共有パスワードをExcelやチャットで回すのをやめる手順：パスワード管理SaaSを小さく導入する(2026)

SNSの公式アカウントや取引先ポータル、共用メールのIDとパスワードをExcelやチャットで回している、従業員10〜100人規模の会社の情シス兼任者・総務の方向けに、パスワード管理SaaSを小さく導入する4つの手順をまとめました。

最終更新: 2026年9月22日／出典はすべて同日に原文を取得して確認しています。出典名のない判断は編集部によるものです。製品の実機操作はしていません。料金や機能は変わるため、契約前に公式ページをご確認ください。

共有パスワードの何が問題で、パスワード管理SaaSで何が変わるか

IPA「中小企業の情報セキュリティ対策ガイドライン」第4.0版(第2部 3.(5)①「ID アクセス制御」、p.31)は、こう書いています。

「共有 ID はなるべく使わないようにし、やむを得ず使う場合は共有 ID を利用したユーザーを特定可能とするような仕組みを整備して規定の通り運用しましょう。」

同じページは、保管方法についても「紙、ファイル、パスワード管理アプリ等、各保管方法の違いを理解し、自社に適したパスワードの全般的な管理ルールを定め」るよう求めています。総務省「国民のためのサイバーセキュリティサイト」の「アカウント管理」は、正規のIDとパスワードが攻撃者に入手される原因として「退職したユーザのアカウントを利用」「長期間変更されていない共有アカウントの利用」を挙げています。

以下、保管庫は1Passwordの vault、Bitwardenの collection を指します。

変わらないこともあります。Bitwarden の「Onboarding and Succession Guide」は “once a credential is shared, it is technically possible for the recipient to keep it.”(一度共有した認証情報は、受け取った人が控えておくことが技術的に可能)としています。止められるのは保管庫への出入りだけなので、移行後と退職時にパスワードを変えます(下図)。

製品候補：1Password と Bitwarden の料金と選び方

比較するのは 1Password と Bitwarden です(Keeper などは未確認のため扱いません)。

出典: 各社の法人向け料金ページ。Bitwarden は「Taxes not included.」としています。円換算は日本銀行「外国為替市況」2026年9月18日(金)のドル／円 中心相場 157.10円(9月22日時点で最新の営業日)による目安です。

Bitwarden のヘルプ「Event Logs」には「Viewed password for item」などの記録項目があります。1Password の組み込みグループ(Owners・Administrators など)は両プランにあります。記録と回復の両方を取ると、1Password Business か Bitwarden Enterprise です。

手順①：共有しているIDとパスワードを棚卸しする

広報・営業・経理・総務に「複数人で使っているログイン」を聞き、1件1行で書きます。表が漏れたときに備え、パスワードそのものは書きません。

「知っている人」が埋まらない行は「不明」と書き、手順③で変える対象にします。

確認コードが特定の人の携帯に届くアカウントは、その人が辞めると入れなくなります。多要素認証の見直しは、jisalabのSaaSのセキュリティ設定を固める手順で扱っています。

手順②：保管庫を用途ごとに切り、管理者を2人以上にする

例は「広報(SNS)」「経理(取引先ポータル)」「営業(共用メール)」「管理者専用(ドメイン、DNS、各SaaSの管理者)」です。部署をまたぐIDは用途で切り、メンバーはグループで付けます。

「パスワードを隠して使わせる」設定には頼りすぎないでください。Bitwarden のヘルプ「Collection Permissions」は、パスワードを隠す権限について “Hidden fields limit but don’t prevent access. Treat hidden passwords as shared credentials” としています。1Password も、表示・コピーの制限について “These permissions shouldn’t be relied on to prevent hostile behaviour or enforce trust.” としています。隠していても、保管庫に入れた人は「知っている人」として扱います(編集部)。

共有時の権限も違います。Bitwarden は既定で「View items」(閲覧)です。1Password は共有したメンバーが閲覧・編集できるとしているので、閲覧だけの人は共有後に絞ります。

管理者の人数は、両社とも2人目を置くよう勧めています。1Password の組み込みグループの説明は「Add a second owner to your organization as soon as possible」、Bitwarden の「Member Roles」は “we highly recommend assigning at least one additional owner.” です。1Password は、自分のアカウントは自分で回復できないことも理由に挙げています。この記事の推奨は、オーナー2人に、招待や回復を任せる管理者1人を足す形です。

手順③：移行し、元の置き場所を消し、重要なものはパスワードを変える

CSVで取り込む

• 1Password: 1Password.com で名前のメニューから Import data を開き、CSV File を選びます。ログインの行には、ユーザー名・パスワード・ウェブサイトの欄が必要です。
• Bitwarden: 組織への取り込みはウェブアプリの Admin Console の Settings → Import で行います。自分で作るCSVは、1行目に collections,type,name,notes,fields,reprompt,login_uri,login_username,login_password,login_totp の見出しを置いた UTF-8 のファイルにします。取り込み先のコレクションも選べます。

Bitwarden は “Importing does not check for duplicates.” としているので、保管庫ごとにファイルを分けて1回で取り込み、Excelからは「CSV UTF-8」で保存します(編集部)。

元の置き場所を消す

1Password のヘルプは、取り込み後に “delete the unencrypted CSV file”(暗号化されていないCSVを削除)するよう書いています。この記事はこれを元のExcelにも広げ、次の4つを消します(編集部)。

1. 取り込んだCSVと元のExcel
2. 共有フォルダに残る過去の版とごみ箱
3. チャットに貼った投稿
4. 引き継ぎ書やマニュアルへの書き写し

消す前に、保管庫の項目でログインできることを確かめます。

パスワードを変える

移しても、Excelを開いた人はパスワードを知ったままです。「知っている人」に退職者・外部の人・「不明」がある行と重要度が高い行は、パスワードを変えて保管庫を更新します。新しい値を保管庫の生成機能で作れば、知っている人は保管庫に入れる人だけになります。

総務省のサイトは定期的な変更は不要とし、流出時に速やかに変更するというNISCの見解を紹介しています。この変更は定期変更ではなく、「誰が知っているか分からない」状態を一度終わらせるものです(編集部)。

手順④：退職・異動の手順と、アカウント回復の手段を決めておく

退職・異動のとき

1Password のサポート「Offboard a team member」は、退職時を「項目を共有の保管庫へ移す→一時停止→共有していたパスワードを変える(Step 3: Change shared passwords)→削除」の4段階にしています。Step 3 は、管理者だった人は管理できる保管庫の全パスワードを見たと仮定するとしています。

1Password のヘルプは、停止時にその人がオフラインだと、次にネットにつないでロックを解除しようとするまで項目にアクセスできるとしています。Bitwarden のヘルプは、アクセスを取り消した(revoke)メンバーは組織の項目に入れなくなるとしています。どちらでも、止めた後に端末や記憶に残った分はパスワード変更でしか無効にできません(編集部)。

入退社全体は、jisalabの入退社でSaaSアカウントを取りこぼさない手順で扱っています。

マスターパスワードを忘れたとき

どちらも事業者はパスワードを戻せません。1Password のサポートは「We have no access to your 1Password account passwords or Secret Keys, so we can’t reset or recover them for you.」、Bitwarden のヘルプは “Bitwarden has no way to access, retrieve, or reset your master password.” としています。回復は社内の管理者が行います。

• 1Password: オーナーと管理者(Business では「Recover Accounts」権限のカスタムグループも)が回復でき、回復された人は新しい Secret Key とパスワードで入り直します。回復できる人が全員締め出されたときに備え、Emergency Kit の保存も案内しています。
• Bitwarden: 管理者による回復(Account recovery)は Enterprise の機能で、ポリシーの有効化とメンバーの登録が要ります。ほかに手段がなければ、アカウントを作り直します。

Bitwarden Teams なら、個人の保管庫は戻らない前提で、仕事の項目は必ず組織のコレクションに置きます。

試算：20人・共有ID40件の会社の場合

時間は編集部の仮定で、実測値ではありません。変更の10分は、ログイン、変更、保管庫の更新、確認、関係者への連絡の1件分です。多要素認証の付け直しなどは含めません。変更を重要な行に絞れば短くなります。

20人の年額は、1Password Teams Starter Pack が$898.20(追加10席込み、約141,107円)、Bitwarden Teams が$960(約150,816円)、Bitwarden Enterprise が$1,440(約226,224円)、1Password Business が$2,157.60(約338,959円)です(1ドル157.10円、税別)。Teams Starter Pack は計20人が上限なので、1Passwordを続けるなら21人目からは Business(21人で$2,265.48、約355,907円)への移行が要ります。

導入でつまずきやすい3つの点

• 多要素認証の置き場: Bitwarden の Teams と Enterprise には「Integrated authenticator (TOTP)」の行があり、確認コードも保管できます。ただし同じ保管庫に入れると、破られたときに両方が渡るので、重要なアカウントは別の手段も検討します
• ブラウザ拡張機能の配り方: 1Password は Chrome、Safari、Edge、Firefox、Brave の拡張機能を両プランで提供しています。入れ方を1枚にして配り、ブラウザ自体の保存と二重にしないよう保存先を決めます
• 共用アカウントが多すぎる: 担当者ごとのアカウントや複数の管理者を置けるサービスなら、共有をやめるほうが先です。SSO(シングルサインオン)も選択肢です

次に取る行動

よくある質問