法人向けパスワード管理の選び方

機能一覧ではなく、脅威から始める

法人向けパスワード管理は、3つの具体的な失敗を正すために存在します。チャットや表計算で共有され、一度も変更されない認証情報。退職後も業務用のアクセスを持ち続け、その人が何を知っていたか誰も覚えていない状態。そして、1台のノートパソコンの侵害が、全社で共有しているすべてを露出させること。この3点で製品を評価すれば、機能比較表はずっと短くなります。

本当に重要な4つの性質

1. クライアント側で行うゼロ知識の暗号化

ベンダーが保管庫を読めるなら、ベンダーを侵害した攻撃者にも読めますし、ベンダーに送達された裁判所命令によっても読まれます。正確な棚卸しを求めてください。どの項目が端末上で暗号化され、どれがサーバー側で読めるのか。タイトルや URL も対象です。（入門：ゼロ知識暗号化の本当の意味）

2. 暗号的に効力を持つ退職時の権限取り消し

メンバーを外す処理は、権限のビットを反転させるだけでは足りません。正直な仕組みは、該当する保管庫を新しい鍵で暗号化し直し、退職者の端末がかつて持っていた鍵の材料を無意味にします。取り消し時に技術的に何が起きるのかを各ベンダーに尋ねてください。回答は、パンフレット以上にばらつきます。

3. ディレクトリに追随する ID

サインインは、すでに運用している ID 基盤（Microsoft Entra ID、Google Workspace）に相乗りすべきです。そうすれば入社者は勤務先アカウントでアクセスでき、退職者は同じアカウントでアクセスを失います。重要な追加質問は、SSO は暗号化の前提を弱めないかです。正しい設計は両者を分離し、SSO はあなたが誰かに答えるだけで、復号鍵は今も端末上の秘密からのみ生まれます。

4. 契約書面に書かれた撤退の権利

試用期間が終わったら、カードが失効したら、あるいは単に解約したら、何が起こるのか。受け入れられる答えは、サポートとのチャットではなく規約に書かれた、安全といえる十分な期間の読み取り専用アクセスと書き出しです。データを人質に取れる保管庫は、自らの役割を取り違えています。

契約前に確認したい価格設定の落とし穴

• 階層で売られるセキュリティ。SSO、監査ログ、ポリシー制御が上位プランにしかないなら、安いプランは意図的に安全でないということです。プランの違いが保護ではなく数え方にあるベンダーを選んでください。（Keyvaci の立場：すべてのセキュリティ機能をすべてのプランに）
• 席のまとめ買い。お支払いは、実際に在籍する人の分を日割りで行うべきであり、空席の束を前もって買うものではありません。
• 更新時の急な値上がり。1年目以降の価格がいくらになるのかを、書面で確認してください。

チームが実際に回せる1週間の評価

1. 1日目：試用で組織を作成します。最初の実際の認証情報を保存して共有するまでの時間を計測してください。秘密が画面やメールに現れた手順をすべて記録します。
2. 2日目：実在するメンバー3人を、ディレクトリ経由で登録します。ディレクトリ側で停止したアカウントが、保管庫へのアクセスを失うことを確認してください。
3. 3日目：退職対応の訓練を実施します。共有保管庫から1人の権限を取り消し、暗号的に何が起きたのかについてのベンダーの説明を確認します。
4. 4日目：非常時の手順を試します。1人のメンバーにマスターパスワードを「忘れて」もらい、復旧の流れを最後まで実施してください。どの段階で、誰が何を読めましたか。
5. 5日目：自分たちの1週間の監査ログを読みます。「銀行のパスワードを、誰がいつ見たか」に、サポートへ問い合わせずに答えられますか。

この1週間を正直に乗り切った製品は、真剣な候補です。Keyvaci は、まさにこの訓練にかけられることを前提に作られています。14日間の試用で、カードは不要です。 中で何が見つかるか。

候補の比較

どのような候補リストを作るにせよ、すべての候補に同じ1週間の訓練を実施し、3点を並べて比較してください。取り消しと復旧のときに技術的に何が起きたか、各セキュリティ機能がどの価格帯に属しているか、そして支払いを止めた後のデータについて規約が何を約束しているか。この3つの答えは、どんな機能比較表よりも早く製品をふるい分けます。