アカウント情報の管理で一番多い失敗は、実は「盗まれること」ではなく「どこに置いたか分からなくなること」です。デスクトップのメモ、チャットの自分宛てメッセージ、スクリーンショット、表計算ファイル。少しずつ別の場所に保存した結果、パスワードを変えても古い情報があちこちに残り、いざ必要なときには最新の値が見つからない、という状態になりがちです。
アカウントが2つ3つのうちは記憶と工夫でなんとかなりますが、仕事用、検証用、店舗ごとの運用アカウントと増えていくと、仕組みで管理するしかなくなります。ここでは、置き場所を一本化し、漏えいと紛失の両方に備えるための考え方と手順をまとめます。
この記事でわかること
- パスワード、2段階認証のキー、トークンなど、情報の種類ごとの重要度
- 保管場所の候補と、それぞれの向き・不向き
- パスワードを書かない「台帳」の作り方
- チームでの共有、受け取り直後の整理、使い終わったときの廃棄
まず、扱う情報の種類を分けて考える
「アカウント情報」とひとくくりにしがちですが、中身は性質の違ういくつかの情報に分かれます。漏れたときに何が起きるかで並べると、優先順位が見えてきます。
| 情報 | 漏れたときに起きること | 重要度 |
|---|---|---|
| パスワード | 2段階認証がなければ、そのままログインされる | 高 |
| 2段階認証のシークレットキー | パスワードと組み合わさると、追加の確認も突破される | 最高 |
| リフレッシュトークン・APIキー | パスワードなしでメールの読み取りなどができる | 最高 |
| バックアップコード | 2段階認証の代わりに1回ずつ使える | 高 |
| 再設定用メール・電話番号 | アカウント復旧の経路として悪用される可能性 | 中 |
| アドレスやユーザー名 | 単体ではログインできないが、標的にされる手がかりになる | 低〜中 |
注目したいのは、シークレットキーやトークンはパスワード以上に強い鍵になりうる点です。とくにOAuth2のリフレッシュトークンは、パスワードを変えても有効なまま残る場合があります。「長い英数字だから誰も使えないだろう」と軽く扱わないことが大切です。
保管場所の候補と向き・不向き
保管場所として現実的なのは、次の4つくらいです。
パスワードマネージャー
複数のアカウントを扱うなら、基本はここです。マスターパスワード（と、できれば2段階認証）で暗号化された保管庫に、ログイン情報をアカウントごとの項目として保存できます。メモ欄やカスタム項目を使えば、再設定用メールやクライアントIDなどもまとめて記録できます。選び方はパスワードマネージャーの選び方で比較しています。
暗号化したファイル
パスワードマネージャーに入れにくい大量のデータや、一時的な作業ファイルには、パスワード付きで暗号化したアーカイブや、OSの暗号化機能を使ったフォルダが選択肢になります。ただし、作業のたびに復号したファイルが平文で残りやすい点に注意が必要です。
紙の控え
ネット経由で盗まれない点は強みです。バックアップコードや、パスワードマネージャー自体のマスターパスワードの控えなど、「最後の砦」の保管に向いています。日々使う情報の管理には向きません。詳しくはバックアップコードの安全な保管方法を参考にしてください。
避けたい置き場所
平文のテキストファイル、メモアプリ、チャットの自分宛てメッセージ、メールの下書き、画面のスクリーンショットは、手軽な反面、端末の同期やバックアップを通じて意図しない場所にコピーされます。写真フォルダのクラウド同期で、スクリーンショットが別の端末にまで保存されていた、というのはよくある話です。
パスワードを書かない「台帳」を作る
アカウントが10を超えてくると、パスワードマネージャーの中を探すだけでは全体像がつかめなくなります。そこで役に立つのが、秘密の値は一切書かない一覧表、いわば台帳です。
| 列 | 記入する内容の例 |
|---|---|
| 管理名 | 「検証用-03」「店舗A-問い合わせ」など、用途がわかる名前 |
| サービスとアドレス | どのサービスの、どのアドレスか |
| 用途・担当者 | 何に使い、誰が責任を持つか |
| 2段階認証の方式 | 認証アプリ、SMS、セキュリティキーなど（キーそのものは書かない） |
| 保管場所 | 「パスワードマネージャー：業務保管庫」のように、値のありかだけを書く |
| 取得日・最終確認日 | 受け取った日、最後にログインやパスワード変更を行った日 |
| 状態 | 利用中、休止、廃棄予定、廃棄済み |
台帳とパスワードマネージャーの項目名を同じ「管理名」でそろえておくと、行き来が楽になります。台帳が誰かに見られても、ログインに必要な値は含まれていないため被害が広がりにくいのがこの方式の利点です。
受け取った直後の整理手順
新しいアカウントを受け取ったとき、あるいは作成したときは、次の順番で保管場所に移すと、散らかりを最初から防げます。KeyCenterで購入した商品の場合も考え方は同じです。
- 受け取ったデータを、項目ごとに分けて読み取ります。「|」区切りのデータの読み方は納品形式の読み方で解説しています。
- パスワードマネージャーに管理名をつけて項目を作り、ログイン情報とトークン類を登録します。
- サービスの規約上可能であれば、パスワードを自分だけが知る値に変更し、2段階認証を設定します。変更後の値をすぐにパスワードマネージャーへ反映します。
- 台帳に1行追加し、取得日と状態を記入します。
- 作業中にダウンロードしたテキストファイルやコピーしたメモを削除し、ゴミ箱も空にします。クリップボードの履歴機能を使っている場合は、その履歴も消しておきます。
最後の手順が抜けると、せっかく暗号化した保管庫を作っても、ダウンロードフォルダに平文のファイルが残ったままになります。作業の締めくくりとして習慣にしてください。
チームで共有するときのルール
店舗運営やSNS運用など、複数人で同じアカウントを使う場面では、共有の仕方がそのまま安全性を左右します。
- チャットやメールで値を送らない：共有機能のあるパスワードマネージャーの共有保管庫を使い、アクセスできる人を限定します。
- 役割で分ける：可能なサービスでは、パスワードの共有ではなく、管理者・編集者などの権限付与の仕組みを使います。
- 担当者の交代時に鍵を替える：メンバーが抜けたら、そのメンバーが知っていたパスワードを変更し、共有保管庫からも外します。
- 2段階認証の受け取り先を個人に寄せすぎない：特定の1人のスマートフォンにしかコードが届かない状態だと、その人の不在がそのまま業務停止になります。
なお、アカウントの共有や譲渡を禁じているサービスもあります。共有して使う前に、各サービスの利用規約で認められている範囲を確認してください。
定期的な見直しと、使い終わったときの廃棄
管理は作って終わりではありません。3か月に1回程度、台帳を上から見直す日を決めておくと、放置されたアカウントが減ります。
見直しのときに確認したいのは、ログイン中の端末や連携アプリに心当たりのないものがないか、再設定用情報が今も受け取れるものか、使っていないアカウントが残っていないか、の3点です。各サービスのセキュリティ画面の見方はアカウント乗っ取り対策のチェックリストが参考になります。
使い終わったアカウントは、可能であればサービス上で削除や連携解除を行い、パスワードマネージャーの項目を消し、台帳の状態を「廃棄済み」にします。台帳の行自体は記録として残しておくと、あとで「このアドレスは何だったか」と調べるときに役立ちます。
よくある質問
ブラウザのパスワード保存機能だけで足りますか？
個人で少数のアカウントを使うなら選択肢になりますが、トークンやシークレットキー、メモ情報の管理、チームでの共有には向きません。複数アカウントを扱う場合は専用のパスワードマネージャーが便利です。
2段階認証のシークレットキーは、パスワードと同じ場所に保存してよいですか？
同じ保管庫に入れると、そこが破られたときに両方の鍵を同時に失います。重要なアカウントでは、認証アプリやセキュリティキーなど別の手段で管理するほうが安全です。
表計算ファイルでの管理はやめたほうがいいですか？
パスワードなど秘密の値を書かない台帳として使うなら便利です。値そのものを入れる場合は、ファイルの暗号化と共有範囲の制限が欠かせません。
まとめ
- シークレットキーやトークンは、パスワードと同等以上の重要な鍵として扱う
- 日常の保管はパスワードマネージャー、最後の控えは紙、平文メモやチャットは避ける
- 秘密の値を書かない台帳で、用途・担当・保管場所・状態を一覧にする
- 受け取り後はダウンロードしたファイルやクリップボード履歴まで片付ける
- 定期的に見直し、使い終わったら削除・廃棄まで進める
当店の商品を受け取ったあとの整理にも、この手順をそのままお使いください。商品はGmailカテゴリなどからご覧いただけます。
