共有アカウントについて

複数の人間でアクセス権を共有しているアカウントを(ここでは)共有アカウント と呼びます。業務用にこの共有アカウントが欲しいという要望を受けることが、 ときどきあります。よくあるのは、○○課の窓口として作ったメールアドレス (仮に office@example.jp としましょう)へ届いたメールを、ある特定の アカウントのメールボックスへ配送し、そのメールボックスへアクセスするため のパスワードを課全体で共有する、といったケースです。 このような用途にはメールの転送やメーリングリストといった手段を活用すべき であり、共有アカウントを使うのはセキュリティの観点からはよろしくない、と いうのが一般的な意見であると、筆者は考えています²⁸。 たとえば通産省²⁹では次のような基準を打ち出しています ³⁰。

コンピュータ不正アクセス対策基準　平成八年通商産業省告示第三百六十二号　［通商産業省告示第３６２号］

(前略)
Ｖ．基準項目
　１．システムユーザ基準
　　（１）パスワード及びユーザＩＤ管理
　　　1.ユーザＩＤは、複数のシステムユーザで利用しないこと
(後略)

先の「要望」の場合、下図のような形のメーリングリストを作れば共有アカウン トは不要であることが理解していただけると思います。登録リストを修正するこ とにより○○課の構成員の変化にも簡単に対応できます。

共有アカウントを作ることによる不利益については下記の引用が参考になるかと 思います ³¹。

情報処理振興事業協会 セキュリティセンター コンピュータ不正アクセス関連ＦＡＱ

Q0-11：アカウントの共有は何がまずいのでしょうか？
アカウントを共有した場合、パスワード管理に関して以下のような問題が考えられます。
○適切なパスワードを設定するのが困難である
○管理形態が曖昧になり変更が行われにくくなる
○変更の際に共有者への連絡が必要であるため、漏洩の可能性が増す
○パスワードが不明になっての問い合わせが想定されるため、漏洩の可能性が増す
　また、同時使用や自分がした覚えのない操作が行われていても当然であるため、 誰かが成り済まして利用していても識別しにくくなります。