ID／パスワード管理の実態とシステム導入状況（2022年）／後編

アンケートで、ID／パスワード管理にまつわる自社の問題について尋ねたところ、いまだに危険な方法で管理している“アナログ社員”の存在にへきえきとするIT部門の声が寄せられた。

[キーマンズネット]

　増え続けるIDとパスワード管理に焦点を当てて、現場課題と管理課題を探るために実施した本アンケート調査企画（期間：2022年8月5日〜12日、回答者数：253）。前編では、業務アプリのクラウドシフトに伴って従業員が管理するID／パスワードが増加傾向にあり、2020年の調査と比べると「7個以上増加した」と回答した割合が伸びを見せたことに触れた。後編は、ID管理をシステム化する目的や、ID管理にまつわる困った事例、管理をシステム化しない企業の意見などを紹介する。なお、グラフで使用している合計値と合計欄の値が丸め誤差により一致しない場合があるため、あらかじめご了承いただきたい。

ID管理の導入目的「効率化重視派」と「セキュリティ重視派」に　

　まず、「ID／パスワード管理システムを導入している」と回答した人に対してシステムの導入目的を聞いたところ、「シングルサインオンの実現のため」が最も多く58.2％、次いで「セキュリティ向上やリスクマネジメントなどのため」（56.0％）、「社員の業務効率化のため」（40.7％）と続いた（図1）。

図1　勤務先におけるID／パスワード管理システムの導入目的

　回答の多い上位4項目を整理すると「セキュリティ向上やリスクマネジメントなどのため」「コンプライアンスや内部統制のため」といった「セキュリティ重視」に関する項目が合計して95.6ポイント、反対に「シングルサインオンの実現のため」「社員の業務効率化のため」といった「効率化重視」が98.9ポイントだった。

　2年前の調査では6.7ポイント差で「セキュリティ重視」の割合が高く、4年前の調査では21.0ポイント差で「効率化重視」が多くの票を得た。今回の調査では両者の差が縮まってきたことが分かる。どちらか一択ではなく、より多面的な視点で導入を考えている表れとも言える。

　関連してID／パスワード管理システムと連携するシステムやサービスについても聞いたところ、最も多かったのは「勤怠管理システム」で62.6％、次いで「Microsoft 365／Office 365」（53.8％）、「グループウェア」（53.8％）となった（図2）。2年前の調査で1位だった「基幹系システム」は今回上位であるものの順位は下がり、効率化や使い勝手の観点で情報系ツールを中心に連携が進んでいるとみられる。

図2　ID／パスワード管理システムと連携しているシステム及びサービス

いまだにパスワードを付箋でメモ……周りにいる問題社員

　次にID／パスワード管理システムの導入有無にかかわらず、ID情報の管理、運用について困っている点や課題点をフリーコメントで聞いたところ、大きく分けて3つの意見に分かれた。

IT部門における課題

シングルサインオンが適応できないシステムがあるので、都度入力する必要がありムダな時間を取られています。

クラウドサービスの利用が増加して困っているのは利用部門だけではありません。情報システム担当者の負荷も一気に増えましたよ。

使用するIDとパスワードが増えたことで利用部門で“パスワード忘れ”が頻繁に発生し、問い合わせ対応にへきえきとしています。

セキュリティ、運用上の課題

いまだにIDやパスワードを付箋に書いて、PCにべたべたと貼り付けている問題社員がいます。

何度注意喚起してもパスワードの使い回しが止まりません。

働き方の変化によって生じた課題

テレワークで業務を進めていますが、社内システムにログインするだけで3つ以上のIDとパスワードが必要で、都度の入力が面倒です。

社内で利用するクラウドサービスが乱立していて、もう個人では管理しきれません。

　その他、「重要性を上層部が理解できないため予算が取りにくい」といった、外部環境の変化とともに増えるID／パスワード管理の課題を経営層が理解していないことで、セキュリティと利便性の両立を図る体制構築が難しいことを嘆く声もあった。

ID管理システム未導入企業の管理実態

　システムで管理しようと積極艇な企業がある一方で、ID／パスワード管理システムを「導入する予定はない」とした企業にはどういった理由があるのか。

　「現在は導入しておらず、今後も導入予定がない」とした回答者にその理由を尋ねたところ、「導入コストが高いため」（28.4％）、「必要性を感じないため」（26.5％）、「社内での優先順位が低く予算が取れないため（25.3％）」が上位に挙がった（図3）。

図3　ID／パスワード管理システムを導入しない理由

　これを2年前の調査と比較すると上位3項目に変化はなかったものの「必要性を感じない」が8.6ポイント減少し、「導入コストが高いため」が4.1ポイント増加した。COVID-19のパンデミックやウクライナ情勢の悪化が世界的な景気後退を招く中で、売り上げに直接つながらないシステムへの投資を控えている事情があるのかもしれない。

　一方で、ID／パスワード管理システムを導入していない企業に対して「代替策」を聞いたところ、「各自に任せている」といった担当者任せの声が多く上がった。具体的には「テキストファイルに保存」「紙に書いて管理」「Excelなどで管理」「携帯電話のメモやメーラーに記録」などのローカル保存に加え、「自身で設定したパスワードをWebブラウザに保存」「無料のパスワード管理アプリを使用」といったセキュリティ面で疑問符の付く危い対応を採っている声が寄せられた。

　管理部門がこうした実態を把握できていなければ、見えない情報漏えいのリスクを抱えることになる。企業として、早期の実態把握と対応が必要だろう。