Slack・メールでパスワードを送るのをやめる方法

新しい担当者に共有アカウントのパスワードを伝えるとき、Slack のダイレクトメッセージ(DM)やメールで送るのは、いちばん手近な方法です。残る場所の記述は、Slack、Microsoft 365、Gmail の公式ヘルプで確認できる範囲です。

送ったパスワードはどこに残るか

チャットやメールの本文に書いたパスワードは、送信した時点で送り手の管理を離れます。残る場所は 4 つです。

検索結果

同じチャンネルや DM の参加者なら、後から「パスワード」で検索して見つけられます。Slack では、保存されたメッセージとファイルを検索できます。有料プランでは、はじめの設定で、ワークスペース(会社ごとの Slack の場所)が続く限りデータを保存します。無料プランでも、直近 90 日のメッセージは閲覧と検索の対象で、1 年を超えたものが削除されます。

有料プランの保存期間の設定には、メッセージの編集と削除を記録する選択肢があり、本人が削除しても削除の記録が残る設定にできます。つまり、送った本人が後から消しても、消えたと確かめられるのは自分の画面だけです。

転送・書き出し

受け取った人の操作や管理者の操作で、送り手の知らない相手に届きます。Gmail は、受信メールを別のアドレスへ自動転送できます。Slack はオーナー・管理者が、パブリックチャンネル(全員が見られるチャンネル)のデータをまとめて書き出せます(エクスポート)。Business+ 以上では、申請して承認されれば、プライベートチャンネルと DM も対象にできます。

端末

受け取った人のパソコンやスマホのアプリに、文面が残ります。端末に何が残るかは公式ヘルプでは明示されていません。ただ、インターネットにつながっていなくても読めるように受信内容を端末に保存するアプリでは、私物のスマホにも文面が残ります。

退職者のアカウント

本人がいなくなってもデータは消えません。Slack はアカウントを解除しても、その人が送ったメッセージとファイルは削除されません。Exchange(Microsoft 365 のメールの仕組み)では、削除したメールも「回復可能なアイテム」に一定期間残ります。保存期間のルール(保持ポリシー)の対象なら、退職者のメールボックスは「非アクティブなメールボックス」として残ります。

代わりの渡し方

代わりの方法は、「後から取り消せるか」「期限や回数を決められるか」「そもそも渡さないか」で 3 段階に分かれます。

共有リンクで決められる条件は、製品で違います。1Password は、登録した 1 件(アイテム)を共有リンクで渡し、期限と相手(リンクを知っている全員か、特定の人か)を決められます。Bitwarden Send は、削除日(最長 31 日)、開ける回数の上限、パスワードによる保護を設定でき、Bitwarden を使っていない相手にも送れます。リンク自体をチャットで送るなら、有効期間は短くします。

パスワードマネージャーの共有で何が残るかは パスワードマネージャーとは、渡さない方式の選択肢は 共有アカウントの管理 にまとめています。共有リンクは「1 回だけ渡す」場面に向きます。繰り返し使う共有アカウントには、パスワードマネージャーの共有か、渡さない方式が向きます。

切り替えの手順

1. 渡し方を先に決める — 「送らない」だけを先に決めると、渡し方に困った担当者はチャットに戻ります。上の表から自社の方法を選び、使える状態にしてから周知します。
2. 過去に送ったパスワードを洗い出す — Slack とメールを「パスワード」「PW」「ログイン情報」で検索し、見つかったアカウントを台帳に載せます。
3. 見つかったアカウントのパスワードを変える — 送った文面を削除しても、受け取った人の端末や、保存期間の設定による記録には残ります。削除ではなく変更で使えなくします。
4. ルールを文書にして周知する — 下の文例のように、禁止と代わりの方法を 1 組で書きます。
5. 例外の窓口と点検の頻度を決める — 緊急時に誰へ連絡するか、2 の検索による点検を何か月ごとに行うかを決めます。

社内ルールの文例

社内ルールの根拠は、IPA の「中小企業の情報セキュリティ対策ガイドライン」第 4.0 版(2026 年 3 月)にあります。同ガイドラインは、保管方法の違いを理解した管理ルールを定め、従業員に周知するよう求めています。次の文例はその要求に対応する条文の一例で、自社の規程の形式に合わせて調整してください。規程としての効力や表現は、社内規程の担当部門や弁護士の確認を受けてください。

(パスワードの受け渡し)

1. 従業員は、業務で使用するアカウントのパスワードを、チャット、電子メール、その他の記録に残る通信の本文に記載して送信しない。
2. パスワードの受け渡しが必要な場合は、会社が指定したパスワード管理ツールの共有機能、または有効期限を設定した共有リンクを用いる。
3. 前項によらずパスワードを受け渡した場合は、速やかに管理者に報告し、管理者は当該パスワードを変更する。
4. 管理者は、年 ◯ 回、社内のチャットおよび電子メールを点検し、本条に反する送信がないことを確認する。

第 1 項が禁止、第 2 項が代わりの方法、第 3 項が漏れたときの扱い、第 4 項が点検です。第 2 項の「会社が指定した」道具を先に用意しておくことが、この規程が守られるかどうかを左右します。第 4 項の点検は、管理者が見られる範囲(パブリックチャンネルなど)に限られます。DM やメールを含めるには、各サービスの権限と従業員への周知が要ります。