パスワードの使い回し・Excel管理をやめる｜会社のパスワード管理方法

「あのサービスのパスワード、なんだっけ」と思うたびに、メモ帳やExcelのファイルを開いて探していないでしょうか？ 新しいサービスには、いつものパスワードに数字を一つ足して登録している、という方も多いと思います。

社内で共有するIDとパスワードが、ファイルサーバーの「パスワード一覧.xlsx」や、モニターの付箋にある会社も珍しくありません。

使い回しをやめられないのは意志が弱いからではなく、複雑なパスワードをいくつも覚えることに、そもそも無理があるからです。

先に答えを書くと、会社のパスワード管理は「パスワード管理ツールに覚えさせる」＋「二段階認証をかける」の二つが基本です。

この記事では、そこに至る理由と、専任のIT担当がいない会社でも今日から始められる切り替えの手順をまとめます。

パスワード管理方法の比較と結論

パスワードの管理方法は、大きく分けて五つあります。会社で共有と退職時の対応まで考えると、答えはパスワード管理ツールになります。

管理方法	安全性	社内での共有	退職・異動時の対応	向く使い方
頭で覚える	使い回しが起きやすい	できない	本人しか分からない	管理ツールのマスターパスワードだけ
紙のノート	保管場所しだい	向かない	ノートの回収と全パスワードの変更	個人が鍵のかかる場所で保管する場合
Excel・メモ帳	暗号化しないと中身がそのまま読める	ファイルごと渡すしかない	全パスワードの変更	ツールに移すまでの応急処置
ブラウザの保存機能	端末が乗っ取られると盗まれるおそれ	向かない	端末とアカウントに残る	個人の私用アカウント
パスワード管理ツール	暗号化して保管し、自動で入力	共有の金庫で範囲を分けられる	金庫へのアクセスを止める	会社の業務アカウント全般

表のとおり、ノートやExcelは個人で使う分には工夫しだいですが、「誰に見せるか」と「辞めた人をどう止めるか」を会社として管理できません。この二つを仕組みで解決できるのが、パスワード管理ツールです。

パスワードの使い回しが危ない理由

「パスワードの使い回しはダメ」とよく言われますが、なぜそこまで問題視されるのでしょうか？ ここでは仕組みと、中小企業にとっての現実的なリスクを整理します。

一つ漏れると芋づる式に破られる

IPAの2022年度 情報セキュリティに対する意識調査では、パスワードを使い回す人は4〜5割という結果が出ています。使い回しは、多くの人にとって身近な習慣です。

使い回しが危ないのは、「パスワードリスト攻撃」という手口があるためです。攻撃者は、どこかのサービスから流出したIDとパスワードの一覧を手に入れ、別のサービスのログイン画面で片っ端から試します。

同じパスワードを他でも使っていると、一か所の流出をきっかけに、メール・ネットバンキング・業務システムへと次々に不正ログインされます。

自分が使うサービスに落ち度がなくても、別のサービスの流出で被害を受けるのがこの手口の怖いところです。

近年はIDにメールアドレスを使うサービスが多いため、「メールアドレス＋使い回しのパスワード」の組み合わせは特に狙われやすくなっています。

小さな会社も狙われる

「うちは小さいから狙われない」という声をよくお聞きします。ですが、攻撃者は会社の規模を見ているのではなく、流出したリストと突破しやすい穴を機械的に狙っています。

IPAが中小企業4,191社に聞いた2024年度の実態調査では、2023年度に不正アクセスの影響を受けた（可能性が高いものを含む）企業は10.0%でした。

中小企業庁のミラサポplusも、利用者向けのお知らせでパスワードの使い回しに注意を呼びかけています。

専任の情報システム担当がいない会社ほど、パスワードの管理が個人任せになり、穴が放置されやすいのが実情です。規模の問題ではなく、備えがあるかどうかの問題だと考えておくと安全です。

パスワード管理の穴は、ランサムウェアなど、より深刻な被害の入り口になることもあります。IPAの「情報セキュリティ10大脅威 2026」でも、組織の1位は「ランサム攻撃による被害」です。

公的機関が勧める安全なパスワード

では、どんなパスワードなら安全なのでしょうか？ 総務省・国家サイバー統括室（2025年7月にNISCから改組）・IPAは、いずれも「長く、複雑に、使い回さない」ことを勧めています。

項目	公的機関の勧め	出典
長さと文字種	最低でも10文字以上。数字・記号・英大文字・小文字を混ぜる	総務省
使い回し	サービスごとに別のパスワードにする	総務省・国家サイバー統括室・IPA
定期的な変更	流出がなければ変える必要はない	総務省・国家サイバー統括室
覚えきれないとき	パスワード管理ツール（パスワードマネージャー）を使う	総務省・国家サイバー統括室・IPA
メモの保管	目に触れる場所に貼らず、鍵のかかる机や金庫に	総務省
認証の上乗せ	多要素認証（二段階認証）を設定する	総務省・国家サイバー統括室・IPA

出典は、総務省の国民のためのサイバーセキュリティサイト、国家サイバー統括室のインターネットの安全・安心ハンドブック、IPAのセキュリティ対策の基本と共通対策です。

「パスワードは定期的に変えるもの」と思われがちですが、総務省は流出がなければ定期的な変更は必要ないとしています。定期的に変えると作り方がパターン化し、かえって推測しやすくなるためです。

10文字以上のランダムな文字列を、サービスの数だけ覚えるのは現実的ではありません。そこで公的機関は、そろって覚えきれない分はパスワード管理ツールに任せるよう勧めています。

Excel・メモ帳・ノートで管理する問題点

使い回しと並んで多いのが、「どこに保存するか」の問題です。ここでは、ありがちな管理方法のどこに危うさがあるのかを見ていきます。

Excelやメモ帳に書き残す危うさ

デスクトップに置いた「パスワード管理.xlsx」や、メモ帳にずらりと並んだIDとパスワードは、よく見かける光景です。問題は、どちらも暗号化されていない、そのまま読める状態で書かれていることです。

パソコンの紛失やウイルスの感染、退職者によるコピーの持ち出しがあれば、中身はそのまま読まれます。共有サーバーに「パスワード一覧」を置いている場合は、アクセスできる全員が、すべてのパスワードを見られる状態です。

Excelのファイルにパスワードをかける方法もありますが、そのパスワードをまた別に覚える必要があります。結局は解除したまま使う運用になりがちで、根本的な解決にはなりません。

紙のノートは会社では共有できない

ネットにつながっていない紙のノートは、ウイルスで盗まれない点が利点です。総務省も、メモを残すなら目に触れる場所に貼らず、鍵のかかる机や金庫など安全な方法で保管するよう示しています。

ただし、紙のノートは会社で共有する使い方に向きません。誰がいつ見たかが残らず、辞めた人が書き写していても分からないためです。

• 付箋をモニターやパソコンの横に貼る
• 共有のノートを誰でも取れる引き出しに入れる
• ノートの写真をスマホで撮って持ち歩く

個人のアカウントを自分で管理するなら、鍵のかかる場所のノートも選択肢の一つです。会社の業務アカウントは、次の章で紹介する管理ツールに移すほうが安全です。

ブラウザの保存機能の落とし穴

ChromeやEdgeは、ログインのたびに「パスワードを保存しますか？」と聞いてくるため、保存を任せている方も多いと思います。個人利用なら手軽ですが、業務で使うと問題が出てきます。

ブラウザの保存は、その端末とアカウントに強く結びついています。そのため、業務で使うと次のようなことが起きます。

• 退職者の端末やアカウントにパスワードが残り続ける
• チームで安全に共有できない
• 誰がいつどのパスワードを使ったか、会社として分からない

国家サイバー統括室のハンドブックも、ブラウザに保存すると席を離れた隙に使われたり、パソコンを乗っ取られた際に根こそぎ盗まれたりする可能性があると注意しています。便利に見えても、会社として統制できていない状態です。

Excelで管理するときの応急処置

「すぐにツールを入れるのは難しい」という場合は、今のExcelでの管理を少しでも安全にしておきます。次の点を確かめてください。

• ファイルを暗号化し、開くためのパスワードを付ける
• デスクトップや共有サーバーの誰でも見える場所に置かない
• 見られる人を必要な人だけに絞る
• 付箋やメモをやめ、ファイルに一本化する
• 退職者が出たら、その人が知っていたパスワードを変える

ただし、これはあくまで応急処置です。Excelでは誰がいつ見たかの記録を残せず、部署ごとに見せる範囲を分けたり、退職時にアクセスをすぐ止めたりもできません。

手間をかけて安全性を上げようとするほど、運用は苦しくなります。どこかで専用のツールに切り替えるのが現実的です。

覚える役割をパスワード管理ツールに渡す

使い回しが起きる根っこは、人間の記憶に頼っていることです。覚えられる数には限りがあるので、覚えやすい一つのパスワードを、あちこちで使い回してしまいます。

そこで、パスワードは覚えない前提にして、サービスごとに違う長いパスワードをツールに作らせ、記憶させ、ログイン時に入力させます。人が覚えるのは、ツールを開くための一つの合言葉（マスターパスワード）だけです。

使い回しを見つけて直せる

パスワード管理ツールは、長く複雑なパスワードを自動で作り、暗号化して保管し、ログイン時に入力してくれます。これだけで、新しく登録するサービスでは使い回しが起きなくなります。

多くのツールには、保管しているパスワードを点検する機能もあります。「弱いもの」「使い回しているもの」「流出が確認されたもの」を知らせてくれるので、これまでの使い回しも後からまとめて直せます。

多くのツールは、登録したサイトのアドレスと一致しないページでは自動入力しません。本物そっくりの偽サイト（フィッシング）に気づくきっかけにもなります。

共有と退職時の対応が楽になる

法人向けのプランでは、部署やチームごとに「共有の金庫」を作り、メンバーごとに見せる範囲を分けられます。誰がいつどのパスワードを使ったかも記録できるので、取引先から届くセキュリティチェックシートにも答えやすくなります。

中小企業で特に効くのが退職時の対応です。Excelやブラウザの保存では、辞めた人が知っているパスワードを一つずつ変えて回りますが、管理ツールなら共有の金庫へのアクセスを止めるだけで、その人は中身を見られなくなります。

アクセスを止めても、辞めた人が過去に表示やコピーをしたパスワードまでは消せません。ネットバンキングなど重要なアカウントは、退職時にパスワードも変えておくと安心です。

退職時にアカウントを止める手順全体は、IT担当がいない会社のセキュリティ対策で整理しています。

Authenticatorの自動入力は終了した

二段階認証のアプリとして知られるMicrosoft Authenticatorには、パスワードを保存して自動入力する機能がありました。簡易的なパスワード管理ツールとして使っていた方もいると思います。

この機能は2025年に段階的に終了しています。6月にパスワードの追加、7月に自動入力が止まり、8月には保存したデータにアクセスできなくなりました。

Microsoftは、保存していたパスワードをMicrosoftアカウント経由でEdgeに引き継ぐよう案内しています。

ただ、Edgeに預けるのは、先ほどの「会社として統制できないブラウザの保存」に戻ることでもあります。見直すのであれば、この機会に専用のパスワード管理ツールへ移るのがおすすめです。

なお、Authenticatorそのものは二段階認証のアプリとして引き続き使え、職場のアカウント（Microsoft Entra ID）のパスキーにも対応しています。

「パスワードを保管する役割」と「本人確認を上乗せする役割」は別物なので、この違いは次の章で説明します。

ツールは会社の規模で選ぶ

会社で共有と統制のために選ぶなら、候補はそれほど多くありません。10人以下なら1Password、費用を抑えたいならBitwarden、記録と権限を細かく求められる士業や医療ならKeeperがまず候補になります。

多くのツールには無料のお試しがあるので、まずは少人数で試すのが確実です。料金や規模別の選び方、導入でつまずく点は、次の記事にまとめました。

二段階認証とパスワード管理ツールを併用する

「管理ツールを入れれば、二段階認証はいらないのでは？」と考えた方もいるかもしれません。ですが、管理ツールと二段階認証は競合するものではなく、併せて使うものです。

管理ツールだけでは足りない理由

パスワードは「知っている情報」という一種類の鍵にすぎません。管理ツールで強くしても、パスワードそのものが漏れる経路は残ります。

• 本物そっくりの偽サイトで、自分で入力してしまう
• サービスの側からパスワードが流出する
• パソコンがウイルスに感染する

二段階認証は、パスワード（知っているもの）に、スマホや物理キー（持っているもの）などを組み合わせる仕組みです。パスワードが漏れても、もう一つの鍵がなければ入れません。

管理ツールで鍵を強くし、二段階認証で入り口をもう一枚増やす、という二段構えが基本になります。

二段階認証の方法を比べる

代表的な二段階認証の方法を、手軽さと安全性で比べます。国家サイバー統括室のハンドブックは、SMSやメールでコードを受け取る方法を「推奨できないもの」に分類しています。

方法	手軽さ	フィッシングへの強さ	使いどころ・注意点
SMS・メールのコード	◎	△	準備がいらない。電話番号の乗っ取りや経路上での奪取に弱い
認証アプリ（TOTP）	◯	◯	Microsoft AuthenticatorやGoogle Authenticatorが数十秒ごとのコードを表示。SMSより安全
プッシュ通知で承認	◎	△	「許可」を押すだけ。しつこく通知を送り、誤って押させる手口がある
物理セキュリティキー	△	◎	YubiKeyなどFIDO2対応のキー。偽サイトでは反応しない。重要なアカウント向け
パスキー	◯	◎	パスワードそのものを使わない。大手のサービスから対応が進むが、業務のサービスではまちまち

表の中で特に気をつけたいのが、プッシュ通知です。身に覚えのない「ログインを許可しますか？」は、何度届いても承認しないよう、社内で共有しておいてください。

まずは、使えるサービスから認証アプリを設定するのが現実的です。社長や経理担当のメール、ネットバンキングなど重要なアカウントには、物理セキュリティキーやパスキーを検討すると安心です。

管理ツール本体こそ二段階認証で守る

見落とされがちですが、最も大切なのは、パスワード管理ツールのアカウント自体を二段階認証で守ることです。ここが破られると、すべての鍵が入った金庫をそのまま攻撃者に渡してしまいます。

パスワード管理を切り替える手順

最後に、実際の進め方を整理します。一度に完璧を目指さず、上から順にできるところから始めてください。

今日から始める切り替えの順番

1. 棚卸し：メモ帳・Excel・付箋・ブラウザに散らばったIDとパスワードを洗い出す
2. ツールに移す：管理ツールを一つ選び、共有するものは共有の金庫に入れる
3. ブラウザの保存をオフ：移し終えたら、ChromeやEdgeの保存機能を止める
4. 二段階認証：管理ツール本体と、主要なサービスに設定する
5. 退職時のルール：辞める人・異動する人のアクセスを止める手順を決める

棚卸しでは、カード決済やSNS、業務システムなど、社内で共有しているアカウントも忘れずに書き出します。使っていないサービスがあれば、この機会に解約しておくと管理が楽になります。

ブラウザの保存機能を残しておくと、管理ツールとの二重管理になり、かえって混乱します。一人で情報システムを兼務している場合の進め方は、ひとり情シス・兼務担当の負担を減らす方法も参考にしてください。

パスワードが漏れたときにやること

利用しているサービスから流出のお知らせが届いたら、慌てずに次の順で対応します。

1. 流出したサービスのパスワードを変える
2. 同じパスワードを使っていた別のサービスも変える
3. 二段階認証を設定していなければ設定する
4. ログイン履歴に身に覚えのないものがないか確かめる

総務省も、パスワードを変えるべきなのは流出があったときだとしています。使い回しをやめておけば、変えるのは流出したサービス一つで済みます。

まとめ

パスワードの使い回しやExcelでの管理は、意志の弱さではなく、記憶に頼る「仕組み」の問題です。覚える役割をツールに渡せば、使い回しは自然になくなります。

まずは社内で共有しているアカウントから管理ツールに移し、ツール本体と重要なサービスに二段階認証をかけてください。どのツールにするかは、パスワード管理ツール法人比較で規模と業種ごとに整理しています。