パスワード管理のルール｜建設会社の作業所PCと共有ID

パスワード管理の基本は「長く・複雑に・使い回さない」の3つです。 IPA（情報処理推進機構）の「中小企業の情報セキュリティ対策ガイドライン 第4.0版」は、10文字以上で大文字・小文字・数字・記号を含め、同じID・パスワードを複数のサービスで使い回さないよう求めています。総務省は、サービス側から流出した事実がなければ定期的に変更する必要はないとし、使い回しのない固有のパスワードを設定することを重視しています。

建設会社でこの3原則が崩れやすいのは、本社よりも作業所（現場事務所）です。工事ごとに開設され、所長が交代し、協力会社が出入りする場所では、「みんなで使う1つのID」と「竣工後も残るアカウント」が生まれやすいからです。この記事では、元請の建設会社が作業所を含めて回せるパスワードの社内ルールを、公的資料の基準に沿って組み立てます。

【早見表】公的資料が示すパスワードの基準

項目	基準	根拠
長さ	10文字以上で「できるだけ長く」	IPA ガイドライン第4.0版（付録の自社診断の対策例）、総務省
文字の種類	大文字・小文字・数字・記号を含める。名前・電話番号・誕生日・簡単な英単語は使わない	IPA ガイドライン第4.0版
使い回し	同じID・パスワードを複数サービスで使い回さない	IPA、総務省
定期変更	流出した事実がなければ変更は不要。流出したら速やかに変更	総務省「国民のためのサイバーセキュリティサイト」
初期パスワード	機器やサービスの初期設定パスワードは変更する	IPA ガイドライン第4.0版
管理ツール	パスワード管理ツールの利用も推奨。ツール自体はマスターパスワードや端末のロックで守る	総務省
重要なシステム	VPN（社外から社内ネットワークへ暗号化してつなぐ仕組み）などは強固なパスワードに加え、多要素認証やパスキーを使う	IPA ガイドライン第4.0版

「3か月ごとに変更」というルールを今も続けている会社は少なくありません。しかし変更を強制すると、末尾の数字だけを変える、付箋に書いて貼るといった別の弱さを生みます。総務省も、定期変更より機器やサービスごとに固有のパスワードを設定することを求めています。まずは定期変更のルールを外し、使い回しをなくすことに力を移してください。

建設会社でパスワードが破られやすい3つの場所

1. 作業所の共有PCと共有アカウント

作業所のPCは、所長・担当者・事務員が入れ替わりで使い、施工管理アプリや図面共有サービスに「作業所名のID」でログインしていることがよくあります。誰が操作したか分からず、異動した人もパスワードを知ったままになります。IPAのガイドラインは、パソコン等は他者と共有せず、共有せざるを得ない場合は別のユーザーアカウントを作ること、従業員の異動や退職時には速やかに設定を変更（削除）することを対策例に挙げています。

2. 協力会社に発行したアカウント

施工管理アプリやクラウドストレージに協力会社を招待すると、工事が終わってもアカウントが残りがちです。竣工した現場の図面・写真・施工体制台帳の控えに、もう取引のない会社の担当者が入れる状態は、元請が管理責任を問われる穴になります。アプリ選びの段階で協力会社アカウントの一括停止ができるかを確かめておくと運用が楽になります（比較の観点は建築工事向け施工管理アプリの選び方で整理しています）。

3. ネットワーク機器の初期パスワード

作業所に置くルーター、ネットワークカメラ、NAS（社内ネットワークにつなぐファイル保存用の機器）、複合機は、初期パスワードのまま使われやすい機器です。警察庁の「令和7年におけるサイバー空間をめぐる脅威の情勢等について」は、ランサムウェア（データを暗号化して身代金を要求する不正プログラム）の侵入経路としてVPN機器が6割以上を占め、攻撃者は未修正のぜい弱性、漏えいした認証情報や簡易なパスワード、設定不備を悪用すると説明しています。遠隔で現場を見る仕組みを入れた会社ほど、こうした機器の棚卸しが必要です。

作業所を含めた社内ルールの雛形

ルールは長く書くほど守られません。次の8項目をA4一枚に収め、作業所の開設時と竣工時の手順に組み込むのが現実的です。

1. 個人ID原則: 業務で使うシステムは1人1つのIDで使う。作業所名の共有IDは新たに作らない
2. 長さと使い回し: 10文字以上で推測できないものにし、他のサービスと同じパスワードを使わない
3. 定期変更はしない: ただし流出の連絡を受けたとき、または不審なログインがあったときは、すぐに変更する
4. 保管方法を決める: 紙・ファイル・パスワード管理ツールのうち、会社として認める保管方法を1つ決める（PCへの付箋貼りは禁止）
5. 初期パスワードの変更: 作業所に設置するルーター・カメラ・NAS・複合機は、設置した日に初期パスワードを変える
6. 重要な入口は多要素認証: VPN、メール、クラウドストレージは多要素認証を有効にする（詳しくは二段階認証・多要素認証とは）
7. 作業所の開設と竣工: 開設時に発行したアカウントの一覧を作り、竣工時に一覧に沿って停止する
8. 異動と退職: 人事の連絡を受けた日に、本人のアカウントと本人が知っていた共有パスワードを変更する

IPAのガイドラインも、紙・ファイル・パスワード管理アプリ等の保管方法の違いを理解し、自社に適した管理ルールを定めて従業員に周知するよう求めています。保管方法を会社が決めないと、各自が自分なりの方法で保管し、結局は付箋とメモ帳に戻ります。

【チェックリスト】作業所の開設時・竣工時に確認すること

タイミング	確認すること	担当の例
開設時	作業所PCを個人IDで使える設定にしたか	本社の情報システム担当
開設時	ルーター・カメラ・NAS・複合機の初期パスワードを変えたか	設置した担当者
開設時	協力会社に発行したアカウントを一覧に記録したか	現場代理人
工事中	職長・担当者が交代した協力会社のアカウントを止めたか	現場代理人
竣工時	一覧に沿って協力会社アカウントを停止したか	現場代理人
竣工時	作業所PCの共有パスワードを変え、機器の撤去前にデータを消去したか	本社の情報システム担当

一覧は、施工体制台帳の下請負人の一覧と突き合わせると漏れが見つかりやすくなります。台帳に載っている会社と、アカウントを持っている会社が一致しているかを見るだけでも、竣工後に残ったアカウントが浮かび上がります。

使い回しが見つかったときの手順

使い回しは「やめてください」と言うだけでは減りません。見つかったときに、次の順で対応すると混乱が少なくなります。

1. 仕事用のサービス（メール・クラウドストレージ・施工管理アプリ）から先に、固有のパスワードへ変える
2. 変えたサービスから順に多要素認証を有効にする
3. 個人で使っているサービスと仕事用のパスワードが同じだった場合は、仕事用を変えたうえで本人に個人側の変更も勧める
4. 会社として認めたパスワード管理の方法を案内し、以後はそこに保管してもらう

よくある質問

Q. パスワードは何文字にすればよいですか。 A. IPAの資料と総務省のサイトは、10文字以上を目安に、できるだけ長くすることを示しています。覚える必要がある場合、総務省は関係のない複数の英単語をつなげ、間に数字列を挟む方法も紹介しています。

Q. 定期的なパスワード変更は本当にやめてよいのですか。 A. 総務省は、サービス側から流出した事実がない場合は変更する必要はないとしています。ただし、流出の連絡を受けたときや不審なログインがあったときは、速やかに変更してください。

Q. 作業所でどうしても共有アカウントが必要な場合はどうしますか。 A. IPAの対策例は、共有せざるを得ない場合は別のユーザーアカウントを作ることです。共有アカウントを残す場合でも、利用者の一覧を作り、担当者が外れたらパスワードを変えるルールにしてください。

まとめ

パスワード管理は「長く・複雑に・使い回さない」の3原則と、流出したときにすぐ変える運用で足ります。建設会社で気をつけたいのは、本社のルールが作業所に届かないことです。共有ID、協力会社のアカウント、現場に置いたネットワーク機器の3つを、作業所の開設と竣工の手順に組み込んでください。次の一手としては、重要な入口に多要素認証をかけることが効果的です。

出典・参考

• IPA（情報処理推進機構）「中小企業の情報セキュリティ対策ガイドライン 第4.0版」（2026年3月27日）情報セキュリティ6か条、付録「5分でできる！情報セキュリティ自社診断」の対策例: https://www.ipa.go.jp/security/guide/sme/about.html
• 総務省「国民のためのサイバーセキュリティサイト」推測できる簡単なパスワードを利用しないようにしよう: https://www.soumu.go.jp/main_sosiki/cybersecurity/kokumin/security/end_user/general/01/
• 警察庁「令和7年におけるサイバー空間をめぐる脅威の情勢等について」特集Ⅱ ランサムウェアをめぐる脅威の情勢と警察の取組: https://www.npa.go.jp/publications/statistics/cybersecurity/index.html

※ 2026年10月14日時点で各資料を確認しています。