完全に外すと項目が消える製品があるからです。
2. 使った記録を書き出す — 1Password では、組織から外した人のレポートは作れません。
3. 一時的に止める — 以後、保管庫を開けなくなります。端末の写しは残ることがあります。
4. 使えた保管庫のパスワードをサービス側で変え、保管庫の項目を書き換える — 変えるまでは、本人がログインできるからです。
5. 完全に外す — Keeper の Transfer Account はこの段階で使います(移した後にアカウントが削除されます)。LastPass では、本人が最後の管理者だった共有フォルダーは管理者のいない状態で残るので、先に確かめます。Remove from company を使うなら、共有された項目を消す側を選びます。