「パスワード管理のおすすめを調べたら種類が多すぎて、結局いつもの1つを使い回している」。小規模な事務所の代表の方から、よく伺う悩みです。依頼者の資料を預かる立場として気になってはいるものの、何から手を付ければよいか分からないまま、後回しになっているのではないでしょうか。
結論から申し上げます。パスワード管理でおすすめする対策は、「パスワード管理ツールを1つ決めて全員で使う」ことと、「メールとクラウドストレージに多要素認証を設定する」ことの2点に尽きます。この2つで、使い回しが原因の不正ログインのほとんどを防げます。複雑な社内規程や高価な機器は、最初の段階では必要ありません。
本記事では、私たち鑑定士が依頼者資料を扱う事務所として実際に整えてきた手順をもとに、ツールの選び方、多要素認証の設定順、職員への配り方を整理します。
パスワードの使い回しが士業事務所で危ない理由
1つの流出が、事務所のすべてのアカウントに広がる
使い回しの怖さは、自分の事務所に落ち度がなくても被害を受ける点にあります。どこか別のWebサービスからメールアドレスとパスワードの組が流出すると、攻撃者はその組を他のサービスに次々と試します。これをパスワードリスト攻撃（流出した認証情報を使い回しの前提で別サービスに試す攻撃）と呼びます。
同じパスワードを業務メールにも使っていれば、メールに入られます。メールに入られると、クラウドストレージや各種サービスの「パスワード再設定」もメール経由で突破されます。1つの使い回しが、事務所全体の鍵束を渡すことになるのです。
守秘義務は「漏らさない仕組み」まで含めて問われる
士業には法律上の守秘義務があります。不動産鑑定士は不動産の鑑定評価に関する法律第6条、不動産鑑定業者は同法第38条で、業務上知り得た秘密を正当な理由なく漏らしてはならないと定められています。税理士法第38条、弁護士法第23条にも同様の規定があります。
不正ログインで依頼者の資料が見られた場合、「わざと漏らしたわけではない」という説明だけで依頼者の信頼は戻りません。事務所としてどこまでの管理体制が求められるかは、所属団体の規程や顧問の弁護士にご確認ください。ただ、使い回しをやめることは、どの士業にとっても最初に潰すべきリスクだと断言します。
「定期的な変更」より「使い回さない・長くする」が今の基準
以前は「パスワードは3か月ごとに変える」が常識とされていました。しかし総務省の「国民のためのサイバーセキュリティサイト」は、2024年5月のリニューアルで、定期的な変更は不要であり、流出のおそれがあるときに変更すればよいという立場を明確にしました。
米国の標準である NIST SP 800-63B-4（米国国立標準技術研究所のデジタル認証ガイドライン、2025年改訂）も、定期変更の強制や「記号を必ず混ぜる」といった構成ルールを求めないとしています。その代わりに重視されているのが、十分な長さと、サービスごとに違うパスワードを使うことです。この2つを人間の記憶だけで守るのは不可能なので、ツールに任せるのが現実解になります。
パスワード管理ツールのおすすめの選び方
3つのタイプを比べる
パスワード管理の方法は、大きく3つに分かれます。
| タイプ | 例 | 向いている事務所 | 注意点 |
|---|---|---|---|
| ブラウザ標準の保存機能 | 普段使うブラウザのパスワード保存 | 1人で、端末もブラウザも1種類 | 職員との共有や退職時の整理がしにくい |
| OS・スマホ標準の機能 | パソコンやスマホに付属の管理機能 | 同じメーカーの端末で揃っている | WindowsとiPhoneのように混在すると不便 |
| 専用のパスワード管理ツール | 有料・無料の専用アプリ | 職員が2人以上いる、端末が混在している | 月額費用がかかる（1人あたり数百円程度が一般的） |
1人で開業している方なら、ブラウザ標準の機能でも使い回しをやめる効果は十分にあります。職員がいる事務所なら、専用ツールをおすすめします。
事務所で使うなら「共有」と「退職時の回収」で選ぶ
事務所でツールを選ぶときに見るべき点は、機能の多さではありません。次の3点です。
- 共有フォルダ：法務局の登記情報サービスや会計ソフトなど、複数人で使うアカウントを「保管庫」単位で共有できるか
- 退職時の回収：退職者のアクセスを管理者が1回の操作で止められるか
- 多要素認証：ツール自体のログインに多要素認証をかけられるか
共有や管理者機能は有料プランに限られることが多いため、価格表の「チーム向け」欄を確認してください。
マスターパスワードだけは「長い文」で1つ覚える
ツールを使うと、覚えるパスワードは1つ（マスターパスワード）になります。これだけは、4〜5個の単語をつないだ20字程度の文にすることをおすすめします。例えば「朝の/電車で/ひまわり/三つ/数えた」をローマ字でつなぐような形です。記号の多い短い文字列より、長い文のほうが覚えやすく、破られにくくなります。
多要素認証の設定は「メール→ストレージ→その他」の順で
多要素認証とは
多要素認証（パスワードに加えて、スマホのアプリや物理キーなど別の要素で本人確認する仕組み）を設定すると、仮にパスワードが流出しても、それだけではログインできなくなります。総務省も、サイバーセキュリティの三原則の1つに「強固なパスワードの設定と多要素認証の活用」を挙げています。
設定する順番を決めておく
被害が大きい順に設定してください。
- 業務メール：他のサービスのパスワード再設定の入口になるため最優先
- クラウドストレージ：依頼者資料・鑑定評価書の控えがある場所
- パスワード管理ツール本体：鍵束そのもの
- 会計・銀行・行政系のサービス：多くはすでに設定が必須になっている
- ホームページの管理画面：改ざんされると事務所の看板が汚れる
認証の方法は、SMSより認証アプリ、認証アプリよりパスキー（指紋や顔認証で端末に保存した鍵を使う方式）や物理キーのほうが安全とされています。まずは使えるもので設定し、慣れたら切り替える程度で十分です。
機種変更・紛失に備えて「予備の鍵」を残す
多要素認証で最も多いトラブルは、スマホの機種変更や紛失でログインできなくなることです。設定時に表示される「バックアップコード」は印刷し、事務所の鍵付きの書庫に保管してください。パスワード管理ツールの中に入れると、ツールに入れないときに取り出せなくなります。
職員への配り方と導入の段取り
1日で終わる導入の手順
職員2名の事務所なら、次の段取りで半日〜1日あれば導入できます。
- 代表がツールを契約し、自分のアカウントで共有フォルダを作る
- 共有アカウント（会計ソフト、登記情報サービスなど）を登録し、使い回していたものは新しいパスワードに変える
- 職員を招待し、各自のパソコンとスマホにアプリを入れてもらう
- 職員それぞれが業務メールに多要素認証を設定する
- 付箋やExcelに書いていたパスワードを回収して廃棄する
想定されるケース：3人事務所の作業時間と費用
所長と職員2名の事務所で、業務で使うアカウントが1人あたり30個ある場合を考えます。
| 作業 | 1件あたり | 件数 | 合計時間 |
|---|---|---|---|
| ツールへの登録とパスワード変更 | 3分 | 90件 | 約4.5時間 |
| 多要素認証の設定（優先5種類） | 10分 | 15件（3人×5） | 約2.5時間 |
| 職員への説明・質問対応 | — | — | 約1時間 |
合計で約8時間、3人で分担すれば1人あたり3時間弱です。費用は、専用ツールを1人月額500円と仮定すると、500円×3人×12か月＝年間18,000円です。事故後の調査や依頼者への説明に比べれば、小さな負担です。
「やってはいけない」をルールにしない
導入後のルールは、禁止事項を並べるより「迷ったらツールに保存する」の1行で十分です。禁止ばかりのルールは守られず、結局付箋に戻ります。当事務所でも、業務で使うアカウントは管理ツールに集約し、新しいサービスを契約したらその場でツールに登録する運用にしています。生成AIを使うときの情報管理は、生成AIに機密情報を入れて大丈夫？事務所を守る3段構えの対策で整理しています。
パスワード管理の次に整える2つのこと
データが消えたときに戻せるか
不正ログインやランサムウェア（ファイルを暗号化して身代金を要求する不正プログラム）の被害を受けた後に業務を再開できるかは、バックアップで決まります。具体的な構成はバックアップの3-2-1ルールとは？で解説しています。
アカウントを「人」ではなく「事務所」で持つ
退職者が個人のメールアドレスで作ったアカウントは、管理ツールでも回収できません。業務用のアカウントは事務所のドメインのメールで作る、という前提を整えておくと、職員の交代にも強くなります。メールの持ち方は独自ドメインのメールはどこで持つべきか？をご覧ください。
まとめ
パスワード管理のおすすめは、専用ツールを1つ決めて全員で使い、メールとクラウドストレージに多要素認証を設定することです。この2点だけで、使い回しが原因の不正ログインのリスクは大きく下がります。
要点を振り返ります。
- 使い回しは、他社サービスの流出から事務所の全アカウントに被害が広がる原因になる
- 総務省もNISTも、定期変更より「長く・使い回さない」を重視している
- 職員がいる事務所は、共有と退職時の回収ができる専用ツールを選ぶ
- 多要素認証は「メール→ストレージ→管理ツール」の順に設定する
- バックアップコードは印刷して鍵付きの書庫に保管する
- 3人事務所なら導入は約8時間、費用は年間2万円程度が目安
依頼者の資料を預かりながら、パスワードを使い回したままになっている事務所の代表の方は、まず今日、業務メールに多要素認証を設定するところから始めてください。それだけで、最も大きな入口が閉じます。
パスワード管理ツールの選定や、事務所のクラウド環境の整備のご相談は、鑑定事務所が自社で使い込んだ経験をもとにお応えします。無料相談をご利用ください。
Service
Google Workspace導入支援
独自ドメインメール、クラウドストレージ、スケジュール管理を一括導入。フリーメールから卒業し、プロフェッショナルなIT環境を構築します。
事務所のIT環境を一通り点検できる無料資料はこちらからダウンロードできます。個別のご相談は無料相談へお寄せください。
