会社のパスワードを社員で共有している。何がまずい？
こたえ
誰が何をしたか分からなくなり、退職者が出るたびに全て変更する必要が生じます。1つ漏れただけで全てのサービスが危険にさらされる点も問題です。
どういうこと？
共有パスワードの本当の問題は、漏れることよりも「記録が残らない」ことです。操作の履歴が全て同じアカウントとして記録されるため、誤操作や情報の持ち出しがあっても、誰がやったか追えません。また、退職者が出るたびに共有パスワードを変え、全員に伝え直す必要があり、実際にはそれが守られず放置されます。
やり方
- 1人ごとにアカウントを作れるサービスは、まず分ける。多くのSaaSは人数ぶんの料金がかかりますが、リスクに比べれば安価です
- 2どうしても共有が必要なものは、パスワード管理ツールを使う。パスワードそのものを見せずに共有でき、退職時は共有を解除するだけで済みます
- 3重要なサービスには二段階認証を設定する
- 4退職時の手順に「アカウント停止」と「共有解除」を入れる
注意点
- パスワードを紙やExcelで管理している場合、そのファイル自体が最大の危険になります。
- 使い回しも同じ問題です。1つのサービスから漏れると、他のサービスにも入られます。
- 全部を一度に直そうとすると進みません。顧客情報とお金に関わるものから順に対応してください。
