非営利団体の「パスワード問題」解決ガイド

サービスの数だけパスワードが増える

メール、勤怠、記録システム、Slack、Canva——便利なツールを導入するほどログインが増えます。人は10個も20個も強いパスワードを覚えられないので、どこかで無理が出ます。

付箋と使い回しが生まれる

「モニターに付箋」「全部同じパスワード」「共有アカウントを全員で使う」。どれも現場ではよく見る光景ですが、1つのサービスから漏れたパスワードで他のすべてに入られる状態です。

退職者のアカウントが残り続ける

職員が退職したとき、どのサービスにアカウントがあったかを思い出しながら1つずつ消して回るのは大変です。消し忘れたアカウントは、そのまま外部から団体の情報に入れる入口になります。

「注意喚起」では解決しない

この問題の本質は、職員のITリテラシーではなく仕組みにあります。「パスワードは使い回さないでください」と呼びかけるだけでは、覚えられない数のパスワードがある現実は変わりません。

①パスワード管理ツール(1Passwordなど)

全サービスのパスワードを1つの「金庫」(ボールト。パスワードをまとめて暗号化して保管する場所)に入れておき、職員が覚えるのは金庫を開ける「マスターパスワード」1つだけにする方法です。サービスごとに強いパスワードを自動生成でき、チームでの安全な共有もできます。SSO(後述する、他サービスに自動でログインする仕組み)に対応していない小さなサービスも、この金庫にまとめて保管できるのが強みです。

向いているケース: 使うサービスが多様で、まず今日から現実的に始めたい団体。

1Passwordには非営利向けの支援があります(割引率などの内容は公開されておらず、団体ごとの個別審査です)。

②手元のスイートでSSO(Entra ID / Google)

Microsoft 365やGoogle Workspaceのアカウントを「鍵」にして、SlackやZoomなど他のサービスにそのままログインする方法(シングルサインオン、SSO)です。Entra ID(旧Azure AD。Microsoft 365のログインを管理する仕組み)やGoogle Workspaceのログイン管理機能がこの「鍵」の役割を担います。覚えるログインが1つになるだけでなく、退職時にスイート側のアカウントを1つ止めれば、そこにつないでいた他サービスのログインもまとめて止まる状態を作れるのが大きな利点です。ただしこれには、連携先サービスでパスワードによる直接ログインを無効化しておくことと、アカウントを自動連携する設定(自動プロビジョニング)をしておくことが前提になります。連携先ごとに「パスワードでの直接ログインが残っていないか」の確認は必要です。すでに使っているスイートを活かせるのが魅力ですが、後述する「無料版の壁」があります。

向いているケース: Microsoft 365 Business Premium(非営利75%割引)など、有料プランを契約済みの団体。使いたい連携先のSSO対応がそのプランに含まれるかは事前確認が必要です。

③中立のID基盤(Okta for Good)

MicrosoftやGoogleのどちらにも属さない、ID管理専門のOktaを団体の「正面玄関」にする方法です。「中立」というのは、MicrosoftのサービスでもGoogleのサービスでも同じ入口としてログインを一元管理できる、という意味です。非営利団体はOkta for Goodでフル機能を50ライセンスまで無料で使えます。SSOに加えて、入職時のアカウント自動作成・退職時の一括無効化(あわせて「ライフサイクル管理」と呼びます。職員の入職から退職までのアカウントの発行・停止を自動化する機能です)まで無料枠に含まれます。

向いているケース: 無償プラン中心の団体、GoogleとMicrosoftが混在している団体、職員50人以下の団体。