ISMSのパスワード管理｜初めての担当者向けに保管と困ったときの確認方法を紹介

ISMSのパスワード管理とは

仕事用のメールや顧客情報を守るために、パスワードを安全に作り、保管し、使うことです。パスワードが他の人に知られると、本人になりすまして会社の情報を見られてしまうおそれがあります。

ISMSは、会社の情報を守るためのルールを決め、続けていく仕組みです。パスワードについても、社員が「どう作るか」「どこに保管するか」「困ったら誰に連絡するか」を知っていると、日々の仕事で迷いにくくなります。

まずは、仕事で使うメールや勤怠システムを思い浮かべてみてください。それぞれに同じパスワードを使っていないか、保管場所は会社で認められているかを見直すところから始められます。

イソログに寄せられたリアルな声

以下は編集部が作成した相談例です。

パスワードを作るときの基本

サービスごとに異なるパスワードを使い、名前や短い言葉など、他人に推測されやすいものは避けます。仕事用と私用にも、別々のものを用意しましょう。

同じものを使い回していると、一つのサービスから情報が漏れたとき、別のサービスでも不正にログインされるおそれがあります。IPAの中小企業向けの案内でも、パスワードの使い回しを避けることが紹介されています。

作成する際の文字数などは、会社やサービスの案内を確認します。すでに使い回していることに気づいた場合は、仕事用の対象サービスを管理担当者に伝え、会社の変更手順に沿って対応してください。パスワードそのものを問い合わせに書く必要はありません。

パスワードはどこに保管する？

保管には、会社が認めた方法を使います。たとえば、会社が指定したパスワード管理ツールがあれば、その使い方を教わります。パスワード管理ツールは、複数のパスワードをまとめて保管するための道具です。保管した情報を見られる人も、仕事に必要な担当者に限るよう管理します。

個人のメモや表、私用のサービスに仕事用のパスワードを保存する前に、会社のルールを確認してください。使える保存先は会社によって異なります。保管方法が決まっていないときは、上司や管理担当者と一緒に、社員が使える方法を決めるところから始めます。

パスワード以外も含めた会社の決まりについては、ISO27001の社内ルール作りで紹介しています。

同僚への引継ぎでパスワードを渡してもいい？

本人用のアカウントは貸さず、仕事の引継ぎ方を上司や管理担当者に相談します。他の人のアカウントを使うと、誰が操作したのか分かりにくくなるためです。

たとえば、休暇中の同僚に代わって申込み状況を確認したい場合は、「申込み一覧を見たい」と伝えます。自分のアカウントで必要な資料を見られるようにするなど、会社が認める方法で引き継ぎます。

会社が共用のアカウントを認めている場合は、管理する人、利用できる人、保管や引継ぎの方法を確認して使います。社員それぞれの判断で、メールやチャットに秘密の情報を書いて広めることは避けましょう。

異動するときは、新しい仕事で必要なサービスを上司と確認し、使わなくなるアカウントやアクセスできる範囲を管理担当者に見直してもらいます。退職時も、利用を止める日と対象を伝え、会社の手順で停止・削除を進めます。共用アカウントを使っていた場合は、利用できる人と変更の要否も一緒に確認します。会社で決めた見直しの機会にも、利用者、保管先、連絡先が今の仕事に合っているかを確かめ、社員への案内を更新します。

忘れたとき・漏れたかもしれないときの対応

パスワードを忘れたら、会社が案内する方法で再設定します。方法が分からないときや、何度試してもログインできないときは、管理担当者にサービス名と画面の表示を伝えてください。入力を繰り返すと、一時的に利用できなくなる場合があります。

不審なメールのリンク先や、メールに書かれた電話番号を連絡先として使うのは避け、普段から知っている社内の窓口へ連絡します。仕事用メールが使えない場合に備えて、電話など別の連絡方法も確認しておくと安心です。

漏れたかどうか分からない場合も、疑いに気づいた時点で知らせてください。利用の停止や変更は、会社の緊急時の手順に沿って進めます。連絡文にはパスワードや確認コード、回復用コードそのものを書かず、起きたことを伝えます。

問い合わせの記録例

問い合わせの記録には、日時、サービス名、起きたこと、連絡した相手、対応結果を残します。あとから担当者が状況を確認しやすくなり、対応が途中の場合も引き継げます。パスワードや確認コードそのものは記録しません。

以下は、20人のサービス会社を想定した架空の例です。田中さんが仕事用メールに入れなくなり、不審な画面に入力した可能性を管理担当者に伝えた場面を示しています。人数・氏名・日時・状況は仮設定です。

対応が終わっていない場合は、次に確認する人と予定も書いておきます。すでに使えるようになったことと、管理担当者の確認が続いていることを分けて残すと、本人や上司も状況を把握しやすくなります。

社員への伝え方や教育の進め方は、ISMSの情報セキュリティ教育も参考にしてください。

パスワード管理のよくある質問

まとめ：社員が迷わず使えるルールに

パスワードを守るには、サービスごとに使い分け、会社が認める方法で保管することが基本です。忘れたときや不審な画面に入力したときの連絡先も、社員がすぐ分かるようにしておきましょう。

ISMSのルールづくりや社員への伝え方に迷ったときは、ISOトラストのISO27001取得・運用支援に相談できます。現在の利用案内や困っている場面を伝えると、会社に合った進め方を考えやすくなります。