～GoogleWorkspaceで「リース地獄」から卒業する、小規模企業のための「手ぶら」IT戦略～
公開日： 2025年12月19日（金）
【冒頭】 サーバーを捨てた今、あなたの会社を守る「唯一の壁」
福岡の経営者の皆様、おはようございます。
「すべてのパソコンをただの『窓』にせよ！」プロジェクト、11日目。
今日から【第2章：鉄壁の守り編】に入ります。
第1章で、私たちは社内のサーバー（NAS）やファイアウォール（UTM）を捨てました。
これからの会社を守るのは、物理的な壁ではありません。
「ID」と「パスワード」。たったこれだけです。
今日は、セキュリティ研修の鉄板ネタである「パスワード＝パンツの法則」と、私が30年のIT人生で痛感した「パスワードは漏れるものである」という現実についてお話しします。
1. 「パスワードは漏れる」を前提にせよ
まず、厳しい現実をお伝えします。
「パスワードは、どんなに気をつけていても、いつか必ず漏れます」
私はITの現場に30年以上いますが、これまで登録したサイトは1,000を超えます。
Googleの機能でチェックすると、そのうち昔登録した約400サイトで「パスワードの使い回し」や「漏洩」の警告が出ていました。
昔のサイトはセキュリティが甘かったし、私やほかのユーザーもセキュリティの意識が低かったのです。
データベースが丸ごと盗まれ、ハッカーの手に渡っているケースが山ほどあるので、このようなことが起こります。
ハッカーは、そこで手に入れたIDとパスワードを使って、Yahoo!やGoogleといった「本丸」へのログインを試みます。
「うちは大丈夫」なんてことはありません。
「漏れているかもしれない」という前提で対策を打つのが、危機管理の基本です。
2. だからこそ、社員にパスワードを「作らせるな」
漏れることを前提にするなら、絶対にやってはいけないのが「使い回し」です。
先日、ある企業様で研修をした際、「他のサイトと同じパスワードを使っている人？」と聞いたら、4割の手が挙がりました。
社員にパスワードを決めさせると、必ず「覚えやすいもの（＝他のサイトと同じもの）」を使います。
だから、私の結論はこうです。
「パスワードは、管理者が強制的に決めること」
Taka-1980 のような人間味のあるパスワードは禁止。
8xV#m9P2qL$z のような、意味のない乱数を管理者が発行して渡してください。
「えー、そんな複雑な記号、覚えられません！」
社員はそう文句を言うでしょう。
それでいいのです。覚えさせてはいけません。
3. 「覚えている」から、フィッシング詐欺に引っかかる
ここからが今日一番大事な話です。
なぜ、パスワードを**「記憶してはいけない（ブラウザに記憶させるべき）」**なのか？
それは、「偽サイト（フィッシング詐欺）」を一発で見抜くためです。
例えば、社員に「Googleからの重要なお知らせ」という偽メールが届いたとします。
リンクをクリックすると、本物そっくりのログイン画面が出ます。
しかし、URL（住所）は google.com ではなく g00gle.com だったりします。
- パスワードを覚えている人（手入力する人）：
「あ、ログイン画面だ」と思って、いつものパスワードをカチャカチャと手入力してしまいます。
→ 【アウト！ パスワードを盗まれました】 - パスワードを覚えていない人（ブラウザに記憶させている人）：
画面が出ても、パスワードの欄が「空欄」のままです。
ブラウザ（Chrome）は賢いので、「見た目はそっくりだけど、住所が違うから入力しないよ」と判断してくれているのです。
「あれ？ いつもは自動で入るのに、入らないぞ。おかしいな…？」
ここで初めて、「これは偽サイトだ！」と気づくことができるのです。
【まとめ】 「入力できない」が最強の防御
「出ない（自動入力されない）なら、入れるな」
これを合言葉にしてください。
もしパスワードを暗記していたら、偽サイトの空欄を見た時、親切心で手入力してしまいます。
しかし、そもそも複雑すぎて覚えていなければ、入力しようがありません。
「覚えられないから入れられない」
これこそが、社員をフィッシング詐欺から守る最強の安全装置になるのです。
さて次回。
「パスワードは漏れるもの」とお話ししましたが、万が一漏れてしまっても、ハッカーを絶望させる「最後の砦」があります。
「2段階認証」。これさえあれば、世界中のハッカーが束になっても御社のドアは開きません。
よくある質問（FAQ）～第11回「パスワードはパンツ」編～
Q1. なぜ「パスワードはパンツと同じ」と言われるのですか？ A1. セキュリティの世界では、パスワードの扱い方がパンツ（下着）と似ているため、よくこのように表現されます。具体的には、「（付箋などに書いて）見せない」、「（他人と共有して）貸さない」、「（使い回さずに）取り替える」という点が共通しているからです。
Q2. どんなに気をつけていても、パスワードは漏れてしまうものなのですか？ A2. はい、その前提で対策する必要があります。筆者の30年の経験でも、過去に登録したサイトのデータベースが盗まれ、ハッカーの手に渡っているケースが多くあります。ハッカーはその漏れた情報を使って、GoogleやYahoo!などの主要サイトへのログインを試みるため、「漏れているかもしれない」という前提が危機管理の基本となります。
Q3. なぜ社員に自分でパスワードを決めさせてはいけないのですか？ A3. 社員に任せると、「誕生日」や「名前」など、覚えやすくて他のサイトでも使い回しているパスワードを設定してしまうためです。漏洩を前提とするならば、絶対に「使い回し」は避けなければなりません。
Q4. では、どのようなパスワードを設定すべきですか？ A4. 管理者が強制的に、意味のない12桁以上の乱数（例：8xV#m9P2qL$z）を発行して渡すべきです。社員が「覚えられない」と文句を言うくらい複雑なもので構いません。
Q5. パスワードを「覚えていない」ほうが安全だというのはなぜですか？ A5. 偽サイト（フィッシング詐欺）を一発で見抜くためです。ブラウザにパスワードを記憶させていれば、本物そっくりの偽サイト（URLが微妙に違うサイト）にアクセスしても、ブラウザが判断してパスワード欄が空欄のままになります。もしパスワードを暗記していたら、親切心で手入力してしまい、情報を盗まれてしまいますが、複雑すぎて覚えていなければ入力しようがないため、これが最強の防御となります。
執筆：田上恭由（たがみやすゆき）
株式会社ワイコム・パブリッシングシステムズ 代表取締役 上級ウェブ解析士
西南学院大学卒。記者を経て中古車情報誌編集部で、世界初となるデジカメ画像利用の誌面完全自動制作システムを開発。平成8年に創業し、同システムは情報誌「カッチャオ」の成長を支えた。現在はウェブ集客支援へ移行し、構築700サイト・運営支援130社超の実績を持つ。近年は生成AIによる業務改革支援や研修開発に注力。講演・セミナー実績多数。「チームがみポンランニングクラブ」会長。
