パスワード管理の社内ルール｜電気工事会社の使い回し対策
パスワード管理で守るべきことは、「長く」「複雑に」「使い回さない」の3点です。IPA（情報処理推進機構）の「中小企業の情報セキュリティ対策ガイドライン 第4.0版」は、10文字以上で大文字・小文字・数字・記号を含め、同じID・パスワードを複数のサービスで使い回さないよう求めています。一方で、総務省は流出の事実がなければパスワードを定期的に変える必要はないとしています。
この記事では、電気工事会社ならではの「パスワードが散らばる場所」を洗い出し、社長と事務員1〜2名でも回せる社内ルールの形に落とし込みます。
パスワード管理の基本は3つだけ
IPAのガイドライン第4.0版は、規模を問わず必ず実行すべき対策として「情報セキュリティ6か条」を挙げ、その3番目に「パスワードを強化しよう！」を置いています。対策例として示されているのは次の内容です。
| IPAが示す対策例 | 電気工事会社での読み替え |
|---|---|
| 初期設定パスワードを変更する | 複合機、Wi-Fiルーター、NAS（社内のファイル保管用の記憶装置のこと）、監視装置のゲートウェイは納品時のままにしない |
| 10文字以上で「できるだけ長く」、大文字・小文字・数字・記号を含めて「複雑に」 | 社名や工事番号、電話番号、誕生日を混ぜない |
| 同じID・パスワードを複数サービス間で使い回さない | 工事写真クラウドと会計ソフトとメールを同じにしない |
| VPNや重要なシステムは強固なパスワードに加え、多段階認証・多要素認証・パスキーを使う | 事務所のVPN（社外から社内ネットワークへ暗号化してつなぐ仕組みのこと）と電子入札用のパソコンを最優先にする |
覚える必要があるパスワードについて、総務省は「無関係な（文章にならない）複数の単語をつなげたり」「その間に数字列を挟んだり」すると、推測されにくく覚えやすいと説明しています。
なぜ使い回しが危ないのか
あるサービスから流出したIDとパスワードは、別のサービスへの不正ログインに試されます。総務省も、使い回しが危険な理由としてこの手口を挙げています。
警察庁「令和7年におけるサイバー空間をめぐる脅威の情勢等について」は、ランサムウェア（データを暗号化して身代金を要求する不正プログラムのこと）の被害組織へのアンケートで、侵入経路はVPN機器が6割以上を占め、攻撃者は「漏えいした認証情報や簡易なパスワード、設定不備等」を悪用すると書いています。パスワードの弱さは、情報漏えいだけでなく会社の業務停止にもつながる入口です。
定期変更は不要、ただし流出時はすぐ変える
総務省は「定期的に変更するよりも、機器やサービスの間で使い回しのない、固有のパスワードを設定することが求められます」としています。毎月の変更ルールを作るより、1サービス1パスワードを徹底し、流出の連絡やログイン通知があったときにすぐ変えるほうが現実的です。
電気工事会社でパスワードが散らばる場所
ルールを作る前に、自社のどこにパスワードがあるかを洗い出します。一般的な会社のメール・会計に加えて、電気工事会社には次のような場所があります。
| 場所 | 例 | 見落としやすい理由 |
|---|---|---|
| 現場タブレット・スマホ | 画面ロック、工事写真アプリ、図面閲覧アプリ | 現場で共用し、ロックを外したまま運用しがち |
| 電子入札 | ICカードのPIN、入札参加資格の申請サイト | 担当者1人しか知らず、退職時に引き継げない |
| 受変電・動力の遠隔監視 | デマンド監視装置、IoTゲートウェイ、監視クラウド | 納品時の初期パスワードのまま顧客設備に残る |
| 協力会社とのやり取り | 安全書類の提出サイト、共有フォルダ、チャット | 1つのIDを複数人で共有している |
| 事務所の機器 | 複合機、NAS、Wi-Fiルーター、防犯カメラ | 業者が設定したまま誰も把握していない |
監視装置のセキュリティ要件（初期パスワードの変更、権限の分離など）はIoTで電気設備の保守を自動化する記事で扱っています。保守契約で顧客の設備に機器を置く会社は、自社のパスワードだけでなく、顧客設備に残した機器のパスワードも管理対象だと考えてください。
社内ルールの決め方
IPAのガイドラインは、パスワードの「紙、ファイル、パスワード管理アプリ等、各保管方法の違いを理解し、自社に適した」管理ルールを定めて従業員に周知するよう求めています。保管方法に正解は1つではないので、自社の体制に合わせて選びます。
| 保管方法 | 向いている場面 | 注意点 |
|---|---|---|
| 紙（施錠した金庫・書庫） | 電子入札のICカードPINなど、数が少なく持ち出さないもの | 机の引き出しやモニターへの貼り付けは不可 |
| 暗号化したファイル | 事務所のパソコンだけで使う少数のアカウント | ファイル自体を開くパスワードを別に管理する |
| パスワード管理アプリ | 現場と事務所で多数のアカウントを使う会社 | アプリ自体に多要素認証をかける。製品は機能と管理画面で比較する |
共有アカウントは「誰が使えるか」を書き出す
現場の共用タブレットや、協力会社と使う共有フォルダは、1つのIDを複数人で使いがちです。ガイドラインは、従業員の異動や退職時に速やかに設定を変更（削除）すること、パソコン等を他者と共有せざるを得ない場合は別のユーザーアカウントを作ることを対策例に挙げています。
共有をやめられない場合も、誰がそのIDを知っているかを台帳に書いておけば、退職や協力会社との取引終了のときに変更すべきパスワードがすぐに分かります。
【独自】パスワード台帳のひな形
台帳にはパスワードそのものを書きません。書くのは「どこに・誰が・何で守っているか」です。これだけで、退職や紛失のときに変更漏れを防げます。
| 項目 | 記入例 |
|---|---|
| サービス・機器名 | 工事写真クラウド／○○ビル デマンド監視装置 |
| 用途 | 現場写真の保存／保守契約先の受電監視 |
| 管理者 | 工事部 A |
| 使える人 | 工事部 A・B、協力会社 C社の職長 |
| 保管方法 | パスワード管理アプリ／金庫 |
| 多要素認証 | あり（スマホアプリ）／なし（対応していない） |
| 最後に変更した理由と日 | 退職者が出たため変更 |
【独自】今日から点検するチェックリスト
- 複合機・ルーター・NAS・監視装置の初期パスワードを変更した
- 社員が同じパスワードを複数のサービスで使っていないか確認した
- 10文字以上・推測されにくいパスワードにそろえた
- VPNと電子入札のパソコンに多要素認証かそれに代わる対策を入れた
- 共用タブレット・共有フォルダの「使える人」を台帳に書いた
- 退職・協力会社の取引終了時に変更するパスワードの一覧を作った
- パスワードをモニターや現場の詰所に貼っていない
- 流出の連絡を受けたときに誰が変更するかを決めた
まとめ
パスワード管理は「長く・複雑に・使い回さない」の3点に尽き、定期変更よりも1サービス1パスワードの徹底が先です。電気工事会社では、現場タブレット、電子入札、顧客設備に置いた監視装置、協力会社との共有アカウントにパスワードが散らばるので、まず台帳で場所と使える人を書き出すところから始めてください。
パスワードに加えて別の要素で本人確認をする方法は二段階認証・多要素認証の記事で、パソコンやスマホそのものを守る方法はEDR・UTMの記事で解説しています。
あわせて読みたい
- 二段階認証・多要素認証とは｜電気工事会社の設定の優先順位
- IoTで電気設備の保守を自動化する｜遠隔監視と予知保全の実装ガイド
- 建設業のクラウドストレージ活用術｜図面・書類の共有管理
- 電子入札システムの使い方｜ICカード取得から参加まで
出典・参考
- 独立行政法人情報処理推進機構（IPA）「中小企業の情報セキュリティ対策ガイドライン 第4.0版」（2026年3月27日）https://www.ipa.go.jp/security/guide/sme/about.html
- 総務省「国民のためのサイバーセキュリティサイト 安全なパスワードの設定・管理」https://www.soumu.go.jp/main_sosiki/cybersecurity/kokumin/security/business/staff/06/
- 警察庁「令和7年におけるサイバー空間をめぐる脅威の情勢等について」https://www.npa.go.jp/publications/statistics/cybersecurity/data/R7/R07_cyber_jousei.pdf
いまの課題に近いものはどれですか？
選んだお悩みに最適なサービスのご案内ページへ移動します。
2営業日以内に担当者からご連絡します。無理な営業はいたしません。
