【社内の運用】会社のIDとパスワードの見直し方｜ユーザーの整理と保管のルール
ホームページの守りは、サーバーやWordPressの設定だけでは整いません。使っていないアカウントが残っていたり、辞めた人も知っているパスワードを使い続けていたりすると、設定をいくら固めても、そこが入口になります。
この記事では、会社として、IDとパスワードをどう管理するのが適切かを、見直しの順番とあわせてまとめます。サーバーとWordPressの設定は、前の記事で扱っています。
自社で進められるところは進め、迷うところは、制作会社や保守の担当者に相談します。
見直しの要点：使っているサービスとアカウントを一覧にし、使っていないアカウントを削除して、共有していたパスワードを変える。そのうえで、保管の方法と、人が入れ替わるときの手順を決めておく。
この記事でわかること
- アカウントを一覧にして、見直す方法
- 使っていないアカウントと、共有パスワードの片づけ方
- 会社として決めておく、保管と引き継ぎのルール
パスワードは、担当者がわかっていれば十分ではないですか？
担当者が替わったり休んだりすると、だれもログインできなくなったり、辞めた人だけが知っている状態が残ったりします。会社として、だれが、どこに、どう保管するかを決めておきます。
前提
- 対象：会社のホームページ（WordPress）、サーバー、ドメイン、Googleのサービス、SNS、メールなどのアカウント
- 必要な権限：それぞれのサービスに、管理者としてログインできること
- 所要時間の目安：最初の見直しで1時間ほど（サービスの数によります）
- 先に用意するもの：使っているサービスがわかる資料（契約書、請求書、サービスからのメールなど）
考え方は、IPA（情報処理推進機構）の「中小企業の情報セキュリティ対策ガイドライン 第4.0版」（2026年3月）にもとづいています。DPDの考えは「DPDの見方」と書いて分けます。
使っているサービスとアカウントを一覧にする
この手順で、会社として守るアカウントが、見える形になります。
対象になるのは、たとえば次のようなアカウントです。
- ホームページの管理画面（WordPress）
- サーバー（エックスサーバーのアカウントとサーバーパネルなど）
- ドメインの管理
- Googleアカウント（Googleアナリティクス、Search Console、Googleビジネスプロフィール）
- SNS（Instagram、Facebookなど）
- メール
一覧には、次の項目を書きます。
- サービス名と、ログインに使うID（メールアドレスなど）
- ログインできる人と、その権限（管理者かどうか）
- 管理する人（責任者）
- パスワードの保管場所
- 最後に見直した日
パスワードそのものは、一覧表に書きません。保管場所だけを書きます。
使っていないアカウントを削除する
この手順で、だれも使っていない「入口」を閉じます。
見直す対象は、次のようなアカウントです。
- 退職した人、異動した人のアカウント
- 契約が終わった制作会社や、外部の担当者のアカウント
- テスト用に作ったアカウント
- だれのものかわからないアカウント
WordPressでは、［ユーザー］の一覧で、名前、メールアドレス、権限グループを確かめます。管理者は必要な人数だけにし、記事を書くだけの人は「編集者」や「投稿者」にします。ユーザーを削除するときは、そのユーザーの投稿をほかのユーザーに引き継ぐかを選べます。
各ユーザーのプロフィール画面にある「アプリケーションパスワード」に、使っていないものが残っていれば取り消します。
だれのものかわからないアカウントや、見覚えのないアカウントがあったときは、すぐに削除せず、先に制作会社や保守の担当者に相談します。不正アクセスの手がかりになることがあるためです。エックスサーバーのアクセスログは過去30日分を取得できるので、必要な場合は早めに保存します。
WordPressの管理者アカウントの整理の手順は、【WordPress】不要な管理者アカウントを整理する手順で扱っています。
共有していたパスワードを変える
この手順で、辞めた人や外部の人が知っているパスワードを、使えなくします。
変える対象は、次のようなパスワードです。
- 退職・異動・契約終了した人が知っていたパスワード
- メールやチャットで送ったことがあるパスワード
- 複数のサービスで、同じものを使っているパスワード
- 初期設定のままのパスワード
IPAのガイドラインでは、パスワードは10文字以上で、できるだけ長くし、大文字・小文字・数字・記号を含め、名前や電話番号、誕生日、簡単な英単語などは避けるよう示しています。また、同じIDとパスワードを複数のサービスで使わないことや、初期設定のパスワードを変えることも示しています。
DPDの見方：新しいパスワードは、次の章で決める保管場所だけで共有し、メールやチャットには書きません。
パスワードの決め方と保管方法を決める
この手順で、パスワードを「人の記憶」ではなく、会社の決まりで管理する形にします。IPAのガイドラインは、紙、ファイル、パスワード管理アプリなど、保管方法ごとの違いを踏まえて、自社に合った管理のルールを定め、周知することを求めています。
| 保管方法 | よいところ | 気をつけること |
|---|---|---|
| パスワード管理ツール（会社で契約） | 共有する人を絞れる。退職や異動のときに、共有を外しやすい | ツールにログインするためのアカウントの守りを固める |
| 紙（鍵のかかる場所に保管） | ネットワークから盗まれない | 持ち出しや紛失。変えたときに書き直す手間 |
| 表計算ファイル | 手軽に始められる | ファイルごと漏れやすい。パスワードをかけ、置き場所と見られる人を限る |
DPDの見方：社員が数名から数十名の会社なら、会社で契約したパスワード管理ツールで、アカウントごとに共有する人を絞る形が運用しやすいと考えています。
あわせて、次の3つも決めておきます。
- だれが管理するか（責任者と、その代わりの人）
- どこに保管するか（1か所に決める）
- いつ変えるか（人が入れ替わったとき、漏れた疑いがあるとき）
人が入れ替わるときの手順を決める
この手順で、入社・異動・退職・契約終了のたびに、同じ手順で見直せるようにします。IPAのガイドラインは、異動や退職のときに設定を速やかに変更・削除すること、IDの発行から削除までの管理の流れを決めること、共有のIDは極力使わないことを示しています。
- 退職・契約終了の日に、その人のアカウントを削除するか、使えないようにします。
- その人が知っていた共有パスワードを変えます。
- 引き継ぐアカウントの管理者を決め、一覧表を更新します。
- 制作会社や外部の担当者との契約が終わったら、渡していたアカウントを削除します。
- 入社や異動のときは、仕事に必要な権限だけを渡します。
DPDの見方：人の入れ替わりがなくても、年に1回（決算や年度の始まりなど）、一覧表を見直す日を決めておくと、漏れに気づきやすくなります。
できたか確かめる
次の3つで確かめます。
- 使っているサービスとアカウントが、一覧表にまとまっていれば完了です。
- 使っていないアカウントが削除され、共有していたパスワードが変わっていれば完了です。
- 保管場所、管理する人、人が入れ替わるときの手順が決まり、社内で共有されていれば完了です。
よくあるつまずき
| 症状 | 原因 | 直し方 |
|---|---|---|
| だれのアカウントかわからない | 作った人が辞めた、または外部の人が作った | すぐに削除せず、制作会社や保守の担当者に相談する |
| パスワードを変えたら、ほかの人がログインできなくなった | 同じアカウントを、複数の人で使っていた | 人ごとにアカウントを分けられるサービスでは分ける。分けられない場合は、決めた保管場所で新しいパスワードを共有する |
| サービスからのお知らせが、辞めた人のメールアドレスに届いている | 担当者の個人のアドレスで登録していた | 会社で管理するアドレスに変えておく |
| 一覧表をつくっても、すぐに古くなる | 見直す日と担当が決まっていない | 入れ替わりの手順に「一覧表の更新」を入れ、年1回の見直しの日を決める |
まとめ
- やること：アカウントを一覧にし、使っていないものを削除し、共有していたパスワードを変える
- 決めること：保管場所、管理する人、人が入れ替わるときの手順
- 迷ったら：だれのものかわからないアカウントは削除せず、制作会社や保守の担当者に相談する
次の一歩
サーバーとWordPressの設定の見直しは、前の記事で扱っています。
DPD（Duo Partner Design）では、アカウントの棚卸しや、管理のルールづくりのご相談もお受けしています。お問い合わせからご相談ください。
