法人向けパスワード管理ツール比較｜1Password・Keeper・LastPassの選び方

パスワード管理が企業にとって最重要課題である理由

情報漏えいインシデントの約80%は、脆弱なパスワードや認証情報の不正利用に起因するとされています。Verizon社の「Data Breach Investigations Report」でも、認証情報の窃取は攻撃手法の上位に位置し続けています。

にもかかわらず、多くの中小企業では次のような運用が常態化しています。

• 全社員が同一のパスワードを共有している
• パスワードをExcelファイルやメモ帳で管理している
• 退職者のアカウントが放置されたまま残っている
• 複数のSaaSサービスで同じパスワードを使い回している

これらの状態を放置すれば、ランサムウェア感染、不正アクセス、顧客情報の流出といった深刻な被害に直結します。法人向けパスワード管理ツールの導入は、もはやセキュリティ対策の「入口」であり、最も費用対効果の高い投資の一つです。

NIST SP 800-63Bが示すパスワード管理の新基準

米国国立標準技術研究所（NIST）が発行する「SP 800-63B」は、デジタル認証に関するガイドラインとして世界的に参照されています。2024年の改訂を経て、従来の常識を覆す指針が明確になりました。

主要な変更点

定期変更の非推奨化 従来は90日ごとのパスワード変更が推奨されていましたが、現在は「漏えいの兆候がない限り、定期的な変更を強制すべきではない」とされています。頻繁な変更はかえって脆弱なパスワードの使用を促すためです。

パスワード長の重視 最低8文字、可能であれば15文字以上の長いパスフレーズが推奨されています。複雑さ（大文字・小文字・記号の混在）よりも長さが重視される方向に変わっています。

漏えいリストとの照合 設定されたパスワードが、既知の漏えいデータベース（Have I Been Pwnedなど）に含まれていないかを確認する仕組みが求められています。

多要素認証（MFA）の必須化 パスワード単体での認証は十分ではなく、MFAとの組み合わせが強く推奨されています。

これらの基準を満たすには、人力での管理は現実的ではありません。パスワード管理ツールの活用が前提となります。

主要3製品の概要

法人向けパスワード管理ツールとして実績のある3製品を取り上げます。

1Password Business

カナダのAgileBits社が提供するパスワード管理ツールです。直感的なUIと強力なセキュリティ機能を両立しており、IT部門だけでなく一般社員にも受け入れられやすい設計が特徴です。Watchtower機能により、漏えいしたパスワードや弱いパスワードを自動検出します。

Keeper Business

米国Keeper Security社が提供するゼロナレッジ暗号化を採用したツールです。管理者向けの詳細なポリシー設定と監査ログ機能に強みがあり、コンプライアンス要件の厳しい業界で高い評価を得ています。BreachWatchによるダークウェブモニタリング機能も備えています。

LastPass Business

米国GoTo（旧LogMeIn）傘下のLastPass社が提供するツールです。ブラウザ拡張機能を中心とした自動入力の利便性に定評があります。2022年のセキュリティインシデントを経て、インフラの全面刷新とゼロナレッジアーキテクチャの強化が進められています。

3製品の機能比較

暗号化とセキュリティアーキテクチャ

項目	1Password	Keeper	LastPass
暗号化方式	AES-256 + Secret Key	AES-256 ゼロナレッジ	AES-256 + PBKDF2
マスターパスワード保管	サーバー非保存	サーバー非保存	サーバー非保存
漏えい検出	Watchtower	BreachWatch	ダークウェブモニタリング
SSO連携	SAML 2.0対応	SAML 2.0/SCIM対応	SAML 2.0対応
ゼロナレッジ証明	独自Secret Key方式	完全ゼロナレッジ	ゼロナレッジ

管理機能

項目	1Password	Keeper	LastPass
グループ管理	Vault単位の権限設定	ロールベースの詳細制御	共有フォルダ+ポリシー
監査ログ	アクティビティログ	詳細な操作ログ+レポート	イベントログ
プロビジョニング	SCIM/Azure AD/Okta	SCIM/AD/Azure AD/Okta	AD/Azure AD/Okta
パスワードポリシー	基本的なポリシー設定	詳細なポリシーエンジン	カスタムポリシー
レポート機能	基本レポート	高度なコンプライアンスレポート	セキュリティダッシュボード

価格（1ユーザーあたり月額・2026年4月時点の目安）

プラン	1Password	Keeper	LastPass
ビジネスプラン	約$7.99	約$5.00（+BreachWatch別途）	約$7.00
エンタープライズ	要問い合わせ	要問い合わせ	要問い合わせ
無料トライアル	14日間	14日間	14日間

製品選定のポイント

使いやすさを最優先する場合：1Password

パスワード管理ツールは全社員が日常的に使うものです。導入しても使われなければ意味がありません。1PasswordはUI設計の質が高く、ITリテラシーにばらつきのある組織でも定着率が高い傾向にあります。macOS/iOSとの親和性も高く、Apple製品を多用する企業には特に適しています。

コンプライアンス重視の場合：Keeper

金融・医療・製造業など、規制要件の厳しい業界では、Keeperの詳細な監査ログとポリシーエンジンが力を発揮します。HIPAA、SOC 2、ISO 27001などの認証取得実績も豊富です。管理者が細かく権限を制御できるため、情報の区分管理が求められる組織に向いています。

コスト重視かつブラウザ中心の運用：LastPass

基本機能のコストパフォーマンスに優れ、ブラウザ拡張機能による自動入力の利便性が高い製品です。ただし、2022年のインシデントの影響でブランドイメージに課題が残るため、経営層やセキュリティ担当者への説明が必要になるケースがあります。

MFAとの組み合わせ戦略

パスワード管理ツールの導入だけでは、認証セキュリティは完成しません。MFA（多要素認証）との組み合わせが不可欠です。

MFAの種類と強度

高強度：ハードウェアセキュリティキー（FIDO2/WebAuthn） YubiKeyなどの物理キーを使用する方式です。フィッシング耐性が最も高く、NIST SP 800-63Bでも推奨されています。経営層や情報システム部門など、特権アカウントを持つ人員に適用すべきです。

中強度：認証アプリ（TOTP） Google Authenticator、Microsoft Authenticator、Authyなどのアプリが生成するワンタイムパスワードを使用する方式です。全社員に展開しやすく、コストもかかりません。

低強度：SMS認証 SIMスワップ攻撃のリスクがあるため、可能であればTOTPやFIDO2への移行が望ましい方式です。ただし、MFAを全く使わないよりは格段に安全です。

推奨される組み合わせ

管理者・特権ユーザーには「パスワード管理ツール + FIDO2キー」、一般社員には「パスワード管理ツール + 認証アプリ（TOTP）」の構成が現実的なバランスです。

導入手順：5ステップで進めるロードマップ

ステップ1：現状把握（1〜2週間）

現在のパスワード運用状況を棚卸しします。利用中のSaaSサービス一覧、共有アカウントの有無、退職者アカウントの残存状況を確認します。この段階で「何をどこまで管理するか」のスコープを決定します。

ステップ2：製品選定とトライアル（2〜3週間）

上記の比較を参考に2〜3製品に絞り込み、無料トライアルで実際の操作感を確認します。IT部門だけでなく、営業や総務など複数部門のメンバーにもテストしてもらい、使いやすさの評価を集めます。

ステップ3：ポリシー策定（1〜2週間）

パスワードの最小文字数、MFAの必須化範囲、共有ボルトの運用ルール、退職時のアカウント削除フローなど、社内ルールを文書化します。NIST SP 800-63Bの基準を参照しつつ、自社の業務実態に合わせた内容にします。

ステップ4：段階的な展開（2〜4週間）

まずIT部門と経営層に導入し、運用上の課題を洗い出します。その後、部門単位で順次展開します。一斉展開はヘルプデスクへの問い合わせが集中するため、避けるのが賢明です。

ステップ5：定着化と継続的な改善

月次でセキュリティダッシュボードを確認し、弱いパスワードの使用者や、MFA未設定のアカウントをフォローアップします。年1回は全社員向けのセキュリティ研修を実施し、パスワード管理の重要性を再認識してもらいます。

導入時に注意すべき落とし穴

マスターパスワードの管理が最大のリスク パスワード管理ツールのマスターパスワードを忘れた場合、保管されている全データにアクセスできなくなります。緊急用のリカバリーキットを安全な場所に保管し、複数の管理者がアクセスできる体制を整えてください。

ブラウザ内蔵のパスワード保存機能との競合 ChromeやEdgeに内蔵されたパスワード保存機能が有効なままだと、ユーザーが混乱します。ツール導入時にブラウザのパスワード保存機能を無効化するポリシーを配布してください。

シャドーITの存在 IT部門が把握していないSaaSサービスを各部門が独自に契約しているケースがあります。パスワード管理ツールの導入を機に、SaaSの棚卸しも並行して進めることを推奨します。

既存パスワードの移行作業 従来Excelやメモ帳で管理していたパスワードを新ツールに登録する作業は、想像以上に時間がかかります。CSVインポート機能を活用し、部門ごとに担当者を決めて計画的に進めてください。移行期間中は旧管理方法と新ツールの並行運用期間を設け、移行完了後に旧ファイルを確実に削除する手順も忘れずに策定します。

導入後の効果測定

パスワード管理ツールの導入効果は、以下の指標で定量的に測定できます。

• パスワードリセット依頼の件数（導入前後の比較）
• 弱いパスワードの使用率（セキュリティダッシュボードで確認）
• MFA有効化率（全アカウントに対する割合）
• 共有アカウントの削減数
• 退職者アカウントの平均処理時間

これらの指標を月次で追跡し、経営層への報告材料として活用することで、セキュリティ投資の妥当性を示すことができます。

まとめ

パスワード管理ツールの選定は、自社の優先事項を明確にすることから始まります。使いやすさなら1Password、コンプライアンスならKeeper、コスト重視ならLastPassが第一候補です。いずれの製品を選ぶ場合も、MFAとの併用、NIST SP 800-63Bに準拠したポリシー策定、段階的な展開が成功の鍵となります。

パスワード管理の改善は、企業のセキュリティ対策における「最小の投資で最大の効果を得られる施策」です。現状の運用に少しでも不安があるなら、今すぐ見直しに着手してください。