パスワードの受け渡し｜人事の副業で依頼側からログイン情報をもらうなら、「自分専用のアカウントを発行してもらう・メールの本文で受け取らない・受け取ったら自分で変える」の三つ。共有アカウントは断る理由を添えて避ける

依頼側から「媒体のログイン情報を送ります」と言われ、メールでIDとパスワードが届いた。社内で使い回しているアカウントらしく、自分以外の誰が使っているか分からない。このまま使ってよいのか、断るべきなのかが分からない。結論を先に書くと、依頼側のログイン情報は、「自分専用のアカウントを発行してもらう」「メールの本文でIDとパスワードを一緒に受け取らない」「受け取ったら自分でパスワードを変える」の三つを基本にします。社内で共有されているアカウントを使うことは、誰が何をしたかが分からなくなり、媒体の規約にも触れることが多いので、理由を添えて専用の発行を頼みます。依頼側が専用の発行に応じない場合も、共有の期間と範囲を限って、記録を残す形にします。端末とアカウントの分け方は情報の取り扱いと端末の分離に、端末の扱いは私物端末で作業してよいかに、ネットワークの扱いはネットワーク環境の注意にまとめています。技術的な設定は、依頼側の情報管理の担当者に確認してください。

共有アカウントを避ける理由

依頼側が社内で使い回しているアカウントを、外部の担当者にそのまま渡すことは珍しくありません。それを受け取らないほうがよい理由は、自分を守るためでもあります。

理由の要点は、「問題が起きたときに、自分がやったことにされる」ことです。外部の担当者は、社内の人より疑われやすい立場にあります。共有アカウントで何かが起きれば、記録で区別できないので、外部の担当者が疑われます。自分専用のアカウントなら、自分の操作だけが記録に残り、それが自分を守ります。外部の立場の考え方は外部の立場だからできることに書いています。

自分専用の発行を頼む言い方

共有アカウントを渡されたときに、断り方を間違えると、面倒な人だと思われます。依頼側の利益として頼みます。

言い方の要点は、「自分の都合ではなく、依頼側の管理の都合として頼む」ことです。「共有は嫌です」では通りませんが、「御社の記録が分かれます」「規約の問題を避けられます」「終了時に止めやすくなります」なら、依頼側の担当者は自分の上長にも説明できます。発行に費用や手続きがかかる媒体もあるので、その場合は移行の形で、共有の期間を限ります。依頼側との条件の話し方は条件のすり合わせに整理しています。

エラベルの見解

相談で最も多い思い込みは、「依頼側が共有アカウントでよいと言っているなら、外部が口を出すことではない」というものです。実際には、依頼側の採用の担当者は、情報管理の決まりや媒体の規約を細かく知らないことが多く、「よい」と言っているのは「知らない」だけの場合があります。後で依頼側の情報管理の担当者や媒体から指摘が入ったとき、「外部の担当者が共有で使っていた」という形で、問題が自分に向きます。

見ていて差がつくのは、最初の一言です。「専用のアカウントを発行していただくことは可能ですか。操作の記録が分かれるので、御社の確認も楽になります」と最初に言った人は、多くの場合そのまま発行され、言わなかった人は、案件の途中で共有アカウントの問題に巻き込まれています。エラベルでは、依頼側との契約の際に、担当者専用のアカウントの発行を依頼側に確認しており、共有アカウントが前提の案件では、担当者に先に伝えて、範囲と期間を限る形にしています。

受け渡しの安全な方法

専用のアカウントが発行されたら、そのログイン情報をどう受け取るかにも線があります。

方法の要点は、「どの方法で届いても、受け取ったらすぐ変える」ことです。依頼側が送ってくる方法を自分で選べないことも多いので、方法にこだわるより、受け取った直後に自分だけが知るパスワードに変えることを習慣にします。変えれば、届いた経路に残った情報は使えなくなります。依頼側の担当者に「受け取り次第、変更します」と伝えておけば、依頼側も安心します。

受け取った後にやること

ログイン情報を受け取った直後に、やることを決めておきます。

手順の要点は、「五」の権限を見ることです。依頼側が発行したアカウントに、自分の範囲を超える権限（候補者の情報の削除、設定の変更、請求の情報など）が付いていることがあります。広い権限は、便利なようで、問題が起きたときに疑われる範囲を広げます。「この権限は不要なので外していただけますか」と伝えておくと、自分の範囲が明確になります。範囲の線は権限がないと動けない場面に書いています。

自分の側のパスワードの管理

依頼側から受け取ったパスワードも、自分の副業用のアカウントのパスワードも、管理の仕方は同じです。

管理の要点は、「本業の会社のツールに入れない」ことです。本業の会社がパスワード管理のツールを提供している場合、便利なので副業のものも入れたくなりますが、それは副業のログイン情報を本業の会社の管理下に置くことで、依頼側から見れば第三者に預けたことになります。副業用のツールを、副業用の利用者で使います。ツールの選び方は使うツールをそろえるに整理しています。

案件の終了時の返し方

案件が終わるとき、アカウントとパスワードの扱いを、依頼側と確認して終えます。

終了の要点は、「パスワードを依頼側に返さない」ことです。自分専用のアカウントのパスワードを依頼側に渡すと、依頼側の誰かがそのアカウントで操作でき、それが自分の操作として記録に残ります。アカウントは、依頼側が停止することで終わりにします。共有アカウントを使っていた場合は、逆に、自分が知っているパスワードを依頼側に変えてもらいます。終了時の全体の手順は引き継ぎの進め方に書いています。

エラベルの見解

担当する側から見ると、アカウントで問題が起きているのは、「渡されたものをそのまま使った」場合です。共有アカウントをそのまま使い、メールで届いたパスワードをそのまま使い、案件が終わっても停止を確認しなかった。どれも、その時点では問題が無く、後で問題になったときに、外部の担当者が疑われています。逆に、専用の発行を頼み、受け取ったら変え、終了時に停止を確認している人は、記録が自分の操作だけを示すので、問題が起きても自分に向きません。

順番として、案件の最初に「専用のアカウントの発行」を頼み、受け取ったら「すぐ変える・多要素認証・権限の確認・受領の連絡」を済ませ、終了時に「停止の依頼と確認」をする。この三つの時点でやることを決めておけば、アカウントの扱いで迷うことは無くなります。エラベルでは、依頼側との契約の際に担当者専用のアカウントの発行を確認し、終了時の停止も依頼側に依頼する形を取っています。アカウントの扱いは、稼働の質と同じくらい、依頼側の信頼に関わります。

まとめ

• 基本は自分専用のアカウントを発行してもらう・メールの本文でIDとパスワードを一緒に受け取らない・受け取ったらすぐ変える
• 共有アカウントは誰が何をしたか分からず・規約に触れ・変えられず・稼働が残らず・終了時に止められないので避ける
• 頼むときは自分の都合ではなく依頼側の管理の都合として。発行が難しければ移行の形で期間を限る
• 受け取ったら変える・多要素認証・届いた記録を消す・管理ツールに登録・権限を見る・受領を伝える
• 自分の側は使い回さず・管理ツールを使い・副業用と私用を分け・本業の会社のツールに入れず・家族に教えず・定期的に見直す
• 終了時は依頼側に停止を依頼し・パスワードは返さず・共有なら変えてもらい・自分の管理から消し・記録に残す

よくある質問

依頼側が「専用の発行は費用がかかるので共有で」と言っています

媒体によっては、アカウントの追加に費用がかかるものがあり、依頼側の判断として共有になることはあります。その場合は、共有の期間と範囲を限り、「共有で使う期間は〇月まで」「自分が操作するのは〇〇の工程だけ」「操作の記録を自分で残す」の三つを文面にして依頼側に送っておきます。共有で問題が起きたときに、自分の操作の範囲が記録で示せる状態にしておくことが、自分を守ります。媒体の規約で複数人の利用が禁じられている場合は、その点を依頼側に伝え、依頼側の判断に委ねます。

依頼側の担当者から「パスワードを教えてほしい」と言われました

自分専用のアカウントのパスワードは、依頼側の担当者にも教えません。担当者が自分のアカウントで操作したいなら、担当者自身のアカウントを使ってもらいます。「私のアカウントでの操作は私の記録になるので、御社の操作は御社のアカウントでお願いします」と伝えれば、多くの場合は理解されます。担当者が自分のアカウントの権限で操作できないことがあるなら、それは担当者の権限の問題で、依頼側の中で解決してもらいます。

多要素認証の確認が自分の私用のスマートフォンに届きます。問題ありますか

確認の通知が私用のスマートフォンに届くこと自体は、多くの案件で問題になりません。ただし、その設定は副業用のものだと分かる形にしておき、案件が終わったら消します。私用のスマートフォンに、依頼側の仕組みの認証の設定が残ったままだと、自分が忘れた頃に通知が来て、依頼側からも「まだ設定が残っている」と見えます。依頼側が認証用の端末を指定している場合は、それに従います。