中小企業のパスワード管理術｜16文字と管理ソフトで使い回しを防ぐ

取引先のポータル、Googleアカウント、会計ソフト、レンタルサーバーの管理画面。どれも同じパスワードで、しかも「英小文字と数字で6〜8文字」。中小企業の支援をしていると、こうした状態に出会うことが今でも少なくありません。

パソコンの横に付箋が貼ってあったり、社内共有のExcelに全アカウントのIDとパスワードが一覧になっていたりするケースもあります。覚えられないから仕方がない、という事情はよくわかります。

ただ、使い回しと短いパスワードの組み合わせは、1か所から漏れただけで芋づる式に乗っ取られる典型的なパターンです。今回は、2026年時点の公的な基準を踏まえて「どのくらいの長さが必要か」と「覚えずに運用する方法」を、実務目線で整理します。

覚える努力をやめて、長いパスワードを道具に作らせて管理させる。これが一番現実的な対策です。

1. 中小企業に多い「危ないパスワード」3つのパターン

現場でよく見かけるのは、次の3つです。

特に怖いのが使い回しです。攻撃者は別のサービスから流出したIDとパスワードの組み合わせを、ほかのサイトに機械的に試します（リスト型攻撃）。この攻撃にはパスワードの強さは関係ありません。どれだけ複雑でも、使い回していれば同じように突破されます。

短さの問題も数字で見るとわかりやすくなります。英小文字26種と数字10種の計36種で6文字なら、組み合わせは約22億通り。コンピューターにとっては大きな数ではありません。一方、記号を含む94種の文字で16文字にすると、組み合わせは約3.7×10³¹通りまで増えます。

パスワードが強くても、使い回していたら意味がありません。まずは「サービスごとに別のパスワード」が大前提です。

2. 2026年の基準は「長さ優先」：総務省とNISTの考え方

「大文字・小文字・数字・記号を必ず混ぜる」「90日ごとに変更する」。以前はこれが常識でしたが、ここ数年で考え方が大きく変わりました。

NISTが文字種のルールをやめたのは、ルールを課すと利用者が「Password」を「Password1!」にするような予測しやすい工夫に走り、かえって弱くなるためです。長さこそが強さを決める一番の要素だ、という整理になっています。

両者を踏まえると、実務での目安は次のとおりです。

• 管理ソフトに覚えさせるパスワード：16文字以上のランダムな文字列（自動生成）
• 自分で覚えるパスワード（マスターパスワードなど）：無関係な単語を4〜5個以上つなげた長いフレーズ

覚える用のフレーズは、たとえば「kumo-tansu-4817-ringo-hashi」のような形です。文章にならない単語の組み合わせにするのがコツです（この例は公開済みなので、そのまま使わないでください）。

記号をたくさん入れるより、とにかく長くする。それが今の公的な考え方です。

3. パスワード管理ソフトは何をしてくれるのか

16文字のランダムな文字列を、サービスごとに覚えるのは人間には無理です。そこで使うのがパスワード管理ソフトです。

見落とされがちな利点が、偽サイト対策です。自動入力は登録したドメインと一致するサイトでしか働かないため、本物そっくりのフィッシングサイトでは入力候補が出ません。「いつもは自動で入るのに今日は出ない」こと自体が、偽サイトに気づくきっかけになります。

覚えるのはマスターパスワード1つだけ。残りは全部、金庫に任せてしまいましょう。

4. Bitwarden・1Password・Dashlaneを比較する

代表的な3つのサービスを、2026年10月時点の公開情報で比較します。料金はいずれも米ドル・年払いの金額です。

私は以前Dashlaneを使っていましたが、現在はBitwardenに切り替えています。理由は、無料プランでも複数端末で同期できて実用十分なこと、ソースコードが公開されていて第三者の検証を受けやすいこと、有料でも価格が抑えめなことです。

1Passwordは画面の使いやすさに定評があり、ITに詳しくない社員が多い職場では有力な選択肢です。ただし2026年3月27日以降の更新分から値上げされているので、導入前に最新の料金を確認してください。

Dashlaneは無料プランが終了しているため、これから無料で始めたい方には向きません。

たとえばBitwardenのTeamsを10人で使う場合、1人あたり月4ドルなので月40ドルが目安です（為替や税で円建ての金額は変わります）。

迷ったら、まずBitwardenの無料版で1週間使ってみる。合えば有料版や法人プランに進めば大丈夫です。

5. 導入でつまずきやすい3つのポイントと対処法

サイトによって使える記号が決まっている

「英数字のみ」「使える記号は＿と－だけ」「20文字まで」など、サイト側の制限で自動生成したパスワードがはじかれることがあります。この場合は手で書き換えるのではなく、生成機能の設定を変えて作り直すのが確実です。記号をオフにしたり、使える記号だけに絞ったりして、そのぶん文字数を増やせば強さは保てます。

マスターパスワードは誰にも復元できない

多くの管理ソフトは、運営会社もマスターパスワードを知らない仕組みになっています。安全な反面、忘れると保管庫は開けません。紙に書いて金庫など物理的に安全な場所に保管するか、有料版の緊急時アクセス機能で信頼できる人を登録しておくと安心です。

全部を一度に移行しなくていい

最初からすべてを変える必要はありません。被害が大きいアカウントから順に、強いパスワードへ変えながら登録していきます。残りは、ログインしたついでに1つずつ移せば十分です。

完璧を目指さず、大事なアカウントから順番に。これだけで危険はぐっと下がります。

6. 社内に導入する6つの手順

退職者が出たときに、管理ソフト上でアクセス権を外すだけで済むのも法人プランの大きな利点です。共有Excelのままだと、退職者が知っているパスワードを全部変える必要が出てきます。

付箋とExcelをなくして、共有も管理ソフトの中で。退職者が出たときの手間がまったく違います。

7. パスワードの次に備える：多要素認証とパスキー

長いパスワードと管理ソフトで土台を固めたら、次は多要素認証です。パスワードに加えて、スマホのアプリや認証コードでの確認を求める仕組みで、総務省もパスワード設定とあわせて活用を呼びかけています。パスワードが漏れても、それだけではログインされにくくなります。少なくともメール、Googleアカウント、ネットバンキング、サーバー管理画面では設定しておきましょう。

さらにその先にあるのが「パスキー」です。パスワードの代わりに、スマホやパソコンの指紋・顔認証などでログインする方式で、偽サイトに入力させられる心配がありません。Bitwardenなど主要な管理ソフトはパスキーの保存にも対応しているので、対応サービスから少しずつ切り替えていくのがおすすめです。

パスワード管理ソフト、多要素認証、パスキー。この3つを順番にそろえていけば十分戦えます。

よくある質問

ChromeやSafariのパスワード保存機能ではだめですか？

使い回しをやめて長いパスワードを保存するなら、ブラウザの保存機能でも何もしないよりはずっと安全です。ただし、複数のブラウザやスマホをまたいで使う場合や、社内で共有・権限管理をしたい場合は、専用の管理ソフトのほうが向いています。共用パソコンのブラウザに業務用パスワードを保存するのは避けてください。

管理ソフトが攻撃されたら、全部漏れてしまいませんか？

主要な管理ソフトは、保管庫を利用者の端末側で暗号化し、運営会社も中身を読めない設計になっています。それでもリスクはゼロではないため、マスターパスワードを長くすることと、管理ソフト自体に多要素認証をかけることが重要です。この2つがそろえば、使い回しを続けるよりはるかに安全です。

パスワードは定期的に変えたほうがいいですか？

総務省・NISTともに、定期的な変更は不要としています。漏洩の連絡があったとき、不審なログインがあったとき、退職者が知っているアカウントがあるときに変更してください。

社員で1つのアカウントを共有している場合はどうすればいいですか？

法人向けプランの共有機能を使い、必要な人だけが見られるように設定します。可能なら、サービス側で社員ごとにアカウントを分けるのが理想です。誰がいつ操作したかが記録に残り、退職時の対応も簡単になります。

以前のパスワードを一気に変える時間がありません

重要なアカウント5〜10個だけでも先に変えてください。残りは、ログインする機会があったときに1つずつ管理ソフトで作り直せば、数か月で自然に入れ替わっていきます。

まとめ

パスワード対策は、一度仕組みを作ってしまえば、あとは日々の手間がむしろ減る対策です。まずは今日、メールとGoogleアカウントの2つから始めてみてください。

覚えなくていい、打たなくていい、それでいて安全。パスワード管理ソフトは、守りと時短を同時に手に入れる道具です。

参考リンク

• 総務省：国民のためのサイバーセキュリティサイト
• ITmedia：パスワードの「定期的な変更は不要」だが注意点も 総務省がサイバーセキュリティサイトで呼びかけ（2024年5月）
• NIST：SP 800-63B-4 Digital Identity Guidelines: Authentication and Authenticator Management（2025年8月）
• Bitwarden：Password Manager Pricing & Plans
• 1Password：料金プラン
• TechRadar：1Password is getting more expensive soon（2026年2月）
• AlternativeTo：Dashlane will end its Free Plan in September 2025（2025年8月）

※料金は2026年10月8日時点で確認した米ドル建て・年払いの金額です。Bitwardenは公式料金ページ、1Passwordは2026年3月27日以降の米国向け改定価格（TechRadar報道）、Dashlaneは2025年8月時点の報道に基づきます。円建て価格は為替・税・地域により異なるため、契約前に各社公式サイトでご確認ください。
※組み合わせの数（約22億通り、約3.7×10³¹通り）は、文字種の数を文字数分掛け合わせた理論上の計算値です。実際に割り出されるまでの時間は、攻撃手法や機器の性能、サービス側の対策によって大きく変わります。
※本文中のパスフレーズ例は説明用のサンプルです。公開済みのため、実際のパスワードには使用しないでください。