モニターの縁に付箋、キーボードの裏、引き出しの中のメモ帳。パスワードを紙に書いて管理している状態は、多くの職場に残っています。禁止を通達しても数か月で戻るのが実情です。この記事では、なぜ戻ってしまうのかを整理したうえで、「書かずに済む状態」をどう作るかを負担の小さい順に扱います。
なぜ付箋がなくならないのか
原因は本人の意識ではなく、覚えられない量のパスワードを覚えるよう求めていることです。
- 業務で使うサービスが増え、10個以上のパスワードを持っている
- サービスごとに文字種や長さの条件が違う
- 定期変更を強制されるため、覚え直しが発生する
- 忘れると業務が止まり、リセットの手間も大きい
この状況で「書くな」と言えば、より見つかりにくい場所に隠すだけです。状態は悪化し、管理側からは見えなくなります。
特に定期変更の強制は、書き留める動機を直接作ります。近年は期限による強制変更を求めない方向が主流です。考え方は パスワードポリシーの設計で扱っています。
自社のログイン運用チェック（1/10問）
業務で使うPCへのログインは、いまどの方法ですか？
選ぶと2問目へ進みます。残り9問・約3分。入力欄なし・登録不要です。
実際に起きること
入館できる人すべてが対象になる
付箋で問題になるのは、社員による悪用よりも社外の人が執務エリアに入る場面です。
- 清掃、設備点検、什器の搬入
- 来客の待機・打ち合わせ
- 保守ベンダーの作業
短時間でも、スマートフォンで撮影されれば記録が残ります。盗まれた形跡がないため、気づく手段がありません。
写真に写り込む
採用サイトの職場紹介、社内報、SNS、オンライン会議の背景。意図せず公開された画像に付箋が写る事故は実際に起きています。
この経路の問題は、不特定多数に届いた後で回収できないことです。
退職時に回収できない
紙に書かれたパスワードは、持ち出されても分かりません。アカウントを削除すれば無効化できますが、その削除自体が漏れやすい作業です。
退職者アカウントの棚卸しを参照してください。
パソコンのメモ帳（テキストファイル）やExcelに保存するのは危険か
付箋をやめた結果、パスワードをWindowsのメモ帳で「パスワード.txt」として保存したり、Excelの一覧にまとめたりしている職場も少なくありません。紙より安全に見えますが、ファイルには紙にない危険があります。
- そのPCに入れる人は誰でも開ける — 共用PCや共有IDのPCでは、ログインした全員が同じファイルを開けます。
- 勝手に複製される — OneDriveなどの同期、バックアップ、メール添付で、本人も知らない場所にコピーが残ります。退職者が持ち出しても気づけません。
- まとめて盗まれる — PCに入り込むウイルスには、「パスワード」「password」といった名前のファイルや、ブラウザに保存された情報を探して送り出すものがあります。1つのファイルに全部が書いてあれば、一度で全部が漏れます。
- 検索で見つかる — Windowsの検索で「パスワード」と入れれば、ファイル名や中身から簡単に見つかります。
Excelにパスワードを掛けても、そのパスワードをまた覚える必要があり、同じことの繰り返しです。付箋もメモ帳もExcelも、原因は「覚えきれない量のパスワードを覚えさせている」ことで共通しています。置き場所を変えるのではなく、覚える量そのものを減らすのが次の節の考え方です。
ポイント
代替手段：負担の小さい順
「書かなくても業務が回る状態」を作るのが目的です。禁止の通達は手段になりません。
① 定期変更の強制をやめる
費用ゼロで、書き留める動機を最も直接的に減らせます。
期限による強制変更をやめる代わりに、使い回しの禁止、漏洩が疑われる場合の即時変更、十分な長さの確保を条件にします。変更の頻度を落とすと、覚えられる可能性が上がります。
Windows環境での設定変更は グループポリシーによるアカウント保護の設定で扱っています。
② パスワード管理ツールを配る
覚える対象を1つに減らす方法です。管理ツールのパスワードだけを覚え、残りはツールに保存します。
導入時の注意点は、そのツール自体が突破されたときの影響が大きいことです。管理ツールには必ず二要素認証を掛けます。掛けない運用では、リスクを1か所に集めただけになります。
③ ログインの回数自体を減らす
シングルサインオンで、認証する場面を減らす方法です。ただしまとまらない範囲が必ず残ります。PC本体へのログインや社内サーバーへの接続は対象外になることが多いです。
シングルサインオンの基本と限界で範囲を整理しています。
④ 覚える必要のない認証に変える
ICカードや生体認証を使い、そもそも文字列を覚えない形にする方法です。書き留める理由が消えます。
PCの生体認証ログイン、 ハードウェアキーによる認証で扱っています。費用の考え方は 多要素認証の費用構造を参照してください。
やってはいけない対処
| 対処 | なぜ良くないか |
|---|---|
| 禁止の通達だけ出す | 見つかりにくい場所へ移るだけで、管理側から見えなくなる |
| 抜き打ち検査で指摘する | 隠す動機を強め、実態把握がさらに困難になる |
| 共有のパスワード一覧を作る | 1か所が漏れると全アカウントに波及する |
| 条件をさらに厳しくする | 覚えられなくなり、書き留める動機が増える |
付箋は、規則が現場の実行可能性を超えていることを示す症状です。症状を隠すのではなく、規則の側を実行できる水準に合わせる方が結果につながります。
すぐできる確認
現状を把握するには、次の3点を見るだけで十分です。
- 1人あたり、業務で使うパスワードは何個あるか
- 定期変更を強制しているか。強制している場合、何日ごとか
- 管理ツールを配布しているか。配布している場合、二要素認証を掛けているか
1つ目が5個を超えていて、2つ目が「あり」で、3つ目が「なし」なら、付箋は必ず存在します。探すまでもなく構造的にそうなります。
よくある質問
付箋を貼るのは本人の意識の問題ではないのですか
覚えられない量を覚えるよう求めている場合、意識では解決しません。パスワードの個数と変更頻度を減らす方が確実です。
パスワード管理ツールは安全ですか
突破された場合の影響が大きいため、ツール自体に二要素認証を掛けることが前提になります。掛けない運用では、リスクを1か所に集めただけになります。
パスワードをメモ帳やExcelに保存するのは危険ですか
危険です。そのPCに入れる人なら誰でも開け、同期やバックアップで複製され、ウイルスにまとめて盗まれることがあります。付箋と同じく、覚えきれない量のパスワードを求めていることが原因なので、覚える量を減らす対策が必要です。
紙に書くことが絶対に禁止されている規格はありますか
一般に規格は「紙に書くな」という形ではなく、権限のない者がアクセスできない状態を求めます。施錠された場所での保管が認められる場合もありますが、モニターや机上への貼付はその条件を満たしません。
いまの運用を棚卸ししてみる
applippliの無料棚卸しでは、10問・約3分で、パスワードの管理と認証の状況を、「解決済み／一部解決／人手で対応／未解決」に仕分けた一覧にできます。結果はPDFレポートでもお届けします。個人情報の入力は不要で、会員登録もありません。