パスワード管理｜安全な管理方法・やってはいけないNG行為・おすすめ管理術を解説

安全なパスワード管理は、使い回しと保管先の整理から

パスワード管理では、サービスごとに異なる推測困難なパスワードを使い、第三者に読まれにくい方法で保管することが基本です。同じパスワードを複数サービスで使うと、一つの漏洩が別サービスへのログイン試行に利用される可能性があります。IPAの不正ログイン対策も、使い回しを避けることと多要素認証を案内しています。「何秒で必ず破られる」と一律に判断せず、長さ、予測しにくさ、漏洩の有無、サービス側の対策を確認します。

パスワードマネージャーは、異なるパスワードの生成・保存・入力を補助できます。ブラウザやOSの標準機能と専用アプリには、それぞれ対応する端末、共有、復旧、管理機能の違いがあります。特定のツールを使えば最も安全という結論にせず、普段使う環境と必要な機能を揃えて選びます。製品の無料・有料条件と比較は、パスワードマネージャーの選び方で解説しています。

避けたい運用	見直す内容
同じパスワードや規則的な変形を使う	サービスごとに独立したものを生成する
画面に付箋を貼る、平文一覧を共有する	保管先・閲覧権限・共有の必要性を整理する
メールやチャットで秘密を送る	承認した共有手段を使い、対象と期間を限定する
誰が使うか分からない共用アカウント	可能なら個人アカウントと必要な権限へ分ける

紙に書くことと、誰でも見える場所へ貼ることも区別します。復旧情報をオフラインで保管する方法を選ぶなら、施錠、保管者、災害・紛失、取り出す手順を決めます。一方、パスワード一覧を暗号化なしでPCやクラウドへ置くと、端末侵害や共有設定の誤りによる一括流出につながり得ます。形式だけでなく、誰がどの条件で情報へアクセスできるかを確認することが重要です。

家庭の接続情報を整理するときも、Wi-Fi接続用とルーター管理用のパスワードを分けて扱います。保存した接続先を削除する前に再入力する情報を確認する手順は、Wi-Fiが繋がらないときの切り分けと端末別の対処で整理しています。会社・学校の接続は、必要な認証や復旧方法を管理者へ確認してから進めてください。

最初に、主要メール、管理者、金融・業務サービスなど、失うと影響が大きいアカウントから管理を見直します。メールは他サービスの復旧先になっている場合があるため、ログイン方法と復旧先の両方を点検してください。会社の情報を個人用アプリへ取り込む前には、社内で承認された保管・共有方法を確認します。

パスワードの作り方と、定期変更を判断する条件

長さと予測しにくさを確保するには、管理ツールの生成機能を使う方法があります。覚える必要があるマスターパスワード等は、無作為に選んだ無関係な語を組み合わせる方法も候補です。単語数や文字数だけで強度が決まるわけではなく、選ぶ語の候補と選び方が関係します。有名な例文、名前や誕生日、サービス名を足すだけの規則は避け、公開記事の例をそのまま使わないようにします。

NIST SP 800-63B-4の最終版は、サービス提供者がパスワード単独で認証する場合は15文字以上、MFAの一部だけに使う場合は8文字以上を認める条件を示しています。文字種の混在を一律に強制することや、根拠のない定期変更要求は採用せず、侵害の証拠がある場合は変更を求める整理です。これは米国政府のデジタル認証を対象とする技術ガイドであり、すべての民間サービスの契約や設定を直接置き換えるものではありません。

利用者は、各サービスが受け付ける長さと文字、会社の適用ルールを確認した上で、十分に長い独立したパスワードを設定します。「英大文字・小文字・数字・記号を混ぜたから安全」「最低文字数を超えたから変更は不要」とは判断しません。漏洩済み、広く使われる語、他のサービスとの使い回し、端末の感染などがあれば対処が必要です。定期変更の要否と、侵害時の変更を分けることが大切です。

日本の行政手続向けのデジタル庁DS-512解説書も、NISTの要求とパスワード管理ツールの利用を参考情報として整理しています。利用者に複雑な規則を覚えさせるだけでなく、提供するシステム側の保存、試行制限、認証・復旧を合わせて考える必要があります。行政向けの解説と、民間の個別サービスへの義務を混同しないようにします。

漏洩警告を受けたら、通知内の不審なリンクではなく、公式サイトやアプリから対象アカウントを確認します。同じパスワードを使っていた他サービスも見直し、知らない認証器や復旧先、ログイン済みセッションが残っていないかを確認します。警告がないことは安全の保証ではなく、被害の範囲が分からない場合はサービスの公式窓口や社内担当者へ連絡します。

MFA・パスキー・復旧情報を一組で管理する

多要素認証は、記憶・所持・生体など異なる種類の要素を組み合わせます。パスワードと秘密の質問はどちらも知識で、単に確認画面を増やすだけでは異なる要素になりません。また、指紋でアプリを開くことと、インターネット上のアカウントへMFAでログインすることも同じではありません。方式ごとの特徴は、MFAの仕組みと二段階認証との違いで整理しています。

認証アプリのTOTPやSMSのコードは、パスワードだけの運用へ追加する対策になりますが、偽サイトにコードを入力させる攻撃を防ぐ方式ではありません。重要なアカウントでは、利用可能なパスキーやFIDO2セキュリティキーの条件も確認します。パスキーの秘密鍵を使う際のPINや生体確認は、端末等での利用者検証です。生体情報そのものをサイトへ送るパスワードの代わりと考えないようにします（FIDO Allianceの説明）。

パスキーは同期型と端末固定型で復旧の前提が異なります。同じ提供者での同期、別の提供者への移行、手元のスマートフォンを使う別端末へのログインは別の機能です。端末交換時には、登録済みの認証情報と実際に使う保存先を確認します。詳しくはパスキーの仕組みと導入時の確認点を参照してください。

MFAを有効にするときは、紛失・故障時の復旧手段も準備します。サービスが認める予備認証器やバックアップコード、管理者による本人確認を伴う復旧手順を確認してください。復旧先メールや電話番号が古いままになっていないかも点検します。唯一の復旧コードを、解除できなくなった同じ保管庫にしか置いていない状態は避け、保管方法と利用者を明確にします。端末の画面ロックとアカウント復旧を分けて確認する例は、iPhoneのパスコードを忘れた場合の公式手順を参照してください。

認証器を紛失した場合は、復旧してログインできたことだけで対応を終えず、失った認証器の登録、接続済み端末、セッションを見直します。会社のアカウントなら、インシデント報告と失効を担当する窓口へ連絡します。本人確認を省略してMFAを外すことが通常の復旧手順にならないよう、例外の承認・記録も含めて運用を決めます。

企業での導入手順｜保管庫から接続先まで点検する

企業のパスワード管理は、アプリの配布だけでは完了しません。サービス、管理責任者、利用者、権限、共有の有無、認証方式、復旧先を棚卸しします。個人用と業務用の保管庫を分け、共有する範囲、管理者、退職・異動・委託終了時の処理を決めます。必要な権限を持つ人だけが情報に触れられる状態を作り、利用部門が例外を相談できる窓口も用意します。

1. 重要アカウントと利用者・権限・復旧先を確認する。
2. 承認した管理ツールとMFA・パスキーの方針を決める。
3. 試行利用者で保存・入力・変更・共有・復旧を検証する。
4. 移行後の件数・項目・ログインを照合し、一時ファイルを管理する。
5. 退職・異動時の接続先アカウントとセッションまで失効を確認する。

保管庫のメンバーを外しても、接続先のアカウントや、すでに知られた共有パスワードが自動的に無効になるとは限りません。SSOを使う場合も、各アプリの連携、セッション、別経路のログインが残るかを確認します。アクセスを失効させる対象と担当者を分けて記録し、保管庫と接続先の両方で完了を確認する必要があります。

移行時には、パスワード、パスキー、添付、共有情報がどの形式で扱えるかを確認します。平文の書き出しファイルを使うなら、保存先、アクセス権、同期・バックアップへの複製を管理します。新しい環境でのログインと復旧を確認してから移行元を整理し、不要なファイルの削除だけで複製が完全になくなると考えないようにします。

点検日と担当者を台帳に残し、共有先の追加、認証器の変更、退職といった出来事でも再確認します。棚卸しの件数だけでなく、復旧と失効の手順を実行できるかを確認対象に含めます。

自社アプリのログイン、復旧、権限の実装が適切かを調べたい場合は、renueのAI脆弱性診断支援で、コード分析や合意した環境での検証を相談できます。管理ツールの設定だけでなく、認証・権限の弱点と改善方法を確認するための導線です。セキュリティ診断の進め方やゼロトラストの考え方も参照し、診断とその後の改修・運用の範囲を明確にして進めます。