セキュリティー研修「1Password」：パスワード管理の新常識
社員向けセキュリティー研修「パスワード管理の新常識 1Password 入門」の内容を、記事として読みやすくまとめました。テーマは「覚えるのは1つだけ。あとは金庫に任せる。」1Passwordの基本と、安全に使うためのルールを解説します。
1. なぜパスワード管理が必要か
パスワード1つの漏えいが、すべての扉を開けてしまう
使い回し：どこか1つのサービスから漏れたID・パスワードで、他のサービスにも次々ログインされる（リスト型攻撃）
推測しやすい：誕生日・社名・「password123」のような短く単純なパスワードは、機械的な総当たりで短時間で破られる
フィッシング：本物そっくりの偽サイトに誘導され、自分の手でパスワードを入力してしまう
人間が数十〜数百のサービスで、それぞれ長くて違うパスワードを覚えるのは不可能です。問題は人の努力不足ではなく、仕組みの問題です。
1Passwordは「暗号化された金庫」
覚えるのは金庫のパスワード1つだけ。中のパスワードは長く・ランダムで・全部バラバラにできます。
保管：ログイン情報・メモ・カード・ファイルを暗号化して保存
生成・自動入力：強いパスワードを作り、ログイン画面で自動入力
監視（Watchtower）：弱い・使い回し・漏えいしたパスワードを知らせる
共有：チームの共有保管庫（Vault）で安全に受け渡し
Windows・Mac・iPhone・Android・主要ブラウザで使え、端末間で自動同期されます。
料金プラン（基本料金）
Individual：年払い・月あたり3.99ドル（初年度 2.99ドル）— 個人で使う
Families：年払い・月あたり5.99ドル（初年度 4.49ドル）— 家族5人まで
Teams Starter Pack：年払い・月あたり24.95ドル（10名分）— 10名前後の小さな会社
Business：年払い・月あたり8.99ドル（1人あたり）— 管理機能が必要な会社
全プラン14日間の無料お試しがあります。出典：1Password公式 料金ページ（2026年11月確認、米ドル・税別）。料金は変わることがあります。初年度価格は新規ユーザー向けの期間限定割引です。
2. 安全の仕組み
金庫は「2つの鍵」がそろわないと開かない
アカウントパスワード：あなたの頭の中だけにある
Secret Key：あなたの端末の中に保存される長い英数字
暗号化キー：2つを組み合わせて初めて金庫が開く
だから、たとえ1Password社のサーバーが攻撃されても、盗まれるのは読めない暗号データだけ。1Password社の社員も中身は見られません。新しい端末で初めてサインインするときだけ、Secret Keyの入力（またはQRコードの読み取り）が必要です。普段はアカウントパスワードや指紋・顔認証でロック解除します。
ここだけは必ず守る：Emergency Kitは印刷して、安全な場所へ
Secret Keyが載った「緊急キット」（PDF）です。アカウントパスワードとSecret Keyを両方失うと、データは誰にも復元できません。
× デスクトップに放置
× メールで送る
× 写真に撮ってSNSへ
業務アカウントの復旧は管理者が支援できる場合があるので、困ったときはまず社内の管理者に相談しましょう。
3. インストールと初期設定
はじめる手順の全体像（目安 約20〜30分）
1. アカウントを作る：招待メールから。合言葉とEmergency Kit
2. PCアプリを入れる：Windows／Macにインストール
3. ブラウザ拡張を入れる：Chrome／Edgeで自動入力するため
4. スマホにも入れる：QRコードで簡単サインイン
5. おすすめ設定：指紋・顔認証、自動ロックなど
6. パスワードを引っ越す：ブラウザ保存分を1Passwordへ
唯一覚えるパスワードは「長い合言葉」で
長さが最優先：無関係な単語を4つ以上つなげる
ここ専用：他のサービスで一度も使っていないもの
誰にも教えない：上司・情シスにも。付箋にも書かない
悪い例：Tanaka1985!（名前＋生年。短く推測されやすい）
良い例：kumo-ringo-tetsu-hashiru（ランダムな4語。長くて覚えやすい ※この例は使わないこと）
1Passwordのパスワード生成機能には「覚えやすい単語の組み合わせ」を作るモードもあります。自分で考えるのが難しければ、それを使って作りましょう。
手順1：招待メールからアカウントを作成
1. 会社から届く1Passwordの招待メールを開き、参加ボタンをクリック
2. 名前を入力し、メールに届く確認コードを入力
3. アカウントパスワード（長い合言葉）を2回入力
4. Emergency Kit（PDF）をダウンロード → 印刷 → 安全な場所へ
5. 印刷できたら、PC内のPDFファイルは削除する
招待メールが届かない場合は、迷惑メールフォルダを確認しましょう。招待リンクには有効期限があることがあるので、届いたら早めに手続きします。
手順2：PCアプリのインストール
ブラウザで 1password.com/downloads を開きます（公式サイト以外からは入れない）。
Windowsの場合：
1. Windows版をダウンロード
2. ダウンロードしたファイルをダブルクリック
3. 画面の案内に沿って「次へ」
4. 終わるとアプリが自動で開く
Macの場合：
1. Mac版をダウンロード
2. ファイルを開いてインストール
3. 「アプリケーション」に入ったか確認
4. 1Passwordを起動
起動したら「サインイン」→ メールアドレス・Secret Key・アカウントパスワードを入力します。Secret KeyはEmergency Kitに載っています。
手順3：ブラウザ拡張機能の追加
自動入力はこの「拡張機能」が行います。普段使うブラウザすべてに入れてください。
1. Chromeは「ウェブストア」、Edgeは「アドオン」で 1Password を検索
2. 提供元が 1Password であることを確認して「追加」
3. パズルのアイコンから1Passwordをピン留め（常に表示）
4. PCアプリでロック解除すると、拡張機能も自動でつながる
偽物の拡張機能も出回っているので、提供元の確認は必ず行います。1password.com/downloads のページから各ブラウザ用の拡張機能に進むのが最も確実です。
手順4：スマホアプリはQRコードで簡単
インストール：
1. iPhoneは App Store、Androidは Google Play を開く
2. 「1Password」を検索してインストール
サインイン：
1. PCの1Passwordで「別のデバイスを設定」のQRコードを表示
2. スマホアプリの「サインイン」→「QRコードをスキャン」
3. アカウントパスワードを入力して完了
スマホの設定で 1Passwordを「自動入力」に指定すると、アプリやサイトでも自動入力できます（iPhoneは「設定」→「一般」→「自動入力とパスワード」、Androidは「設定」→「パスワードと自動入力」付近）。
手順5：最初にやっておく設定
PCアプリ：右上のメニュー（…）→「設定」から変更します。
指紋・顔認証でロック解除：ON（Windows Hello／Touch ID／Face ID）
自動ロック：PCがスリープ・ロックしたら1Passwordもロック
表示言語：日本語に変更できる
Watchtowerの通知：ON（漏えいなどを知らせてくれる）
ブラウザのパスワード保存：ブラウザ側の保存機能はOFF（二重管理を防ぐ）
メニュー名はバージョンで多少変わります。Chromeのパスワード保存は「設定」→「自動入力とパスワード」でOFFにできます。
手順6：ブラウザに保存したパスワードを移す
1. 1Passwordアプリの「インポート」を開き、移す元（Chromeなど）を選ぶ
2. 画面の案内どおりに取り込む（CSVファイルを使う場合あり）
3. いくつかのサイトで自動入力できるか確認
4. ブラウザに残ったパスワードを削除
CSVファイルはパスワードが丸見え。取り込んだらすぐ削除し、ゴミ箱も空にする。個人のパスワードを業務アカウントに混ぜないよう、移すのは業務用だけにしましょう。
4. 日々の使い方
毎日の使い方は3つだけ
自動入力：ログイン画面で1Passwordのアイコンをクリックし、候補を選ぶだけ
新規は自動生成：新しいアカウントを作るときは、1Passwordが提案するパスワードをそのまま保存
離席時はロック：席を離れるときはPCごとロック
合言葉：「自分でパスワードを考えない・覚えない・打たない」
自動入力は「偽サイト検知器」にもなる
本物のサイト：保存したURLと一致するので、ログイン候補が表示される
偽サイト：見た目がそっくりでもURLが違うので、候補が出ない
候補が出ないときは、手でコピー＆ペーストしない。URLを確認し、迷ったら社内の担当者へ。「なぜか自動入力が出ないから、1Passwordからコピーして貼り付けた」が最も危険なパターンです。
Watchtowerで「健康診断」を月1回
漏えいしたパスワード：最優先。すぐにそのサイトでパスワード変更
使い回し：1つずつ自動生成のパスワードに変更
弱いパスワード：自動生成のパスワードに変更
2段階認証が使えるサイト：設定をONにする
パスキーが使えるサイト：パスキーへの切り替えを検討
全部を一度に直す必要はなく、漏えい→使い回し→弱い、の順で少しずつ直せばOKです。
パスワードの次の守り：2段階認証とパスキー
2段階認証：パスワードに加えて、スマホに表示される6桁のコードなどで本人確認。パスワードが漏れても、それだけでは入られない
パスキー：パスワードの代わりに端末の暗号鍵でログイン。偽サイトでは使えないため、フィッシングに強い。1Passwordに保存して端末間で使える
1Passwordはワンタイムコード（TOTP）を保存して自動入力できます。便利な一方、パスワードとコードが同じ場所に集まるため、重要システムは別アプリに分ける運用の会社もあります。コードの保存場所は社内ルールに従いましょう。
5. 社内ルールと困ったとき
パスワードは「送らない」。保管庫で「共有する」
OK：こうする
チーム用の共有保管庫（Vault）に入れる
社外へは有効期限付きの共有リンクで
業務用は会社のアカウントにだけ保存
異動・退職時は管理者が権限を整理
NG：やらない
チャット・メールにパスワードを貼る
Excelや付箋で一覧管理する
業務用を個人の保管庫に入れる
1人のアカウントを複数人で使い回す
共有リンクは1Passwordを持っていない相手にも送れますが、期限と閲覧回数を必ず絞りましょう。
こんなときは
PC・スマホをなくした：すぐに社内の管理者へ連絡。端末の登録解除を依頼
アカウントパスワードを忘れた：自分で何度も試さず、管理者に復旧を依頼
怪しいメールのリンクを開いた：入力したパスワードをすぐ変更し、管理者へ報告
海外出張に行く：「トラベルモード」で不要な保管庫を端末から一時的に外せる
トラベルモードは、出発前にWeb版でONにすると「旅行に安全」と指定した保管庫以外が端末から削除され、帰国後にOFFにすると戻ります。
まとめ：今日から守る5つのチェック
1. アカウントパスワードは長い合言葉。ここ専用、誰にも教えない
2. Emergency Kitは印刷して安全な場所に保管
3. パスワードは自動生成・自動入力。候補が出ないサイトは疑う
4. Watchtowerを月1回確認し、漏えい→使い回しの順に直す
5. チャット・メールで送らない。共有は保管庫で
コメント