二段階認証を入れたら、社員が締め出されました——守りは「破られない」と「止まらない」の両方で見る

二段階認証を必須にしたあと、社内から報告が上がってきました。

「パスワードが変えられません」

安全にしたつもりが、使えなくしていました。

私たちは建設会社で、この半年ほどは社内で使うAIツールを自分たちで作って回しています。守りの話は鍵の穴を見つけた話でも書きましたが、あれは外から入られる穴の話でした。今回は逆で、中の人が締め出された話です。

何が起きていたか

二段階認証は、パスワードに加えてもう一つ、スマホなどに出る数字を入れてもらう仕組みです。パスワードが漏れても、それだけでは入れません。

うちは、これを全員必須にしました。原価も、勤怠も、取引先の情報も入っている画面なので、ここは緩めない方がいいと判断したためです。

問題は、その後に起きました。

パスワードを忘れた人が、再設定をしようとする。ところが、二段階認証を登録している人だと、その手続きの途中で止まってしまう。守りを強くした結果、正規の利用者が自分のパスワードを直せなくなっていたわけです。

直し方そのものは単純で、再設定の途中にも本人確認の一手間を入れるようにしました。これで、安全性は落とさずに、本人はちゃんと変えられます。

気づいたのは「破られる穴」だけ見ていたこと

この件で反省したのは、点検の観点でした。

守りの点検というと、外から入られないかを見ます。パスワードは強いか、認証は二段になっているか、権限は絞られているか。ここばかり見ていました。

でも、実際に業務が止まるのは、入れなくなったときでもあるんですよね。

• 認証のアプリを入れたスマホを機種変更した
• スマホを紛失した、壊れた
• 担当者が辞めて、その人のアカウントに紐づいていた

こういう場面で、誰も入れない状態になると、その日の仕事が止まります。外から破られる確率より、こちらの方が高い頻度で起きます。

守りは、破られないことと、止まらないこと。この二つで見ないといけなかったな、と思っています。

建設会社で、これが特に重い理由

現場の方は、スマホを持っています。LINEも使います。ただ、業務のアプリで詰まったとき、自分で解決しようとする人は多くありません。

そして、締め出されたときに何が起きるか。

電話がかかってくれば、まだいい方です。多くの場合、かかってきません。その日は紙で済ませて、それきりになります。誰も困っていないように見えて、実は一人静かに離脱している。これが一番もったいない形です。

道具が使われなくなる理由は、機能が足りないからだと思われがちですが、入るのに手間取ると人はやめてしまうという話は前にも書きました。認証はその入口そのものなので、影響が大きいところです。

パスワードをエクセルで管理している会社へ

現場でよく見かけるのが、パスワードの一覧をエクセルにまとめて共有フォルダに置いてある状態です。

これを責めるつもりはありません。実際、それ以外に方法がないまま来た会社は多いと思います。誰かが休んでも仕事を止めない、という意味では、合理的な判断だった面もあります。

ただ、この状態には二つの弱点があります。そのファイルが取られたら全部持っていかれることと、誰がいつ使ったか分からないことです。

いきなり全部を変える必要はないと思います。順番としては、

1. まず、外から見える入口（メール、会計、クラウドのファイル置き場）だけ二段階認証にする
2. そのうえで、締め出されたときに誰に言えばいいかを決める
3. パスワードの共有をやめるのは、その後でいい

一気にやろうとすると、現場が止まります。止まると、元のやり方に戻ります。

入れる前に決めておく三つ

これから二段階認証を入れる会社に、うちの失敗から言えることです。

一つ目、締め出されたときの戻し方を先に用意する。入れる手順より、こちらが先です。誰が解除できるのか、その人が休みのときはどうするのか。ここが決まっていないと、最初の一人が詰まった時点で全体が止まります。

二つ目、社長も同じものを使う。社長だけ免除にすると、詰まったときの面倒さが分かりません。分からないまま「使え」と言っても、続きません。

三つ目、全社一斉にしない。まず数人で始めて、詰まる場所を洗い出してから広げる方が結局早いです。うちも、最初に詰まったのが自分たちだったので直せました。

よくある質問

Q. 二段階認証は、そこまで必要ですか。

A. 扱っている情報によります。ただ、パスワードだけで守られている状態は、漏れた時点で終わりです。取引先の情報や、社員の個人情報を扱う画面には入れておいた方がよいと思います。全部に入れる必要はありません。

Q. 現場の社員が「めんどくさい」と言います。

A. 実際、めんどくさいです。ここを「安全のためだから」で押し切ると、続きません。毎回ではなく、いつもの端末では省ける設定にできる場合が多いので、まずそこを確認してみてください。頻度が下がるだけで、印象はかなり変わります。

Q. 認証アプリを入れたスマホを機種変更するときは。

A. 変える前に、移行の手続きをしてください。ここは順番を間違えると本当に入れなくなります。うちでは、機種変更の予定が分かった時点で一声かけてもらう運用にしています。

守りは、二つの向きで見る

セキュリティの話は、どうしても「破られないか」に寄ります。それは大事です。

ただ、道具として使われ続けるためには、入れなくなったときに戻せるかも同じくらい大事でした。ここが弱いと、いざというとき業務が止まりますし、静かに使われなくなります。

自社の仕組みを点検されるときは、入られる方だけでなく、締め出される方も一度試してみてください。パスワードを忘れたつもりで、自分で再設定をやってみる。それだけで、思わぬところが見つかります。うちはそれで見つかりました。

このテーマの記事はまとめ：建設会社のAIとセキュリティに読む順番で並べています。

---

まず全体像を知りたい方も、自社の場合に個別に相談したい方も、相談する（フォーム・送信後に折り返し）をご利用ください。建設業のAI屋として何をして、何をしないかはこちらにまとめています。