パスワード管理はどうする？設計事務所で使い回しを止める方法

パスワード管理の答えは「長く・複雑に・使い回さない」

パスワード管理で最初にやることは、サービスごとに別の長いパスワードを設定し、使える場面では多要素認証を加えることです。IPAの「情報セキュリティ6か条」は、パスワードを「長く」「複雑に」「使い回さない」ようにして強化するよう求め、英数字記号を含めて10文字以上にする対策例を示しています。総務省も、流出の形跡がなければ定期的な変更は不要で、それより機器やサービスの間で使い回しのない固有のパスワードを設定することが求められると説明しています。

設計事務所では、守る対象がメールだけではありません。図面やBIMモデルを置くクラウド、CADやBIMソフトのライセンス管理画面、確認申請で使う電子申請の窓口、建材メーカーの技術資料サイト、施主と共有するフォルダなど、図面と個人情報に届く入口がいくつもあります。本記事は、その入口を一覧にして、使い回しを止めるまでの手順をまとめます。

設計事務所のアカウントを一覧にする

最初にアカウント台帳を作ります。パスワードそのものは台帳に書かず、「どこに、誰のIDがあり、何に届くか」だけを記録します。

棚卸しのときは、事務所の代表者が個人で契約したまま業務に使っているサービスも拾います。個人契約のアカウントは、事務所として停止や移管ができないことがあるためです。

使い回しを見つける三つの質問

使い回しは本人も自覚していないことが多いため、次の三つを全員に聞きます。

1. 同じパスワード、または末尾の数字だけ変えたパスワードを、二つ以上のサービスで使っていないか。
2. 事務所名、所在地、電話番号、案件名、生年月日などをパスワードに含めていないか。
3. 機器やサービスを導入したときの初期パスワードをそのまま使っていないか。

IPAの6か条でも、名前・電話番号・誕生日・簡単な英単語を使わないこと、初期設定パスワードを見直すことが対策例に入っています。設計事務所では「事務所名＋竣工年」「プロジェクトコード＋記号」のような覚えやすい作り方が広まりやすいので、作り方そのものを禁止事項として共有します。

共有アカウントを個人アカウントへ分ける

少人数の事務所では、一つのIDとパスワードを全員で使っていることがあります。共有アカウントには次の問題があります。

• 退職者が出ても、残る人全員に新しいパスワードを伝え直さないと止められない。
• 誰がファイルを消したか、誰が外部へ共有したかを記録から追えない。
• パスワードをチャットやメモで回覧するため、送信先や保管場所が増える。

可能なサービスでは一人一アカウントへ切り替え、権限は役割で付けます。どうしても共有が必要な場合（共有窓口のメールや一部の機器）は、管理責任者、知っている人の一覧、変更する条件を台帳に書きます。権限の付け方は設計資料の共有権限で整理しています。

パスワード管理ツールを使うときの確認点

総務省は、パスワードを覚える必要のないパスワード管理ツールの利用も推奨しています。長いパスワードを全サービスで別々にするには、人の記憶だけでは限界があるためです。特定の製品を勧めることはしませんが、事務所で使うなら次の観点で比べます。

ツールを入れても、ツールのマスターパスワードを使い回したり、付箋に書いて画面に貼ったりすれば効果は失われます。総務省は、パスワードを紙に控える場合は鍵のかかる机や金庫など安全な方法で保管し、他人の目に触れる場所に貼らないよう案内しています。

パスワードを人に渡さないための決まり

総務省は、パスワードを同僚などの第三者に教えないこと、電子メールでやり取りしないことも挙げています。設計事務所で起こりやすい場面ごとに、代わりの手段を決めておきます。

パスワードを変える場面を決める

定期変更が不要でも、変えるべき場面はあります。総務省は、流出のおそれがあるときは速やかに変更するよう示しています。事務所では次の場面を「変更の合図」として決めておくと迷いません。

• 利用しているサービスから、不正ログインや情報流出の通知が届いた。
• 身に覚えのないログイン通知や、多要素認証の確認要求が届いた。
• 共有アカウントを知っている人が退職した、または外注契約が終わった。
• 端末を紛失した、あるいは不審なメールのリンクにIDとパスワードを入力してしまった。

不審なメールへの入力が疑われる場合は、同じパスワードを使っていた他のサービスも変更対象です。使い回しをなくしておくと、ここで変える範囲が一つで済みます。

退職・外注終了のときの手順

退職や外注契約の終了は、パスワード管理の穴が開きやすい時期です。次の順番で処理します。

1. アカウント台帳で、その人が持つ個人アカウントと、知っている共有パスワードを洗い出す。
2. 個人アカウントを停止し、本人だけが所有するファイルや共有リンクを事務所の管理へ移す。
3. 本人が知っていた共有パスワード（複合機、NAS、Wi-Fi、共有窓口のメール）を変更する。
4. 外注先には、共有していたフォルダの権限を外したことを連絡し、相手側に残った図面の扱いを契約に沿って確認する。
5. 台帳に実施日、実施者、確認者を記録する。

記入例：管理番号ACC-12、構造協力事務所Eのゲスト権限を業務完了で解除。共有していたNAS閲覧用パスワードも変更し、新しいものは管理者2名だけで保管。台帳更新は担当Aが実施し、Bが確認。

月に一度の点検リスト

多要素認証の設定手順と優先順位は設計事務所の多要素認証で詳しく扱います。

よくある質問

パスワードは何文字にすればよいですか

IPAの6か条の対策例は、英数字記号を含めて10文字以上です。サービス側で設定できる範囲で、より長くすることも検討します。覚える必要がある場合は、関係のない複数の単語をつなげる方法を総務省が紹介しています。

3か月ごとの変更ルールは続けるべきですか

総務省は、流出の形跡がなければ定期的な変更は不要としています。変更の手間を、使い回しの解消と多要素認証の設定に振り向けるほうが効果的です。ただし取引先との契約で変更周期が決められている場合は、その条件を確認してください。

施主との共有フォルダにもパスワード管理が必要ですか

必要です。施主側のアカウントの管理は施主に委ねるとしても、事務所側が発行する共有リンクの範囲や期限、パスワードを伝える経路は事務所で決めます。

生成AIのサービスも台帳に入れますか

入れます。入力した図面や相談内容が残る場合があるため、アカウントの所有者と停止手順を管理します。入力してよい情報の判断は設計事務所のAI情報管理を参照してください。

出典・参考

• 総務省「国民のためのサイバーセキュリティサイト」安全なパスワードの設定・管理
• IPA「中小企業の情報セキュリティ対策ガイドライン」第4.0版（情報セキュリティ6か条を含む）
• IPA「SECURITY ACTION」★一つ星（情報セキュリティ6か条）

本記事のアカウント台帳、場面別の決まり、退職時の手順は、上記の公的資料をもとに設計事務所向けに整理した運用例です。各サービスの設定方法は、提供元の最新の案内で確認してください。

関連記事

• 設計資料は誰に共有する？社内・外注先・施主の権限設定
• 二段階認証はどこから設定する？設計事務所の多要素認証の手順
• 設計事務所でAIに図面や顧客資料を渡す前に確認すること