パスワード管理の社内ルール｜空調工事会社の使い回し対策

結論: 使い回しをやめ、会社のアカウントは台帳で管理する

パスワード管理で最初にやることは、同じパスワードを複数のサービスで使わないことです。総務省は、パスワードはできる限り複数のサービスで使い回さないこと、流出の事実がなければ定期的に変更する必要はないこと、覚えきれない場合はパスワード管理ツールを使うことを勧めています。

空調工事会社では、ここにもう1つ加えます。誰が・どのアカウントを・どこで使っているかを台帳にすることです。保守点検や修理の仕事は、メーカーの技術情報サイト、部品の発注サイト、遠隔監視サービスの管理画面、点検記録の管理システムなど、ログインする先が多く、しかも「事務所の共用ID」で回していることが珍しくないからです。

空調工事会社でパスワードが散らかる理由

一般的な事務職の会社と比べて、空調工事会社にはパスワードが増えやすい事情があります。

• 外回りが多い。サービスマンは現場でスマホやタブレットから各種サイトにログインするため、覚えやすい短いパスワードにしがち
• 共用IDが多い。部品の発注や技術資料の閲覧を、会社で1つのIDを全員で使う運用にしやすい
• 顧客の設備にもパスワードがある。中央監視の端末、遠隔監視用のルーター、空調機の集中コントローラーなどに設定された管理用パスワードを、保守のために預かることがある
• 繁忙期に人が入れ替わる。夏の応援要員や協力会社にIDを一時的に貸し、そのまま残る

最後の2つは、自社だけでなく顧客の設備の安全にも関わります。顧客から預かったパスワードの扱いは、自社のパスワード以上に慎重にします。

安全なパスワードの条件（総務省の基準）

総務省「国民のためのサイバーセキュリティサイト」は、安全なパスワードを次のように説明しています。

項目	総務省の説明	社内ルールへの落とし込み
長さと文字種	理想的には最低でも10文字以上で、数字・記号・大文字・小文字が混ざっていることが好ましい	10文字以上を最低ラインにする
覚え方	無関係な複数の英単語をつなげ、間に数字列を挟むと推測されにくく覚えやすい	現場で入力するものは長い単語つなぎにする
使い回し	できる限り複数のサービスで使い回さない	サービスごとに必ず別のものにする
定期変更	流出の事実がない場合は変更する必要はない。定期変更でパターン化するほうが問題	期限での一斉変更をやめ、流出時と退職時に変える
管理ツール	覚える必要のないパスワード管理ツールを使うことも推奨。マスターパスワードや端末のロックで守る	会社で使うツールを1つに決める

IPA（情報処理推進機構）の「中小企業の情報セキュリティ対策ガイドライン」第4.0版も、パスワードは「長く」「複雑に」「使い回さない」ようにして強化するよう求めています。

定期変更が不要という点は、意外に思う人が多いところです。毎月変えるルールがあると、末尾の数字だけを変える癖がつきます。それよりも、サービスごとに違う長いパスワードを1度きちんと作るほうが安全です。

使い回しが危ない理由: 1か所の流出が全部に広がる

総務省は、サービスから流出したアカウント情報を使って他のサービスへの不正ログインを試す攻撃の手口が知られていると説明しています。

空調工事会社に当てはめると、たとえば次の流れが起きます。個人で登録していた通販サイトから、サービスマンのメールアドレスとパスワードが流出します。同じ組み合わせを会社のメールにも使っていれば、会社のメールに入られます。会社のメールには保守契約先とのやり取りや点検報告書が残っており、取引先になりすました請求書メールを送る足場にもなります。

警察庁も、認証情報の漏えいや簡易なパスワードの使用により、ネットワーク機器やリモート・デスクトップ・サービスの認証を突破されて侵入される事例が多数確認されているとして、初期パスワードや簡易な文字列を避けるよう注意しています。ランサムウェア（データを暗号化して身代金を要求する不正プログラムのこと）の入口になることもあるため、ランサムウェア対策の記事とあわせて見直してください。

共有アカウントの扱い方

共用IDを全部なくすのが理想ですが、取引先のサイトの都合で1社1IDしか発行されないこともあります。なくせないものは、次のように管理します。

1. 共用IDの一覧を作り、用途・使う人・管理責任者を書く
2. パスワードは紙やホワイトボードに書かず、会社で決めた管理ツールの共有機能で渡す
3. 使う人が抜けたら、その日のうちにパスワードを変える
4. 個人ごとにIDを発行できるサービスは、共用IDから個人IDに切り替える

個人IDに切り替えると、誰がいつログインしたかの記録が残ります。トラブルが起きたときの調査にも役立ちます。

顧客の設備のパスワードを預かるとき

中央監視や遠隔監視の管理用パスワードは、ビルの持ち主や管理会社の財産です。保守のために預かる場合は、次の点を決めておきます。

• 初期パスワードのまま引き渡さない。新設工事で設定した機器は、引き渡し前に初期値から変え、変えたことを引き渡し書類に記録する
• 預かったパスワードは、会社の管理ツールの「顧客別」の場所だけに保存する。個人のスマホのメモ帳に残さない
• 担当サービスマンが交代したら、顧客に変更を申し出る

経済産業省のビルシステムのガイドラインには、ビルの建設段階で一時的に設置された機器が引き渡し後も撤去されずに残り、そこから侵入された海外の事例が紹介されています。設定や機器を残したまま引き渡さないことは、工事会社の責任範囲です。詳しくはサプライチェーン攻撃の記事で扱います。

自社用の社内ルール雛形

社内ルールは、長い規程にすると読まれません。A4で1枚に収まる量にします。

No	ルール	担当
1	パスワードは10文字以上、サービスごとに別のものにする	全員
2	パスワードは会社が決めた管理ツールにだけ保存する。紙・付箋・スマホのメモに書かない	全員
3	会社のメール・クラウドの台帳・遠隔監視の管理画面は、二段階認証を必ず設定する	管理責任者
4	共用IDは一覧で管理し、使う人が抜けたらその日に変える	管理責任者
5	退職・異動の当日に、その人のIDを停止する	管理責任者
6	顧客の設備のパスワードは初期値のまま引き渡さない。預かった分は顧客別に保管する	工事・保守の担当者
7	流出の連絡を受けたら、そのサービスと同じパスワードを使っていた所を全部変える	全員

導入の順番

一度に全部をやろうとすると止まります。次の順番で進めると、効果の大きいところから固まります。

1. 会社のメールのパスワードを全員分見直し、二段階認証を設定する
2. 共用IDの一覧を作る（この作業だけで、退職者のIDが残っているものが見つかることが多い）
3. 管理ツールを1つ決め、共用IDから移す
4. 顧客の設備のパスワードの預かり方を決め、次の点検から適用する

アカウントの一覧は、保守契約の台帳と同じ考え方で作れます。保守契約の管理術で紹介している「誰でも引き出せる台帳」の発想を、IDにも当てはめてください。

まとめ

• パスワードは10文字以上、サービスごとに別のものにします。流出がなければ定期変更は不要です
• 使い回しは、1か所の流出が会社のメールや顧客とのやり取りまで広がる原因になります
• 共用IDは一覧で管理し、人が抜けたらその日に変えます
• 顧客の設備のパスワードは初期値のまま引き渡さず、預かった分は顧客別に保管します

出典・参考

• 総務省「国民のためのサイバーセキュリティサイト」推測できる簡単なパスワードを利用しないようにしよう
• 総務省「国民のためのサイバーセキュリティサイト」安全なパスワードの設定・管理
• IPA「中小企業の情報セキュリティ対策ガイドライン」第4.0版（情報セキュリティ6か条 No.3「パスワードを強化しよう！」）
• 警察庁「ランサムウェア被害防止対策」（認証情報を適切に管理する）
• 経済産業省「ビルシステムにおけるサイバー・フィジカル・セキュリティ対策ガイドライン」第2版（PDF）（2.2.7 ドイツにおけるBAS機器のロック事例）

各サービスの仕様や公的機関の案内は変わることがあります（最終確認：2026-10-14）。

関連リンク

• 二段階認証と多要素認証の違い
• 中小空調工事会社のDXロードマップ
• 保守契約の管理術
• 情報漏洩の原因と対策