複数システムのパスワード使い回しをやめさせ情報漏洩リスクを根本から断つ方法

社員が日常的に使う業務システムは、勤怠、経費精算、営業支援、ファイル共有など多岐にわたります。それぞれのシステムが独自のパスワードポリシーを持ち、90日ごとの変更を求めるもの、英数字記号を必須とするもの、8文字以上を要求するものとバラバラです。結果として、社員は覚えきれずに同じパスワードを使い回したり、末尾の数字だけ変えるといった形骸化した運用に陥ります。1つのシステムからパスワードが漏洩すれば、使い回しによって他のシステムにも被害が連鎖する深刻なリスクを抱えています。

この記事は、従業員50〜500名規模の企業で、情報システム担当を兼務している総務・管理部門の方を想定しています。読み終えると、社員がパスワードを1つも覚えなくてよい状態を作り、パスワード使い回しのリスクをゼロに近づけるための具体的な導入ステップが分かります。大規模エンタープライズ向けのActive Directory統合設計や、個別セキュリティ製品の網羅的なレビューは扱いません。

なお、本記事で紹介するツールの組み合わせは代表的な一例です。同じ役割を果たす別の製品でも、同様のワークフローを構築できます。

読み終えた時点で、シングルサインオン（1回のログインで複数システムにアクセスできる仕組み）とパスワード管理を組み合わせた認証統合ワークフローの設計図と、導入の優先順位が手元に揃います。

Workflow at a glance: 複数システムのパスワード使い回しをやめさせ情報漏洩リスクを根本から断つ方法

• Step 1: SSOの認証基盤を構築し業務システムを接続する (Microsoft Entra ID) (インフラ・セキュリティ関連)
• Step 2: SSO非対応システムのパスワードを自動管理する (1Password) (インフラ・セキュリティ関連)
• Step 3: 認証状況を定期監視しポリシー違反を検知する (LANSCOPE エンドポイントマネージャー クラウド版) (IT資産管理ツール)

なぜパスワード管理は仕組みで解決しないと必ず形骸化するのか

人間の記憶力に頼る運用は破綻する

人が無理なく覚えられるパスワードは、せいぜい3〜4個です。業務で使うシステムが5つ、10つと増えれば、使い回しは意志の弱さではなく記憶の限界から起きる必然的な問題です。セキュリティ研修で注意喚起をしても、翌月には元に戻ります。これは社員のモラルの問題ではなく、仕組みの問題です。

システムごとにバラバラなポリシーが混乱を加速させる

あるシステムは8文字以上、別のシステムは12文字以上で記号必須、さらに別のシステムは90日ごとの変更を強制します。社員はどのシステムにどのルールを適用したか分からなくなり、ログインできずにパスワードリセットを依頼します。情シス担当はリセット対応に追われ、本来やるべきセキュリティ強化に手が回りません。ある調査では、IT部門の問い合わせの20〜30%がパスワード関連という報告もあります。

1つの漏洩が全システムに波及する

パスワードリスト攻撃と呼ばれる手法では、1つのサービスから流出したIDとパスワードの組み合わせを、他のサービスに片っ端から試します。社員が同じパスワードを使い回していれば、1か所の漏洩が社内の全システムへの不正アクセスにつながります。被害が発覚するのは数週間後ということも珍しくなく、その間にデータが抜き取られ続けます。

重要な考え方：社員にパスワードを覚えさせない仕組みを作る

パスワード運用の形骸化を防ぐ唯一の現実的な方法は、社員がパスワードを覚える必要をなくすことです。具体的には、次の3つの層で対策します。

認証の入口を1つにまとめる

シングルサインオン（SSO）を導入し、社員が覚えるパスワードを1つだけにします。1つの認証情報で複数のシステムにログインできるため、使い回しの動機そのものが消えます。SSOに対応していないシステムについては、パスワードマネージャーで自動入力する形で補完します。

パスワードそのものを人間から切り離す

SSOでカバーできないシステムのパスワードは、パスワードマネージャーがランダムな文字列を生成し、保管し、自動入力します。社員はそのパスワードの中身を知る必要がありません。これにより、簡易なパスワードの設定や使い回しが物理的に不可能になります。

入口の1つを多要素認証で守る

SSOの入口が突破されると全システムにアクセスされるため、その1つの入口を多要素認証（パスワードに加えてスマートフォンの認証アプリなどで本人確認する方法）で強固に守ります。これにより、パスワードが万が一漏洩しても、それだけではログインできない状態を作ります。

認証統合ワークフローの実践手順

ステップ 1：SSOの認証基盤を構築し業務システムを接続する（Microsoft Entra ID）

まず、認証の入口を1つにまとめます。Microsoft Entra ID（旧Azure Active Directory）をIDプロバイダーとして設定し、社内で利用している業務システムを接続します。

担当者は情報システム担当者です。最初に、社内で利用しているすべてのシステムを棚卸しし、SAML（異なるシステム間でログイン情報を安全にやり取りする仕組み）やOIDC（同様の仕組みの新しい規格）に対応しているかを確認します。Microsoft Entra IDのギャラリーには数千のアプリが事前登録されており、対応しているシステムはウィザードに従って接続するだけで完了します。

接続の優先順位は、利用頻度が高いシステムから始めます。たとえば、Microsoft 365、Google Workspace、Salesforce、freeeなどのクラウドサービスは多くがSAML対応しており、数時間で接続できます。一方、オンプレミスの古い業務システムはSSO非対応の場合が多いため、後のステップで対処します。

接続が完了したら、条件付きアクセスポリシーを設定します。たとえば、社外ネットワークからのアクセスには多要素認証を必須にする、特定の国からのアクセスをブロックするといったルールです。これにより、SSOの入口を1つにまとめつつ、その入口のセキュリティを高めます。

引き継ぎ：SSO対応できなかったシステムのリストを次のステップに渡します。

ステップ 2：SSO非対応システムのパスワードを自動管理する（1Password）

ステップ1でSSOに接続できなかったシステムを、1Passwordで管理します。

担当者は情報システム担当者が初期設定を行い、その後は各社員が日常的に利用します。まず、1Passwordのビジネスアカウントを契約し、社員を招待します。SSO非対応のシステムについて、1Passwordのパスワード生成機能で20文字以上のランダムなパスワードを作成し、保管庫に保存します。社員はブラウザ拡張機能を通じて、ログイン画面で自動入力するだけです。パスワードの中身を覚える必要はありません。

運用上のポイントとして、1Password自体へのログインをMicrosoft Entra IDのSSOと連携させることが重要です。1PasswordはEntra IDとのSSO統合に対応しているため、社員はEntra IDで認証するだけで1Passwordにもアクセスできます。つまり、社員が覚えるパスワードは実質的にEntra IDの1つだけになります。

また、1Passwordの管理コンソールから、弱いパスワードや使い回しされているパスワードを検出するレポートを確認できます。月に1回、このレポートを確認し、該当するパスワードの変更を促す運用を入れます。

引き継ぎ：全システムの認証がSSOまたは1Password経由に統一された状態を、次のステップの監視対象とします。

ステップ 3：認証状況を定期監視しポリシー違反を検知する（LANSCOPE エンドポイントマネージャー クラウド版）

認証基盤を整えた後は、実際に運用が守られているかを監視します。LANSCOPE エンドポイントマネージャー クラウド版を使い、端末レベルでのセキュリティ状態を可視化します。

担当者は情報システム担当者で、週に1回、30分程度の確認作業を行います。具体的には、社員のPCにエージェントを導入し、以下の状態を監視します。OSやブラウザのバージョンが最新か、許可されていないソフトウェアがインストールされていないか、セキュリティ設定が基準を満たしているかといった項目です。

認証基盤の運用と組み合わせる際に重要なのは、端末のセキュリティ状態が基準を満たしていない場合にアクセスを制限する仕組みです。Microsoft Entra IDの条件付きアクセスと連動させ、管理外の端末や古いOSの端末からのアクセスをブロックするルールを設定します。

月次で、Microsoft Entra IDのサインインログ（誰がいつどこからログインしたかの記録）とLANSCOPE エンドポイントマネージャー クラウド版の端末レポートを突き合わせ、不審なアクセスパターンがないかを確認します。たとえば、深夜の海外IPからのログイン試行や、退職者アカウントでのアクセス試行などを検知します。

この組み合わせが機能する理由

Microsoft Entra ID：認証の入口を1つに集約できる

Microsoft Entra IDを選ぶ最大の理由は、Microsoft 365を利用している企業であれば追加コストなしでSSO機能を使い始められる点です。多くの日本企業がMicrosoft 365を導入済みであり、既存の契約の範囲内で認証基盤を構築できます。条件付きアクセスポリシーにより、場所や端末の状態に応じたアクセス制御も可能です。

一方で、注意点もあります。高度な条件付きアクセスや自動プロビジョニング（ユーザーアカウントの自動作成・削除）を使うには、Entra ID P1以上のライセンスが必要です。また、SAML非対応のオンプレミスシステムとの連携には、別途Application Proxyの設定が必要になり、ネットワーク構成の知識が求められます。

1Password：人間からパスワードを切り離す

1Passwordの強みは、SSO非対応システムという現実的な穴を埋められる点です。すべてのシステムがSSOに対応していれば理想的ですが、実際にはレガシーシステムや小規模なSaaSでSSO非対応のものが残ります。1Passwordはこの隙間を埋め、社員がパスワードを覚えなくてよい状態を完成させます。

Entra IDとのSSO統合に対応しているため、1Password自体のマスターパスワードも不要にできます。管理コンソールからパスワードの健全性レポートを確認でき、弱いパスワードや漏洩済みパスワードの使用を検知できます。

トレードオフとして、1Passwordはユーザー単位の月額課金であるため、社員数が多いほどコストが増えます。また、ブラウザ拡張機能やデスクトップアプリの導入が必要なため、社員への展開と初期の操作説明に一定の工数がかかります。

LANSCOPE エンドポイントマネージャー クラウド版：端末の状態を可視化し抜け穴を防ぐ

認証基盤を整えても、管理外の端末からアクセスされては意味がありません。LANSCOPE エンドポイントマネージャー クラウド版は、国産のIT資産管理ツールとして日本企業の運用実態に合った管理項目を備えています。端末のセキュリティ状態を可視化し、基準を満たさない端末を特定できます。

日本語のサポートと管理画面が利用でき、国内のコンプライアンス要件（個人情報保護法やISMS）に沿ったレポート出力にも対応しています。クラウド版であるため、サーバーの構築や運用が不要で、情シス担当が兼務の環境でも導入しやすい点が利点です。

注意点として、エンドポイント管理はあくまで端末の状態を監視するツールであり、認証そのものを制御するわけではありません。Microsoft Entra IDの条件付きアクセスと組み合わせて初めて、端末状態に基づくアクセス制御が実現します。単体では監視と可視化にとどまる点を理解しておく必要があります。

Recommended tool list

結論：パスワードを覚えない仕組みが最強のセキュリティ対策になる

パスワード運用の形骸化は、社員の意識の問題ではなく、仕組みの問題です。Microsoft Entra IDでSSOの認証基盤を作り、1PasswordでSSO非対応システムの隙間を埋め、LANSCOPE エンドポイントマネージャー クラウド版で端末の状態を監視する。この3層の組み合わせにより、社員がパスワードを覚える必要がなくなり、使い回しや簡易パスワードの問題が構造的に解消されます。

最初の一歩として、まず社内で利用しているシステムの一覧を作成し、それぞれがSAMLやOIDCに対応しているかを確認してください。この棚卸しに半日もかかりません。対応状況が分かれば、SSOでカバーできる範囲とパスワードマネージャーで補完すべき範囲が明確になり、導入計画の全体像が見えてきます。

Mentioned apps: Microsoft Entra ID, 1Password, LANSCOPE エンドポイントマネージャー クラウド版

Related categories: IT資産管理ツール, インフラ・セキュリティ関連

Related stack guides: インシデント対応の教訓を業務マニュアルに確実に反映し同じミスの再発を防ぐ方法, 部門ごとにバラバラなクラウドサービスのセキュリティ設定を全社ポリシーに統一して情報漏洩リスクを防ぐ方法, ベンダー提案の技術妥当性を社内で評価し将来の保守コスト増大を防ぐ方法, システム導入後の運用コストを予算計画に組み込みトータルコストの見える化で投資判断の精度を上げる方法, IT標準化の方針と実際の導入ツールの乖離をなくしシャドーITとライセンスコスト増大を防ぐ方法