個人で使っているパスワードマネージャーに会社のパスワードを入れてよいか

個人でパスワードマネージャーを使っている社員なら、業務のパスワードも同じ保管庫に入れたくなるでしょう。1 つの合言葉で、私用も業務も自動入力できるからです。ただ、その保管庫が誰のものかで、会社にできることが変わります。

個人向けプランの保管庫は誰のものか

個人向けプランとは、社員が自分で契約するか無料で使っているプランです。1Password なら個人向けとファミリー向けのアカウント、Bitwarden なら Free・Premium・Families が当てはまります。

その保管庫は、契約した社員本人のものです。1Password の公式ヘルプは、私用のパスワードを個人向けかファミリー向けのアカウントに入れるよう案内しています。そのうえで、これらは仕事用のアカウントとは別で、中の項目はどれも勤務先からは使えないと説明しています。

Bitwarden の公式ヘルプも、個人の保管庫(My vault)の項目は利用者個人が持つとしています。会社が契約して作った「組織」(Bitwarden の画面での呼び名)から外しても、本人の手元にすべて残ります。

どちらの製品も、項目が私用か業務用かで扱いを変えてはいません。分かれ目は、どの契約の保管庫に入れたかです。個人向けプランに入れた会社のパスワードは、会社から見えない場所にあることになります。

会社として困ること

退職時に回収できない

IPA の「中小企業の情報セキュリティ対策ガイドライン」第 4.0 版は、資産管理の項で、退職や任期満了のときに情報・機器・ID・鍵などを回収するよう求めています。回収したことは、チェックリストや記録で見えるようにします。

個人の保管庫に入ったパスワードは、会社が中身を見られません。そのため、回収も、消されたことの確認もできません。どのサービスのパスワードが入っていたかも、本人の申告に頼ることになります。

会社に残る手段は、そのサービスのパスワードを変えることです。その作業の重さは退職者が出るたびにパスワードを変える運用の限界で扱っています。

会社の知らない相手にも共有できる

個人で使う製品にも共有の機能があります。Google パスワード マネージャーは、Google アカウントにパスワードを保存する機能です。公式ヘルプでは、共有できる相手は「ファミリー グループ」のメンバーに限られます。共有したパスワードは相手の Google アカウントに保存され、共有をやめたいときはパスワードを変えるよう案内されています。ブラウザーへの保存そのものは、ブラウザーのパスワード保存を業務で使ってよいかにまとめています。

Bitwarden の Families も、本人と 5 人までの家族や友人で共有するためのプランです。会社のパスワードがこうした経路で家族に渡っても、会社には知る方法がありません。共有の操作が、会社の契約の外で行われるからです。

誰が使ったかの記録が会社に残らない

保管庫の中で誰が項目を見たか、コピーしたかを管理者が確かめる機能は、法人向けプランの一部にあります(1Password は Business、Bitwarden は Teams と Enterprise)。Bitwarden の操作の記録(画面では「イベントログ」)には、項目の閲覧、パスワードの表示とコピー、自動入力が残ります。個人向けプランには会社の管理者がいないので、会社が見られる記録もありません。

法人向けプランで変わること

法人向けプランでは、保管庫を会社の契約の中に作り、誰に共有するかを管理者の側で決めます。

1Password では、社員ごとに「Employee vault」という保管庫があります。ほかの社員からは直接見えません。ただし、アカウントの復旧(合言葉を忘れた人が入り直せるようにする機能)の権限を持つ人は、中のすべての項目を開けます。社員のアカウントを削除すると、この保管庫の項目は元に戻せない形で消えます。そのため退職者を外す手順は、削除の前に業務の項目を共有の保管庫へ移すよう求めています。

Bitwarden では、組織に共有した項目は組織のものになり、共有した人が辞めても組織に残ります。一方、個人の保管庫の項目は本人に残ります。

Enterprise には、組織の外に項目を持たせない設定(画面では「Centralize organization ownership」)があります。有効にすると、所有者と管理者以外の社員の個人の保管庫が、組織が持つ「My Items」に置き換わります。辞めた社員の My Items は組織に残り、管理者がほかの社員に使わせることができます。すでに個人の保管庫にある項目は、組織へ移すよう社員に求めることもできます。断った社員は、その場で組織の項目を使えなくなります(組織から削除されるのではなく、一時的に止められる扱いです)。

法人向けプランでも残ること

法人向けプランにしても、辞めた社員が見たパスワードを覚えている状態は残ります。1Password の公式ヘルプにある退職者を外す手順も、その人が使えた保管庫のパスワードを変える工程を含みます。所有者か管理者のグループにいた人なら、管理できる保管庫のパスワードをすべて見たものとして扱うよう書かれています。

法人向けプランで減るのは、どのパスワードがどこにあるか分からない状態です。変える作業はなくなりません。

社内で決めておくこと

総務省の「国民のためのサイバーセキュリティサイト」は、職場での対策としてパスワード管理ツールを勧めています。あわせて、会社ごとに決まりがあることもあるので、情報システム担当者に相談するよう呼びかけています。社員から相談されたときに答えられる決まりが要ります。IPA のガイドラインも、紙・ファイル・パスワード管理アプリなどの保管方法の違いを理解するよう求めています。そのうえで、自社に合った管理ルールを定め、社員に知らせることを求めています。

決めておくのは次の 3 つです。

1. 会社のアカウントのパスワードは、会社が契約した保管庫にだけ入れる。個人向けプランに入れたものは、会社が回収できないからです。
2. 私用のパスワードの置き場所を分ける。法人向けプランの利用者に、家族向けプランを無料で付ける製品もあります(1Password Business、Bitwarden Enterprise)。
3. すでに個人の保管庫にある会社のパスワードは、会社の保管庫へ移してもらい、個人側から消してもらう。消したかどうかは会社から確かめられないので、移したアカウントのパスワードを変えます。

規程に書くときの文例は、パスワード管理規程のテンプレートと書き方にあります。