モニターの縁に付箋、キーボードの裏、引き出しの中のメモ帳。パスワードを紙に書いて管理している状態は、多くの職場に残っています。禁止を通達しても数か月で戻るのが実情です。この記事では、なぜ戻ってしまうのかを整理したうえで、「書かずに済む状態」をどう作るかを負担の小さい順に扱います。
結論から言うと、パスワードをメモ帳・付箋・紙に書いて保存すること自体よりも、「見た人がそのままログインできる」状態が危険です。この記事では、実際に起きる被害と、書かずに済む方法を順に説明します。
なぜ付箋がなくならないのか
原因は本人の意識ではなく、覚えられない量のパスワードを覚えるよう求めていることです。この状況で「書くな」と言えば、見つかりにくい場所に隠すだけです。
付箋が生まれる職場と、生まれにくい職場
書き留めたくなる状態
- 業務のパスワードが10個以上
- サービスごとに文字種・長さの条件が違う
- 定期変更の強制で覚え直しが続く
- 忘れると業務が止まる
書かずに済む状態
- 覚える数が少ない
- 期限による強制変更をしない
- 管理ツールやワンタッチで打つ場面が少ない
近年は期限による強制変更を求めない方向が主流です。考え方は パスワードポリシーの設計で扱っています。
自社のログイン運用チェック（1/10問）
業務で使うPCへのログインは、いまどの方法ですか？
選ぶと2問目へ進みます。残り9問・約3分。入力欄なし・登録不要です。
PC版 月1,800円／台（初期費用0円）・サーバー版 月20,000円／台。初月無料ではじめられます（税別・目安）
実際に起きること
付箋で問題になるのは、社員による悪用よりも社外の目と、回収できないことです。紙を見られても形跡は残らないため、気づくきっかけはログイン記録の側に置くことになります。
| 場面 | 何が起きるか |
|---|---|
| 清掃・点検・来客・保守ベンダー | 短時間でもスマートフォンで撮影されれば記録が残る |
| 採用サイト・社内報・SNS・オンライン会議の背景 | 意図せず公開された画像に写り、不特定多数に届いた後で回収できない |
| 退職 | 持ち出されても分からない。アカウント削除自体も漏れやすい（退職者アカウントの棚卸し） |
パソコンのメモ帳（テキストファイル）やExcelに保存するのは危険か
「パスワード.txt」やExcelの一覧は紙より安全に見えますが、ファイルには紙にない危険があります。
| 危険 | 内容 |
|---|---|
| 誰でも開ける | 共用PCや共有IDのPCでは、ログインした全員が開ける |
| 勝手に複製される | 同期・バックアップ・メール添付で、知らない場所にコピーが残る |
| まとめて盗まれる | 「パスワード」という名前のファイルやブラウザの保存情報を探して送り出すウイルスがある |
| 検索で見つかる | Windowsの検索で「パスワード」と入れれば見つかる |
Excelにパスワードを掛けても、それをまた覚える必要があります。付箋もメモ帳もExcelも、原因は覚えきれない量を覚えさせていることで共通しています。
ポイント
Windowsのログインは、パスワードを知っていれば誰でも本人として入れます
付箋やメモ帳を見た人は、そのパスワードで本人として入れます。置き場所を変えるだけでなく、パスワードだけでは入れない状態にすれば、見られただけでは入れなくなります。
パスワードだけのログイン
漏れた・推測された・メモを見られたパスワードで、そのまま本人として入れます。記録の上でも本人と区別できません。
2要素認証のログイン
パスワードに加えて、本人だけが持つもの（スマホなど）が必要です。パスワードを知っているだけでは入れません。
- VPNや社内Wi-Fiから社内に入られたあと、被害がPC・サーバーへ広がるかどうかは、このログインの部分で決まります。
- 顔・指紋・PIN（Windows Hello）は、ログインを簡単にする仕組みで、2要素認証ではありません。
- 2要素認証というと手間が増えそうですが、本人のスマホを鍵にしたワンタッチログインなら、初回の設定のあとはPINもWindowsのパスワードも打たずに、スマホのワンタッチで入れます。長いパスワードを覚えて打つ手間は、むしろなくなります。
代替手段：負担の小さい順
「書かなくても業務が回る状態」を作るのが目的です。禁止の通達は手段になりません。
| 手段 | 効果と注意点 |
|---|---|
| ① 定期変更の強制をやめる | 費用ゼロで書き留める動機を最も直接減らせる。代わりに使い回し禁止・漏洩時の即時変更・十分な長さを条件にする（グループポリシーの設定） |
| ② パスワード管理ツールを配る | 覚える対象を1つに減らす。ツール自体が突破されると影響が大きいので、必ず二要素認証を掛ける |
| ③ ログインの回数自体を減らす | シングルサインオンで認証の場面を減らす。PC本体や社内サーバーへのログインは対象外になりやすい（SSOの基本と限界） |
| ④ 覚える必要のない認証に変える | ICカードや生体認証で文字列を覚えない形にする（生体認証・ハードウェアキー・費用構造） |
やってはいけない対処
| 対処 | なぜ良くないか |
|---|---|
| 禁止の通達だけ出す | 見つかりにくい場所へ移るだけで、管理側から見えなくなる |
| 抜き打ち検査で指摘する | 隠す動機を強め、実態把握がさらに困難になる |
| 共有のパスワード一覧を作る | 1か所が漏れると全アカウントに波及する |
| 条件をさらに厳しくする | 覚えられなくなり、書き留める動機が増える |
付箋は、規則が現場の実行可能性を超えていることを示す症状です。症状を隠すのではなく、規則の側を実行できる水準に合わせる方が結果につながります。
すぐできる確認
現状を把握するには、次の3点を見るだけで十分です。
- 1人あたり、業務で使うパスワードは何個あるか
- 定期変更を強制しているか。強制している場合、何日ごとか
- 管理ツールを配布しているか。配布している場合、二要素認証を掛けているか
1つ目が5個を超えていて、2つ目が「あり」で、3つ目が「なし」なら、付箋は必ず存在します。探すまでもなく構造的にそうなります。
全PC・サーバーを1台ずつ見て回らずにまとめて管理する方法はADなしで社内のPC・サーバーをまとめて管理する方法、さらにログインを2要素認証にする方法はOSログイン・PCログインの二要素認証、Active Directoryがない会社が1台から始める手順はADなしでPCログインに2要素認証を入れる方法にまとめています。
普段の管理が楽になると何が変わるか
付箋をなくす取り組みは、社員にとっては「覚えるものが減る」、担当者にとっては「パスワードを忘れた・ロックされたで呼ばれる回数が減る」という形で返ってきます。ログイン記録を1か所で見られるようにしておけば、付箋を探して見回るより、「いつもと違うログインがないか」を画面で確かめるほうが早く済みます。取引先から「パスワードの管理はどうしていますか」と聞かれたときも、記録を見せて説明できます。
よくある質問
付箋を貼るのは本人の意識の問題ではないのですか
覚えられない量を覚えるよう求めている場合、意識では解決しません。パスワードの個数と変更頻度を減らす方が確実です。
パスワード管理ツールは安全ですか
突破された場合の影響が大きいため、ツール自体に二要素認証を掛けることが前提になります。掛けない運用では、リスクを1か所に集めただけになります。
パスワードをメモ帳やExcelに保存するのは危険ですか
危険です。そのPCに入れる人なら誰でも開け、同期やバックアップで複製され、ウイルスにまとめて盗まれることがあります。付箋と同じく、覚えきれない量のパスワードを求めていることが原因なので、覚える量を減らす対策が必要です。
紙に書くことが絶対に禁止されている規格はありますか
一般に規格は「紙に書くな」という形ではなく、権限のない者がアクセスできない状態を求めます。施錠された場所での保管が認められる場合もありますが、モニターや机上への貼付はその条件を満たしません。
いまの運用を棚卸ししてみる
applippliの無料棚卸しでは、10問・約3分で、パスワードの管理と認証の状況を、「解決済み／一部解決／人手で対応／未解決」に仕分けた一覧にできます。結果はPDFレポートでもお届けします。個人情報の入力は不要で、会員登録もありません。
会社全体の不正アクセス対策をどこから進めるかは、不正アクセス対策とは 侵入経路別の優先順位で、2026年の統計と事例をもとに整理しています。