パスワード管理の方法｜土木工事会社で使い回しを止める社内ルール
パスワード管理の基本は、①英数字と記号を混ぜた10文字以上にする、②サービスごとに別のパスワードにして使い回さない、③覚えきれない分はパスワード管理ツールに任せる、の3つです。 総務省は、流出した事実がなければ定期的に変更するよりも、使い回しのない固有のパスワードを設定することを求めています。土木工事会社では、これを社員一人ひとりの記憶に任せず、会社が「どのアカウントを誰が持っているか」を台帳で管理することが出発点になります。
この記事では、土木工事会社が持っているアカウントの棚卸し表、現場で起きやすい管理の抜け、共用IDと退職者のIDをなくす社内ルール、パスワード管理ツールを選ぶときの観点をまとめます。ログインにもう一段の確認を足す方法は二段階認証の記事で扱います。
総務省・IPAが推奨するパスワードの作り方
公的機関の推奨を並べると、次のようになります。
| 項目 | 推奨されていること | 出典 |
|---|---|---|
| 長さ・文字の種類 | 最低でも10文字以上のランダムな英数字の並びにし、数字・記号・大文字・小文字を混ぜるのが好ましい | 総務省 |
| 使ってはいけないもの | 名前、電話番号、誕生日、簡単な英単語 | IPA |
| 使い回し | 同じID・パスワードをいろいろなウェブサービスで使い回さない | 総務省・IPA |
| 定期変更 | 流出した事実がなければ変更は不要。定期変更より固有のパスワードを設定する | 総務省 |
| 覚え方 | 覚える必要のないパスワード管理ツールを使うことも推奨される | 総務省 |
| 伝え方 | 第三者に教えない。電子メールでやりとりしない | 総務省 |
| 機器の初期値 | 初期設定のパスワードを見直す | IPA |
IPAは、パスワードが推測・解析されたり、ウェブサービスから流出したID・パスワードが悪用されたりして不正にログインされる被害が増えているとしています。どこか1つのサービスから漏れたパスワードを、ほかのサービスでそのまま試されるのが使い回しの怖さです。
警察庁の「令和7年におけるサイバー空間をめぐる脅威の情勢等について」も、ランサムウェア（データを暗号化して身代金を要求する不正プログラム）の攻撃者が、漏えいした認証情報や簡易なパスワードを悪用して組織のネットワークへ侵入すると説明しています。パスワードは、会社のネットワーク全体の入口の鍵です。
土木工事会社が持っているアカウントの棚卸し
土木工事会社のアカウントは、本社の事務と現場の両方に散らばっています。まずは次の表を埋めることから始めてください。
| 分類 | アカウントの例 | 確認すること |
|---|---|---|
| 公共工事の手続き | 電子入札システム（ICカードとPIN）、入札参加資格のインターネット申請 | ICカードの名義人と保管場所、PINを知っている人 |
| 発注者とのやり取り | 発注者が指定する情報共有システム、オンライン電子納品 | 現場代理人・担当技術者ごとに個人IDになっているか |
| 技能者・現場の管理 | 建設キャリアアップシステム（CCUS）の管理者ID | 管理者IDを持つ人、異動・退職時の引継ぎ |
| 3次元データ・写真 | クラウドストレージ、工事写真アプリ、点群処理・3次元設計データのクラウドサービス | 協力会社や測量会社に共有したアカウントの有無 |
| お金 | インターネットバンキング、会計ソフト、給与計算 | 振込の承認者とログインする人を分けているか |
| メール・社内 | 会社のメール、グループウェア、チャット | 管理者アカウントを誰が持っているか |
| 現場事務所の機器 | 現場PC、無線LANルーター、NAS（ネットワークにつなぐ記憶装置）、複合機、ネットワークカメラ | 初期設定のパスワードのまま使っていないか |
電子入札のICカードは、パスワードではなく「カード（持っているもの）とPIN（知っていること）」の組み合わせでログインする仕組みです。取得から利用者登録までの流れは電子入札の始め方、CCUSの登録区分はCCUSの登録方法と登録料を参照してください。
土木の現場で起きやすいパスワード管理の抜け
工事の進め方に合わせて、次のような抜けが生まれがちです。
| 場面 | 起きやすいこと | 何が問題か |
|---|---|---|
| 現場事務所の立ち上げ | ルーターや複合機を初期パスワードのまま設置する | 初期値は取扱説明書で誰でも調べられる |
| 工期中 | 現場PCのログイン情報を付せんで画面に貼る | 来客・他社の作業員も事務所に出入りする |
| JV・協力会社との共有 | 1つのIDとパスワードを複数の会社で使い回す | 誰が何をしたか追えず、工事後に止められない |
| 竣工・引き渡し後 | 工事用に作ったクラウドの共有アカウントを残す | 工事が終わっても外部から入れる状態が続く |
| 異動・退職 | 現場代理人が持っていたIDを後任にそのまま渡す | 本人以外がログインする運用になる |
| 急ぎの連絡 | パスワードをメールやチャットで送る | 総務省はメールでやりとりしないよう求めている |
IPAの「情報セキュリティ6か条」は、パソコン等は他者と共有せず、共有せざるを得ない場合は別にユーザーアカウントを作ること、従業員の異動や退職時には速やかに設定を変更（削除）することを挙げています。国土交通省の「工事施工中における受発注者間の情報共有システム機能要件」も、システム側に利用者ごと（個人ごと）のID・パスワードの登録・削除や、利用者ごとの権限設定の機能を求めています。現場の共用IDは、仕組みの想定から外れた使い方だと考えてください。
共用IDと退職者のIDをなくす社内ルール
土木工事 業務改善Naviとして、総務省・IPAの推奨を土木工事会社の運用に落とし込んだルール案です。
| No. | ルール | 運用のコツ |
|---|---|---|
| 1 | パスワードは10文字以上、英数字記号を混ぜる | 覚えるものは無関係な単語を複数つなげる方法もある（総務省） |
| 2 | 業務のアカウントは1サービス1パスワード | 私用のサービスと同じパスワードも禁止 |
| 3 | 覚えずにパスワード管理ツールへ保存する | 会社で選んだツールに統一する |
| 4 | IDは個人ごとに発行し、貸し借りしない | 協力会社にはその会社用のIDを発行してもらう |
| 5 | 機器の初期パスワードは設置した日に変える | 現場事務所の立ち上げチェック表に入れる |
| 6 | パスワードはメール・チャットで送らない | 必要なら電話など別の経路で伝える |
| 7 | 流出の連絡があったらすぐ変える | 定期変更はしなくてよい |
| 8 | 異動・退職・工事完了の日にIDを止める | アカウント台帳に「止める日」の欄を作る |
| 9 | 二段階認証を使えるサービスでは必ず使う | メール・クラウド・銀行・リモート接続から |
ルールは作っただけでは守られません。現場事務所の開設時・竣工時・人事異動時という「必ず来るタイミング」にアカウントの点検を組み込むと、担当者が替わっても続きます。
パスワード管理ツールを選ぶときの観点
特定の製品を挙げることは控え、法人で使うときに比べる観点を示します。
| 観点 | 確認すること |
|---|---|
| 共有の仕方 | 部署・工事ごとにフォルダを分け、必要な人にだけ見せられるか |
| 退職時の処理 | 管理者が利用者を止めたとき、その人が保存していた業務用パスワードを会社に残せるか |
| ログインの守り | ツール自体に多要素認証を設定できるか |
| 記録 | 誰がいつどのパスワードを見たかの記録が残るか |
| 端末 | 現場のスマートフォン・タブレットからも使えるか |
| 費用と契約 | 利用者数に応じた料金、契約の単位（会社単位か個人単位か） |
ツールのマスターパスワード（ツールを開くためのパスワード）だけは覚える必要があるので、ここだけは長く、ほかで使っていないものにします。
よくある質問
Q. パスワードは定期的に変えたほうがよいですか。 A. 総務省は、流出した事実がなければ変更する必要はなく、定期的に変えるよりも機器やサービスの間で使い回しのない固有のパスワードを設定することを求めています。流出の連絡や不審なログインがあったときは、すぐに変更します。
Q. 現場で使うタブレットのパスワードを全員で共有しています。問題ですか。 A. 誰が操作したかを追えないこと、退職者が使える状態が残ることが問題です。IPAは、共有せざるを得ない場合は別にユーザーアカウントを作ることを挙げています。端末の管理全体はMDMの記事で扱います。
Q. JVの構成員と発注者の情報共有システムを使うとき、IDはどうすればよいですか。 A. 国の機能要件は利用者ごとのIDと権限設定を想定しています。IDの発行方法は発注者や工事ごとの運用に従い、会社をまたいでIDを貸し借りしないようにします。
Q. パスワードを紙に書いて保管するのはだめですか。 A. 公的機関は、パスワード管理ツールを使うことを推奨しています。紙で残す場合も、画面に貼ったり現場事務所の机に置いたりせず、施錠して保管するのが最低限です。
まとめ
- パスワードは10文字以上・英数字記号を混ぜ、サービスごとに変え、管理ツールに保存する
- 土木工事会社のアカウントは、電子入札・情報共有システム・CCUS・クラウド・現場事務所の機器に散らばっているので、まず台帳にする
- 共用IDと、異動・退職・工事完了後に残るIDが一番の抜け道になる
- 現場事務所の開設・竣工・人事異動のタイミングで点検を回す
パスワードの次は、ログインに確認をもう一段足す二段階認証、全体の取り組みの目安としてはSECURITY ACTIONの宣言、パスワードを入力させる偽メールの見分け方はメール誤送信・標的型攻撃メール対策もあわせてご覧ください。
出典・参考
- 総務省「国民のためのサイバーセキュリティサイト」推測できる簡単なパスワードを利用しないようにしよう（10文字以上、使い回し、パスワード管理ツール、多要素認証の3要素）
https://www.soumu.go.jp/main_sosiki/cybersecurity/kokumin/security/end_user/general/01/ - 総務省「国民のためのサイバーセキュリティサイト」安全なパスワードの設定・管理（第三者に教えない、電子メールでやりとりしない、定期変更より固有のパスワード）
https://www.soumu.go.jp/main_sosiki/cybersecurity/kokumin/security/business/staff/06/ - 独立行政法人情報処理推進機構（IPA）「情報セキュリティ6か条 解説編」2026年9月（No.3 パスワード管理、No.4 機器の設定）
https://www.ipa.go.jp/security/guide/sme/about.html - 警察庁サイバー警察局「令和7年におけるサイバー空間をめぐる脅威の情勢等について」令和8年3月（特集Ⅱ ランサムウェアをめぐる脅威の情勢と警察の取組）
https://www.npa.go.jp/publications/statistics/cybersecurity/data/R7/R07_cyber_jousei.pdf - 国土交通省「工事施工中における受発注者間の情報共有システム機能要件（Rev.5.8）【要件編】」令和8年3月（システム管理機能）
https://www.cals-ed.go.jp/mg/wp-content/uploads/kinoyoken_rev58_yoken.pdf
いまの課題に近いものはどれですか？
選んだお悩みに最適なサービスのご案内ページへ移動します。
お使いの業務に合う機能と、無料体験の内容をご確認いただけます。
