3年間、社内のパスワード一覧が公開されていた話

見つけたときの話

社内のID・パスワードを、スプレッドシートで管理していました。共有が簡単で、検索もできる。多くの会社でやっていると思います。

管理方法を見直すことになり、そのファイルの共有設定を確認しました。

「リンクを知っている全員が編集可」になっていました。しかも、作成から3年ほど経っていました。

何が起きていたか

幸い、実害は確認されていません。URLを知らなければ到達できないので、偶然たどり着く可能性は低い。

ただ、「たまたま大丈夫だった」だけです。URLはどこかにコピーされているかもしれないし、検索に拾われる可能性もゼロではありません。

問題は、3年間、誰もそれに気づかなかったことです。

なぜ気づけなかったか

振り返ると、理由ははっきりしています。

共有設定を確認する機会がなかった。
ファイルを作るときに設定して、それきりです。後から見直す運用がありませんでした。

「社内用」だと思い込んでいた。
社内で使っているファイルだから、社内にしか見えていないはず、という前提。実際には設定次第です。

危険なファイルほど、共有を広げがち。
みんなが使うファイルなので、権限で弾かれないように広く設定してしまう。危険度と共有範囲が逆相関していました。

やったこと

対応は2段階でした。

すぐにやったこと。
共有設定を制限付きに変更。これは即座にできます。

そのあとにやったこと。
パスワード管理の専用サービスに一本化しました。300件以上を移行する作業になりました。

移行して分かったのは、同じパスワードを複数のサービスで使い回しているものが相当数あったことです。スプレッドシートで管理していると、一覧で見ても気づきません。

一番大変だったのは移行ではない

作業として重かったのは、移行そのものよりそのあとのパスワード変更でした。

3年間公開されていた可能性があるので、記載されていたパスワードは全部変更するのが筋です。件数が多いと、これが終わりません。

優先順位をつけました。金銭に直結するもの、顧客情報にアクセスできるもの、外部に公開されているサービスの管理画面。この順で変更する。

全部を一度にやろうとすると止まるので、段階的に進めています。

書いておく理由

これを公開するのは、自社の不備を晒すことになります。それでも書くのは、同じ状態の会社が多いと思うからです。

スプレッドシートでのパスワード管理は、広く行われています。そして共有設定は、作ったときのまま放置されがちです。

心当たりがあるなら、今すぐ確認してみてください。5秒で分かります。

定期的に見る仕組みを入れる

再発を防ぐために、共有設定の棚卸しを定期的にやることにしました。

重要なファイルについて、半年に一度、共有範囲を確認する。これを予定として登録しておく。

人の注意力に頼る対策は、必ず抜けます。予定として組み込むしかない、というのが今回の学びです。