私の勤める会社で業務の為に従業員にiPhoneやiPadが支給されており、 AppelIDとそのパスワードが導入されて…

Question

私の勤める会社で業務の為に従業員にiPhoneやiPadが支給されており、
AppelIDとそのパスワードが導入されているLINE WORKSと同じです。今回、サンクスギフトなるサービスにも同じ設定を済まされた上で各自でアプリの導入とログインを促されました。
さすがに安直過ぎないかと管轄部署の担当者に問い合わせました
一悶着の上、

◎AppelID・LINE WORKS・サンクスギフトのそれぞれのパスワードを私の方で変更して良い
◎変更したら報告してくれ、変更しなくても報告してくれ
◎なんならサンクスギフトは導入しなくても良い

この結果は納得出来るのですが担当の言い分は、（各ツールのIDとパスワードは担当が一元設定＆管理しています）

◎各ツールごとに違うパスワードを設定していたら従業員の大半は管理出来ずしょっちゅう問い合わせが来るのが大変
◎パスワードを無許可で変更する従業員がよく居てそんなものに限ってログイン出来なくなった等と問い合わせが来る
◎退職者がAppelIDのパスワードを無許可で変更していたケースも多く、Appelへの解除手続きで大変な労力がかかっている

なので全従業員のこういったサービスのIDとパスワードは全てAppelIDのそれと共通にさせていると

意見をした私一人としては妥協点と言える返答をしてもらえましたが、250名程度の組織でさすがにこんな安直なやり方はどうなんでしょうか？
よろしくないやり方だということは担当者も認めていますが、今現在の世間一般常識的に、
アウトかセーフか教えてください

Answer 1

1. パスワード管理はパスワードマネージャで行い、自動入力すべきである。（※脆弱なパスワード利用の防止・同一パスワード使いまわしの防止・フィッシング詐欺対策）

2. AppleIDを用いた「ソーシャルログイン」は積極的に活用すべきである。

3. 従業員のAppleIDの管理には、「構成プロファイル」を活用すべきである。

4. 管理者は従業員のセキュリティ知識（あるいはセキュリティ意識）を信用すべきではない。定期的な教育・注意喚起・テストが必要である。

といった感覚が、その管理者（あるいは主さん自身）に理解できているか？が疑問ですね。

1について、パスワード認証は「パスワード管理に特化した仕組みで管理し自動入力させる」ようにするのが常識です。

有名所としては「1Password」ですが、そのようなものを用いなくともiPhoneの場合は「iCloudキーチェーン」でも可能ですから、まずはその活用を考えるべきでしょう。

そうすれば、「各々のサービスのパスワード」を管理する必要はありませんし、同じパスワードを使い回す必要もありませんし、フィッシング詐欺に騙され偽サイトへパスワードを入力してしまったなんて事も起こりません。

2については、LINE WORKSはAppleIDによるソーシャルログインには対応していなかったと思いますが、ソーシャルログインが利用できるサービスであればソーシャルログインを利用すれば良いです。

ソーシャルログインとは、端的にいうと「あるサービスAのログイン認証を使って別のサービスBの認証を済ませる事のできる仕組み」の事です。※Bに対しAのログイン情報は分からないようになっています。

3については、構成プロファイルの事を知っているか知らないかだけの話です。

まとめますと、「道具を便利に使いこなす知識が無いなら、まずは使いこなす知識を身に着けましょう」という事です。

何か特殊な事情があるわけでもないのに、それを身に着けないままそのような事をやっているのであれば、管理者として勉強不足ですので【アウト】です。

1～4のような話を理解している上で、何かしらの特殊な事情（例えば社員がIT音痴だらけで教育に莫大なコストがかかるとか）があるなら、セーフとまでは言えませんが「仕方ない」と思います。

p.s.
まぁ社会人における「一般常識」として、部署外へ何かを意見する際は、（理想論ではなく実現可能な）代替案を用意すべきかと思います。

250名の従業員は、悪く例えるなら「幼稚園の園児」みたいなものです。

彼らは何をしでかすか分からない。

ただし、幼稚園児とは異なり分別のある大人なのですから「言われた通りにやれ（余計な仕事を増やすな）」というやり方も、時には必要でしょう。

特に中小企業の情シスなんて、周囲の理解も協力もなく「あの人はパソコンの前にいつも座っているだけで仕事してるの？」なんて思われている事すらありますｗ

そこに大した専門知識もない部署外の人間がとやかく言う必要はないですし、意見するならまずは代替案を用意すべきであり、更にいえば専門知識があるならその人が代わってその仕事をすれば良いと思います。

今回の件については、おそらくは担当者の勉強不足だとは思いますが。

Answer 2

普通に考えて複数サービス間で同じIDとパスワードを使いまわすのはアウトでしょう。
中学生の情報の教科書にもそう書いてあります。

ただし、IP制限や2段階認証をかけているならばアウトとはいえないかと。

ちなみに何故気になるのでしょうか？
会社に指示に従った上で、情報流出してもあなたの責任にはなりませんが。
むしろルールに反してトラブルがあった場合に責任を負うことになりますので、従わないメリットがありません。
（あなたの場合はその旨、許可を得たおこなったので問題はないですが）

Answer 3

管理する側の立場から言うと、会社の判断に納得はできます。
ちなみに同じIDを使用することをこのような公の場で公表してしまうことは、管理者側からすると好ましくないとは思います。