ホームページの管理画面、サーバーの管理画面、ドメインの契約サイト、業務システムの管理者アカウント。会社で使うパスワードは、気づくと数十件になっています。それを表計算ソフト（Excel など）の一覧や、パソコンのメモ、付せんで管理している、という中小企業の担当者は少なくありません。
「ホームページやサーバーのパスワードを、社内でどう保管して、どう共有すればいいのか分からない。今は表計算ソフトにまとめているけど、これで大丈夫？」
先に結論をお伝えします。パスワードの保管と共有は「一覧（台帳）」と「パスワードそのもの」を分けて考えるのが基本です。一覧には「どのサービスの、どのアカウントを、誰が使えるか」だけを書き、パスワードそのものは会社で決めたパスワード管理ツール（＝パスワードを暗号化して保管し、決めた人だけが見られるようにする仕組み）に入れます。そのうえで、できるものは「1つのパスワードを皆で共有する」のをやめ、個人ごとのアカウントと2段階認証（＝パスワードに加えてスマートフォンなどで本人を確かめる仕組み）に切り替えていきましょう。
この記事では、表計算ソフトのメモから移すまでを5つのステップで解説します。そのまま使えるチェックリストと、開発会社・制作会社への質問例も添えています。
※ 本記事は2026年11月時点の公的機関の情報に基づく一般的な考え方の紹介です。特定の製品をおすすめするものではありません。
パスワードの社内管理が表計算ソフトのままになりやすい3つの理由
まず、なぜ多くの会社で表計算ソフトやメモの管理が続くのかを整理します。担当者の怠慢ではなく、たいていは自然な流れでそうなっています。
理由1：パスワードを渡されるのが「納品のとき」だけだから
ホームページやシステムを作ってもらうと、納品のときに開発会社からログイン情報の一覧がメールや表計算ソフトで届きます。それを保存したまま、次に使うのは数か月後や数年後、ということがよくあります。受け取った形のまま置いておくのが、いちばん手間がかからないのです。
理由2：1つのアカウントを複数の人で使っている
ドメインやサーバーの契約サイトなど、会社で1つしかアカウントを作れない（または作っていない）サービスがあります。複数の人が使うために、パスワードを一覧に書いて共有するしかなかった、という事情です。
理由3：「どこに何があるか」と「パスワード」が同じ表に入っている
一覧そのものは、引き継ぎや緊急時にとても役に立ちます。問題は、その一覧にパスワードまで書いてあることです。一覧を見せたい相手（新しい担当者・経営者・開発会社）に、パスワードまで見せてしまうことになります。ファイルがメールで送られたり、共有フォルダに置かれたりすると、どこにコピーがあるのか分からなくなります。
公的機関はパスワードの管理をどう呼びかけているか
総務省の「国民のためのサイバーセキュリティサイト」では、組織の職員向けに、パスワードの管理について次のような点を挙げています。
📰 出典：総務省「国民のためのサイバーセキュリティサイト」安全なパスワードの設定・管理
- サービスごとに異なるパスワードにし、使い回さない
- 覚えきれない場合はパスワード管理ツールを使い、ツール自体はマスターパスワード（＝ツールを開くためのパスワード）や生体認証で守る。組織の決まりがあれば情報システム担当者に確認する
- パスワードを同僚などに教えない。電子メールでやりとりしない
- 他人の目に触れる場所にメモを貼らない。やむを得ずメモに残すときは、鍵のかかる場所に保管する
- 定期的な変更は必要なく、漏えいしたときに速やかに変更する
- 対応しているサービスでは、多要素認証（＝2段階認証を含む、複数の方法で本人を確かめる仕組み）を使う
「パスワードを教えない」と「複数の人で使う」は、ぶつかるように見えます。だからこそ、共有せざるを得ないものは「誰に・どの方法で」を会社で決めて管理し、共有しなくて済むものは個人ごとのアカウントに切り替える、という整理が大切です。
また、IPA（情報処理推進機構）の「中小企業の情報セキュリティ対策ガイドライン」（2026年3月公開の第4.0版）では、中小企業がまず取り組む基本的な対策を「情報セキュリティ6か条」（第4.0版で、従来の5か条に「バックアップを取ろう!」が加わったもの）や「5分でできる！情報セキュリティ自社診断」としてまとめています。社内のルールを作るときの土台として使えます。
📰 出典：IPA「中小企業の情報セキュリティ対策ガイドライン」
表計算ソフトのメモから移す5ステップ
ステップ1：一覧を作り直す（パスワードは書かない）
まず、今ある表計算ソフトやメモをもとに、「入口の一覧」を作り直します。この一覧にはパスワードを書きません。
| 列 | 書くこと（例） |
|---|---|
| サービス | ホームページの管理画面、レンタルサーバー、ドメインの契約サイト、業務システム |
| 管理画面のURL | ログインするページのアドレス |
| アカウントの種類 | 個人ごと／会社で1つ（共有） |
| 使える人 | 担当者の名前（部署） |
| 登録メールアドレス | パスワード再設定のメールが届くアドレス |
| 2段階認証 | あり（確認に使う端末）／なし |
| 契約者・費用の支払い | 会社名義か、個人や開発会社の名義か |
| パスワードの保管先 | 「パスワード管理ツールの○○フォルダ」など |
一覧ができると、「退職した人のメールアドレスが登録されている」「開発会社の名義のままになっている」といった問題も見えてきます。退職者だけが入れる状態の解消については、次の記事で詳しく解説しています。
ステップ2：パスワードの保管先を1つに決める
次に、パスワードそのものをどこに保管するかを決めます。中小企業の現実的な選択肢は、主に次の3つです。
| 保管の方法 | 向いている場面 | 気をつけること |
|---|---|---|
| 法人向けのパスワード管理ツール | 複数の人で共有するパスワードがある／人の入れ替わりがある | 契約の名義を会社にする。管理者を2人以上にする。退職時に権限を外す |
| 業務で使っているグループウェアやクラウドの機能 | すでに会社で導入済みのサービスに、パスワードを保管・共有する機能がある | 共有の範囲（誰が見られるか）を確かめる |
| 紙に書いて鍵のかかる場所に保管 | パソコンが使えないときの最後の手段（パスワード管理ツールのマスターパスワードなど、ごく一部） | 置き場所と、取り出せる人を決める |
どれを選ぶにしても、大切なのは保管先を1つにまとめることです。表計算ソフト・メール・チャット・メモ帳に同じパスワードが散らばっている状態が、いちばん管理しにくく、漏れたときに追いかけられません。
製品を選ぶときは、「会社の名義で契約できるか」「共有の範囲をフォルダや人ごとに分けられるか」「退職した人の権限を外せるか」「誰がいつ見たかの記録（ログ）が残るか」を比べると判断しやすくなります。
ステップ3：共有のパスワードを減らし、個人ごとのアカウントに切り替える
保管先を決めたら、「会社で1つのアカウントを皆で使っている」ものを見直します。
- ホームページの管理画面：WordPress（＝ホームページを管理画面から更新できる CMS）など多くの CMS は、利用者ごとにアカウントを作れます。担当者ごとにアカウントを作り、共有のアカウントは使わないようにします
- 業務システム：利用者ごとのアカウントが作れるか、開発会社に確認します。作れない場合は、作れるようにする改修の費用も聞いてみましょう
- サーバー・ドメインの契約サイト：サービスによっては、契約者のアカウントとは別に、作業する人用のアカウントや権限を作れることがあります。できない場合は「共有するしかないもの」として、パスワード管理ツールで使える人を絞ります
個人ごとのアカウントにすると、「誰が何をしたか」が記録に残り、退職したときもその人のアカウントを止めるだけで済みます。共有のパスワードは、使える人が1人辞めるたびに変更が必要になります。
ステップ4：2段階認証を入れ、確認用の端末を会社で管理する
管理画面やサーバーの契約サイトなど、乗っ取られると影響が大きい入口から、2段階認証を入れていきます。パスワードが漏れても、それだけではログインされにくくなります。
注意したいのは、2段階認証の確認に使う端末やメールアドレスが、個人のものになっていないかです。退職した人の個人のスマートフォンでしか確認できない状態になると、今度は誰も入れなくなります。一覧（ステップ1）の「2段階認証」の列に、確認に使う端末やアドレスを書き、会社の端末や会社のアドレスに寄せていきましょう。
ステップ5：古いメモを片付け、入れ替えのルールを決める
新しい保管先に移し終えたら、古いメモを片付けます。
- 表計算ソフトのファイルから、パスワードの列を消す（または、ファイルごと削除する）
- メールやチャットに残っているパスワードのやりとりを探し、削除できるものは削除する
- 移す途中でパスワードを見た人が多い場合や、メールで外部とやりとりしたことがある場合は、そのパスワードを変更する
最後に、次のようなルールを1枚にまとめておきます。
- パスワードの保管先は、会社で決めたものだけにする
- パスワードをメールやチャットで送らない（共有はパスワード管理ツールの共有機能で行う）
- 入社・異動・退職のときに、一覧と権限を見直す
- 漏えいの心配があるときは、すぐに変更する（定期的な変更はしなくてよい）
- 年に1回、一覧と実際の状態がずれていないかを確かめる
開発会社・制作会社とのパスワードのやりとりで決めておくこと
パスワードの受け渡しは、社内だけでなく開発会社や制作会社との間でも起きます。発注の段階で、次の点を決めておくと安心です。
- 納品時の受け渡し方法：メールに書いて送るのではなく、パスワード管理ツールの共有機能や、受け渡し後に消える方法を使えるか相談する
- 開発会社が持つアカウント：保守のために開発会社が管理者のアカウントを持つ場合は、自社のアカウントとは別にしてもらい、契約が終わったら止める
- パスワードの置き場所：開発会社の社内で、自社のパスワードをどこに保管しているか。ソースコードや設定ファイルに直接書かれていないか
開発会社側にも、作業のためにパスワードが必要な事情があります。「渡さない」ではなく、「どう渡して、いつ止めるか」を一緒に決めるのが現実的です。パスワードがソースコードと一緒に公開されてしまったときの対応は、次の記事で解説しています。
やりがちな失敗
- パスワード入りの一覧を、そのまま新しい担当者や外部にメールで送る：一覧とパスワードを分けていないと、引き継ぎのたびにパスワードが広がります
- パスワード管理ツールを担当者の個人アカウントで契約する：その人が辞めると、会社のパスワードがまとめて取り出せなくなります
- パスワード管理ツールの管理者が1人だけ：マスターパスワードを知る人がいなくなると、すべてに入れなくなります
- 定期的に変更して、末尾の数字だけを変える：パターン化して推測されやすくなります。漏えいの心配があるときに、しっかり変えるほうが効果的です
- 2段階認証を入れたが、確認用が個人のスマートフォン：退職や機種変更で、会社が入れなくなります
発注者・担当者がやること チェックリスト
- ☐ パスワードを書かない「入口の一覧」（サービス・URL・使える人・登録メールアドレス・2段階認証・契約者）を作った
- ☐ パスワードの保管先を1つに決め、会社の名義で契約し、管理者を2人以上にした
- ☐ 共有のアカウントを洗い出し、個人ごとのアカウントに切り替えられるものは切り替えた
- ☐ 管理画面やサーバーの契約サイトに2段階認証を入れ、確認用の端末・アドレスを会社のものにした
- ☐ 表計算ソフト・メール・チャットに残っていた古いパスワードを片付け、必要なものは変更した
- ☐ 「メールやチャットで送らない」「入社・退職時に見直す」などのルールを1枚にまとめた
- ☐ 開発会社・制作会社とのパスワードの受け渡し方法と、契約終了時の扱いを決めた
開発会社への質問例
- 「納品のときのログイン情報は、メール以外の方法で受け取れますか。御社で使っている受け渡しの方法を教えてください」
- 「このシステムは、利用者ごとにアカウントを作れますか。作れない場合、作れるようにする改修の費用と期間を教えてください」
- 「保守のために御社が持っている管理者のアカウントはありますか。あれば、弊社のアカウントと分けていただき、契約終了時に止めていただけますか」
- 「管理画面やサーバーの契約サイトに2段階認証を入れたいと考えています。設定をお願いする場合の費用と、注意点を教えてください」
- 「弊社のパスワードは、御社の社内でどこに保管されていますか。ソースコードや設定ファイルに直接書かれていないか確認していただけますか」
まとめ：一覧とパスワードを分け、保管先を会社で1つに決める
ホームページやサーバーのパスワードを表計算ソフトやメモで管理しているなら、次の順番で進めましょう。
- パスワードを書かない「入口の一覧」を作り直す
- パスワードの保管先を会社で1つに決める（会社の名義・管理者は2人以上）
- 共有のアカウントを減らし、個人ごとのアカウントに切り替える
- 2段階認証を入れ、確認用の端末を会社で管理する
- 古いメモを片付け、入れ替えのルールを決める
パスワードの管理は、問題が起きるまで後回しにされがちです。担当者の入れ替わりや、開発会社との契約の見直しなど、次のきっかけがあったときに、まず一覧づくりから始めてみてください。
あわせて読みたい関連記事
