パスワード管理の完全ガイド｜安全な作り方から管理ツールの選び方まで

「同じパスワードを複数のサービスで使い回す」「覚えやすい簡単な文字列にする」「付箋に書いてモニターに貼る」。どれか1つでも心当たりがあれば、今日が見直しのタイミングです。

パスワードの漏洩は、個人情報の流出や金銭被害だけでなく、企業では顧客情報の漏洩や信用失墜に直結します。しかも原因の多くは、高度な攻撃ではなく日常の管理の甘さです。

本記事では、安全なパスワードの作り方、管理ツールの選び方、二要素認証の設定、企業でのポリシー策定までを順に解説します。

パスワードの重要性

パスワード漏洩のリスク

パスワードが1つ漏れると、被害はそのサービスだけにとどまりません。使い回しがあれば、他のサービスにも連鎖的に不正ログインされるためです。

個人では、アカウントの乗っ取り、クレジットカードの不正利用、SNSの悪用といった被害が起きます。

企業では被害がさらに深刻です。顧客情報の漏洩や業務システムへの不正アクセスに加え、信用失墜や法的責任まで問われる可能性があります。

よくある危険な行為

最も危険なのはパスワードの使い回しです。1件の漏洩が、全アカウントの侵害につながります。

次の行為に心当たりがあれば、優先的に改善してください。

同じパスワードを複数のサービスで使い回す
推測されやすい文字列を使う(123456、password、誕生日)
パスワードのメモを見える場所に貼る
メールやチャットでパスワードを送る
部署で1つのアカウントを共有する

パスワード漏洩の原因

漏洩の経路は攻撃手法によって異なり、有効な対策も変わります。まず代表的な手口を知ることが対策の第一歩です。

原因	手口	有効な対策
フィッシング詐欺	偽サイトに誘導して入力させる	不審なリンクを開かない
パスワードリスト攻撃	漏洩済みのID・パスワードで他サービスに侵入	使い回しをやめる
総当たり攻撃	文字の組み合わせを機械的に試す	長く複雑なパスワード
内部不正	従業員による持ち出し	アクセス権限の最小化
マルウェア	キー入力の記録や保存情報の窃取	セキュリティソフトの導入

安全なパスワードの作り方

基本ルール

安全なパスワードの条件は「長さ」「複雑さ」「使い回さない」の3つです。特に長さの効果が大きく、1文字増えるだけで解読に必要な試行回数は桁違いに増えます。

具体的には次の条件を満たしてください。

12文字以上(できれば16文字以上)
大文字・小文字・数字・記号を組み合わせる
辞書に載っている単語を避ける
個人情報(名前、誕生日など)を含めない
サービスごとに異なるパスワードを使用

作り方の例

自分で覚える必要があるのは、マスターパスワードなどごく少数です。それ以外はツールによるランダム生成を基本にしてください。

方法1: パスフレーズ 覚えやすい文章をもとに変換します。マスターパスワード向きの方法です。

例:「私は毎朝7時にコーヒーを飲む」
→ Watashi7jiCoffee!nomu

方法2: ランダム生成 パスワード管理ツールで自動生成します。個別サービスのパスワードはこれで十分です。

例:xK9#mL2$pQ5@nR8

方法3: 3つの単語+記号 無関係な単語を記号でつなげます。ツールを使わない場合の代替手段です。

例:Mountain$Piano$Ocean99

NGなパスワード例

次のパターンは攻撃ツールの辞書に登録済みで、短時間で破られます。

123456、password、qwerty
名前+誕生日(tanaka0401)
会社名+年度(company2025)
キーボードの並び(asdfghjk)
単純な置き換え(p@ssw0rd)

p@ssw0rdのような文字の置き換えも攻撃側は想定済みです。記号を入れただけでは安全になりません。

パスワード管理ツール

なぜ管理ツールが必要か

サービスごとに強いパスワードを使い分けるには、管理ツールがほぼ必須です。数十件のランダムな文字列を記憶だけで管理するのは現実的ではありません。

メモ帳やExcelでの管理は、ファイルごと盗まれる危険があります。管理ツールならデータは暗号化され、覚えるのはマスターパスワード1つだけです。正規サイトでのみ自動入力されるため、フィッシング対策にもなります。

主要ツールの比較

個人でコストを抑えるならBitwarden、チーム利用なら1Passwordが有力候補です。主要5ツールの比較は次のとおりです。

ツール	月額料金	特徴
1Password	約$3〜	直感的な操作性、チーム機能が充実
Bitwarden	無料〜$1	オープンソース、無料版でも実用十分
LastPass	無料〜$3	知名度が高い、無料版は制限あり
Dashlane	約$5〜	VPN付き、高機能
Keeper	約$3〜	セキュリティ重視、法人向けに強い

ツール選びのポイント

「普段使う全デバイスで動くか」「チーム共有が必要か」の2点で絞り込むと選びやすくなります。

契約前に次の項目を確認してください。

対応デバイス(PC、スマホ、ブラウザ)
自動入力機能の使いやすさ
チーム・家族での共有機能
二要素認証への対応
バックアップ・復元機能
緊急アクセス機能
料金体系

1Passwordの使い方

導入は4ステップで完了します。最大のポイントはシークレットキーの保管です。

初期設定:

公式サイトからアカウント作成
マスターパスワードを設定
シークレットキーを安全に保管
ブラウザ拡張機能をインストール

シークレットキーはアカウント復旧に必須です。印刷して金庫など物理的に安全な場所に保管してください。

日常の使い方:

新しいサイトでアカウント作成時、自動でパスワード生成
ログイン時は自動入力
パスワードは1Passwordに自動保存

Bitwardenの使い方

無料で始めるならBitwardenが手軽です。無料版でも保存件数・デバイス数に制限がありません。

無料で始める場合:

公式サイトでアカウント作成
マスターパスワードを設定
ブラウザ拡張機能・スマホアプリをインストール
既存パスワードをインポート

ブラウザに保存済みのパスワードは、CSVエクスポートで一括インポートできます。移行後はブラウザ側の保存データを削除してください。

おすすめ機能:

パスワード生成器
セキュリティレポート
組織でのパスワード共有(有料)

二要素認証(2FA)

二要素認証とは

二要素認証は、パスワードに加えてもう1つの認証要素を要求する仕組みです。パスワードが漏れても、それだけでは不正ログインできなくなります。

認証の要素は3種類に分類されます。

知識:パスワード、PIN
所持:スマートフォン、セキュリティキー
生体:指紋、顔認証

このうち異なる2種類を組み合わせるのが二要素認証です。「パスワード+認証アプリのコード」が代表例です。

二要素認証の種類

方式によって安全性は大きく異なります。SMS認証は通信の乗っ取りリスクがあるため、認証アプリを第一候補にしてください。

方法	セキュリティ	利便性	おすすめ度
SMS認証	低〜中	高	△
認証アプリ	高	中	◎
セキュリティキー	最高	低〜中	○
生体認証	高	高	○

認証アプリの設定

設定は5分程度で完了します。忘れてはいけないのが、最後のバックアップコードの保管です。

おすすめアプリ:

Google Authenticator
Microsoft Authenticator
Authy(バックアップ機能あり)

設定手順(Google Authenticatorの例):

対象サービスの設定画面で二要素認証を有効化
QRコードを表示
Google AuthenticatorでQRコードをスキャン
表示されたコードを入力して確認
バックアップコードを安全に保管

バックアップコードがないと、スマホの紛失時にログインできなくなります。印刷するか、パスワード管理ツールに保存してください。

優先的に設定すべきサービス

全サービスに一度に設定する必要はありません。被害の大きい順に、まずメールと金融系から着手してください。

最優先:

メールアカウント(Gmail、Outlook等)
パスワード管理ツール
金融サービス(銀行、証券)
クラウドストレージ

メールを最優先にする理由は、他サービスのパスワードリセットの起点になるためです。メールを乗っ取られると、全アカウントが危険にさらされます。

優先:

SNS(X、Facebook、Instagram)
ECサイト(Amazon等)
業務ツール(Slack、Microsoft 365)

企業でのパスワード管理

パスワードポリシーの策定

企業では個人の心がけに頼らず、ルールを明文化して全社に適用します。ポリシーには最低限、次の項目を含めてください。

パスワードの最低文字数
複雑性の要件
使い回しの禁止
管理ツールの指定
二要素認証の必須化
漏洩時の報告手順

なお、定期変更の強制は現在推奨されていません。かえって弱いパスワードや使い回しを招くとされているためです。

チームでの共有方法

共有が必要なアカウントは、管理ツールの共有機能を使うのが原則です。メールやチャットでの送信は履歴が残り、漏洩の温床になります。

安全な共有方法:

パスワード管理ツールの共有機能を使用
権限を最小限に設定
担当者の異動・退職時は即座に変更

やってはいけない共有方法:

メールでパスワードを送る
チャットツールでパスワードを送る
共有スプレッドシートに記録
口頭で伝えてメモさせる

シングルサインオン(SSO)

SSOは、1つの認証で複数のサービスにログインできる仕組みです。従業員が覚えるパスワードが減り、管理部門は認証を一元管理できます。

メリット:

パスワード管理の負担軽減
アクセス制御の一元管理
退職時のアカウント停止を一括で実施

主なSSOサービス:

Google Workspace
Microsoft Entra ID(旧Azure AD)
Okta
OneLogin

導入にはコストがかかりますが、従業員数が多いほど効果は大きくなります。まずは業務の中核ツールからの対応を検討してください。

パスワード漏洩への対応

漏洩の確認方法

自分のメールアドレスが過去の漏洩事件に含まれているかは、無料で確認できます。

チェックツール:

Have I Been Pwned(https://haveibeenpwned.com/)
Firefox Monitor
1Password Watchtower

確認手順:

メールアドレスを入力
過去の漏洩に含まれているか確認
該当する場合はパスワードを変更

該当があっても慌てる必要はありません。当該サービスと、同じパスワードを使った他のサービスを変更すれば被害は防げます。

漏洩が発覚した場合

初動の速さが被害の大きさを左右します。個人・企業それぞれの手順は次のとおりです。

個人の場合:

該当サービスのパスワードを即座に変更
同じパスワードを使っている他のサービスも変更
二要素認証を有効化
不審なアクティビティがないか確認
必要に応じてカード会社等に連絡

企業の場合:

漏洩範囲の特定
該当アカウントのパスワードリセット
全社員への通知と注意喚起
原因究明と再発防止策
必要に応じて関係者への報告

企業で個人情報の漏洩を伴う場合、法令上の報告義務が生じることがあります。詳しくは個人情報保護法対応ガイドを参照してください。

よくある質問

Q. パスワードは定期的に変更すべきですか?

A. 漏洩が疑われる場合のみ変更するのが現在の推奨です。定期的な強制変更は、かえって弱いパスワードや使い回しを招くとされています。ただし、勤務先のポリシーがある場合はそちらに従ってください。

Q. ブラウザのパスワード保存機能は使っていいですか?

A. 個人利用では許容範囲ですが、専用の管理ツールの方が安全です。ブラウザの機能は漏洩チェックや共有管理が弱く、共有PCでは絶対に使わないでください。

Q. マスターパスワードを忘れたらどうなりますか?

A. 多くの管理ツールでは復旧できません。運営側もパスワードを知らない設計になっているためです。シークレットキーやリカバリーキーを印刷し、安全な場所に保管してください。

Q. 無料のパスワード管理ツールで大丈夫ですか?

A. Bitwardenの無料版は保存件数無制限で、セキュリティ面も問題ありません。チームでの共有や高度なレポートが必要になった段階で、有料版を検討しましょう。

まとめ

パスワード管理はセキュリティ対策の土台です。次の4つを実践すれば、リスクの大半は防げます。

強いパスワードを使う
- 12文字以上
- 大文字・小文字・数字・記号を組み合わせ
- サービスごとに異なるパスワード
パスワード管理ツールを導入
- 1Password、Bitwardenなどから選ぶ
- マスターパスワードは特に強固に
- リカバリー手段を確保
二要素認証を有効化
- メール・金融・管理ツールから優先的に設定
- 認証アプリを推奨
- バックアップコードを保管
定期的な確認
- 漏洩チェックツールで確認
- 不要なアカウントは削除
- 怪しいアクティビティに注意

まずは今日、メールアカウントの二要素認証を有効にすることから始めてください。

セキュリティについてさらに詳しく知りたい方へ。

中小企業のサイバー攻撃対策 - セキュリティ全般
中小企業のためのセキュリティ対策基礎知識 - セキュリティの基本
個人情報保護法対応ガイド - 個人情報の取り扱い
ISMS・Pマーク取得ガイド - セキュリティ認証
テレワーク導入・運用ガイド - テレワークのセキュリティ

※本記事の情報は2025年1月時点のものです。各ツールの機能や料金は変更される可能性がありますので、最新情報は公式サイトをご確認ください。

株式会社EMPLAY 編集部

中小企業のWeb集客・DX推進を支援するEMPLAYが、現場で得た実践知をもとに執筆・監修しています。運営会社について