会社の共有アカウント管理｜パスワード共有と退職時の対策
結論
会社のアカウントはメンバーを個別に招待し、必要な権限だけ付ける方法を優先します。規約上やむを得ず共有する場合は、ログインできる人と認証手段を記録し、退職や異動の時にアクセスを止める手順を決めましょう。
経理担当が2人いるときも、まず「同じIDを渡す必要があるか」を確認します。物理キーは、対応するWebサービスで利用を許可された場合の認証手段の一つです。 SecuX（MS-FIDO2CU）の商品仕様を見る
1. 共有アカウントで困るのは、退職後もアクセスが残ること
パスワードを口頭やチャットで伝えていると、誰が知っているかを後から追いにくくなります。同じIDのままでは、サービスの履歴にそのIDしか出ず、どの担当者が操作したか判断できないこともあります。
例えば、退職した経理担当からキーを回収しても、ブラウザでログイン状態が続いていたり、別の認証方法が残っていたりする場合は、返却だけでアクセスを止められません。キー・権限・既存のログイン状態を別々に確認することが必要です。
2. まず、1人1アカウントと権限の分離を検討する
メンバー招待、担当者別のID、閲覧・承認などの権限設定があるサービスなら、その仕組みを使います。経理Aさんには処理に必要な権限、経理Bさんには確認に必要な権限を付ける、といった運用です。担当者が変わっても、他のメンバーのログイン方法を変えずに、その人の権限を止めやすくなります。
| 選択肢 | 向く条件 | 退職時の主な対応 |
|---|---|---|
| 個人別アカウント | サービスが招待や権限委任に対応 | 本人の権限・アカウントを停止し、ログイン状態も確認 |
| 共有が認められる例外運用 | 個人別にできず、規約・社内ルールで共有可 | キー・パスワード・復旧方法・ログイン状態を確認し、不要なアクセスを止める |
| 共有禁止または条件不明 | サービスで禁止・不明、業務の要件を満たさない | 共有せず、公式の代替手段や別サービスを検討 |
IPAの中小企業向けガイドラインも、共有IDをできるだけ避け、やむを得ない場合は利用者を特定できる運用を求めています。
3. 共有が許される場合だけ、キーを認証方法に加える
まず、サービスが対象アカウントで物理キーの登録を許可しているかを確認します。複数本を登録できるなら、Aさん用とBさん用を別の名前で管理する方法があります。貸出記録を作っても、サービス自体が個人別の操作履歴を残すとは限りません。
パスワードに加えてキーを求めるサービスでは、キーを渡しただけではログインできません。パスワードを教えない運用を目指すなら、個人別の招待や権限委任を先に確認してください。SecuXがパスキーとして動作する条件は未確認のため、この商品だけでパスワード共有をなくせるとは案内していません。
SecuXは対応するWebブラウザのログインで使う物理キーです。キーのPINとサービスのパスワードは別物です。実際に運用を決める前に、サービス・アカウント種別・端末・管理者設定の条件をそろえ、認証と復旧を試せる範囲で確認してください。
4. 貸出・保管・PINの社内ルールを決める
- キーの管理：資産番号を付け、対象サービス、登録名、利用者、貸出日、返却日を台帳に残す。PINやパスワードは台帳に書かない。
- PIN：他人へ転送しない。キーに貼ったり、貸出時に同じメールやチャットで送ったりしない。取扱いはサービスと機器の公式案内に沿って定める。
- 予備：サービス側で必要な登録を済ませ、普段用と分けて、アクセスを制限した保管場所に置く。
- 責任者：経理担当と別に管理者を決め、キーを失くした時の連絡先と、登録削除をできる人を明確にする。
5. 退職・異動当日のチェックリスト
- 担当者と対象サービスを確認し、個人別アカウントなら管理画面から本人のアクセスを停止する。
- 共有が許可された例外運用では、本人に割り当てたキーを回収し、不要な登録を削除する。回収できなくても、サービス側で削除する手順を進める。
- 本人が知っている共有パスワードがあれば、管理者が変更する。本人が使えた復旧方法やバックアップコードも見直す。
- 必要に応じて、ログイン中の端末やセッション、連携アプリのアクセスを管理画面から取り消す。
- 残った担当者が別の正規手段で入れることを確認し、処理日と実施者を記録する。
削除する前に、業務を継続できる管理者と復旧方法を確認します。退職者のアクセスを止めるために、残る担当者の認証手段まで誤って消さないようにしてください。
6. ネットバンキングとPC本体のログインは別に考える
法人向けネットバンキングでは、銀行が指定する担当者ID・承認・認証方式を優先します。各銀行でSecuXが使える、またはID共有が認められるとは限りません。規約・業務の権限設計に判断が必要なら、管理者や専門家に確認が必要です。
また、PC本体のWindowsログインと、Webサービスへのログインは別です。SENTINEL ID FLEXは、対応するWindows PCでWindows Helloの指紋ログインを追加したい場合の候補です。Webサービス側の退職者権限を外す操作の代わりにはなりません。
7. よくある質問
キーは何本用意すればいいですか？
登録可能数、利用者数、復旧方法によります。個人別に管理できることを優先し、予備も事前登録できるか確認します。
PINを他人に教えてしまったら？
管理者に連絡し、影響のあるキー・登録・アクセス履歴を確認します。機器とサービスの公式手順に従い、必要に応じて登録解除や認証情報を見直します。
退職者のキーを回収できない場合は？
返却待ちで止めず、管理者が該当の登録と権限を見直します。別の認証方法や既存セッションも残っていないか確認します。
8. 関連記事
- Windows Hello対応の指紋認証USB：PC本体のログインを見直したい方へ。
- パスワードの使い回しを避ける管理方法：個人の管理方法を考える参考です。社内の共有・権限管理の代替ではありません。
