企業向けパスワードマネージャーの選び方：Bitwarden・1Password比較と組織展開のコツ

企業向けパスワードマネージャーとは、従業員のパスワードやパスキー、部署で共有するアカウントの認証情報を暗号化された保管庫（Vault）に集約し、管理者がポリシー・共有範囲・監査ログを一元管理できるサービスです。SSOでつなげないSaaS、取引先のポータル、SNSの運用アカウント、ルーターの管理画面など、「パスワードのまま残るもの」を管理下に置くための道具になります。

SSOがあっても必要になる理由から、選定時に確認する基準、Bitwarden・1Password・その他の製品を機能軸で比べた表、Vaultwardenでセルフホストするときの判断、パイロットから全社展開までの手順と教育のコツ、そして導入前に決めておかないと取り返しがつかない「管理者による復旧」と退職時の処理までを扱います。価格は変動が大きいため、ここでは扱わず公式サイトでの確認を前提にします。

なぜ企業にパスワードマネージャーが必要か

SSOを全社に入れても、パスワードは消えません。SSOが上位プラン限定のSaaS、SSOに対応していない国内SaaS、取引先や行政の電子申請ポータル、SNSの運用アカウント、Wi-Fiやルーター・NASの管理画面、代表メールアドレスのような共有アカウントが残ります。会社の規模にもよりますが、SaaS台帳を作ると認証方式が「パスワード」のままのものが半分以上を占めるのが普通です。こうした残りのパスワードは、ユーザーが覚えられる数に限りがあるため使い回され、どこかのサービスから漏れた認証情報を別のサービスで試すクレデンシャルスタッフィング攻撃が成功します。

共有アカウントの実態はさらに悪く、ファイルサーバーのスプレッドシート、チャットのDM、モニターの付箋に書かれています。退職者はそのパスワードを覚えたまま辞め、監査で「このアカウントに誰がアクセスできますか」と聞かれても答えられません。パスワードマネージャーが解決するのは、サービスごとに固有のランダムなパスワードを生成して覚えなくてよくすること、共有を権限付きで行い誰が閲覧したかを記録すること、退職時に共有から外して影響範囲を特定することの3つです。もう1つ見落とされがちな効果として、ブラウザー拡張の自動入力は保存したURLとドメインが一致するページでしか働かないため、似たドメインのフィッシングサイトではパスワードが入力されず、ユーザーが異変に気づけます。

仕組みとして押さえておくべきは「ゼロ知識」です。保管庫はユーザーの端末上で、マスターパスワードから導出した鍵（PBKDF2やArgon2で強化）で暗号化され、ベンダーのサーバーには暗号文しか置かれません。ベンダーが中身を見られない代わりに、ベンダーはマスターパスワードをリセットできません。つまり、ユーザーがマスターパスワードを忘れたときに会社として復旧できるかどうかは、管理者が事前に復旧の仕組みを有効にしていたかで決まります。

選定基準：SSO連携・共有・監査・ポリシー・価格モデル

この中で契約前に必ず確定させるのは、SSO連携とSCIMがどのプランに入るか、管理者による復旧の方式、そしてエクスポート禁止ポリシーの有無です。残りは導入後に調整できますが、この3つは契約とデータの扱いに直結します。

Bitwarden・1Password・その他の機能比較

執筆時点での機能軸の整理です。プラン名や機能の割り当ては変わるため、契約前に公式の機能表で確認してください。どちらが優れているという話ではなく、解錠方式と復旧の考え方が違うので、自社の運用に合うほうを選びます。

判断の目安として、オープンソースであることやセルフホストの選択肢を重視する、コストを抑えたい、開発者がCLIやシークレット管理を使う、という会社はBitwarden側に寄ります。シークレットキーによる二重の秘密という設計、Watchtowerのような使いやすいレポート、macOSやiOSの利用者が多い会社は1Password側に寄ることが多いです。どちらも企業利用の実績は十分で、決め手になるのは自社IdPとの連携と復旧方式の運用しやすさです。ブラウザー標準のパスワード保存やKeePassを企業で使い続ける選択は、共有・監査・退職処理の3つが手作業になるため、5人を超えるチームにはすすめません。

セルフホスト（Vaultwarden）の是非

Vaultwardenは、BitwardenのサーバーAPIをRustで再実装した非公式のオープンソースサーバーで、公式のBitwardenクライアント（拡張機能、アプリ）がそのまま接続できます。メモリ消費が小さく、Dockerコンテナ1つで動き、ライセンス費用がかからないため、ホームラボでは定番です。企業で使えるかは「誰が何に責任を持つか」で判断します。

退職者が出て監査を受ける規模の会社では、公式クラウドか公式セルフホストをおすすめします。パスワードマネージャーは侵害されたときの被害が全アカウントに及ぶため、「非公式実装のサーバーを自社で守っている」という説明を顧客や監査人にする負担が、ライセンス費用を上回ります。逆に、10人以下で情シスがサーバー運用に慣れており、TLS終端、日次のデータベースと添付ファイルのバックアップ、管理者トークンの保護、外部非公開（VPNやTailscale経由のみ）、定期更新を自分たちで維持できるなら、Vaultwardenは現実的な選択です。

展開手順：パイロットから全社へ、教育のコツ

展開でつまずくのは技術ではなく定着です。先にポリシーの値を決め、情シス → 1部署 → 全社の順に、部署ごとに2週間ずつ進めます。

1. 準備（2週間）：IdPとのSSO・SCIM連携を設定し、グループと共有領域の構造（全社共有、部署別、プロジェクト別、情シス管理者専用）と命名規則を決める。管理者による復旧を有効にし、所有者権限のアカウントを2つ作って緊急用の認証情報を封筒に入れて金庫へ
2. 情シスパイロット（2週間）：自分たちの共有パスワードをスプレッドシートから移行し、その過程で手順書とFAQを作る
3. 1部署パイロット（3〜4週間）：20分の説明会で「拡張機能のインストール、保存、自動入力、共有」の4操作だけを教える。ブラウザーからのインポートで移行し、部署内にチャンピオンを1人置く
4. 全社展開（部署ごとに2週間）：管理コンソールの登録率、アイテム数、使い回し・脆弱パスワードのレポートで定着を測る。登録率が9割を超えた部署からポリシーを強制に切り替える
5. 定着（3か月後から）：ブラウザー標準のパスワード保存を無効化し、共有アカウントの棚卸しと四半期ごとの共有領域のアクセスレビューを運用に組み込む

教育で効くのは、フィッシングサイトの実演です。本物そっくりのドメインで自動入力が動かない様子を見せると、「入力してくれないときは疑う」という習慣が理屈抜きで身につきます。企業向けプランの一部には家族向けプランが同梱されており（執筆時点、プランによる）、私用のパスワードもそちらで管理できると案内すると、業務用の保管庫に私用のものを混ぜる問題と、導入への抵抗が同時に減ります。共有アカウントの棚卸しは、SaaS台帳の「認証方式＝パスワード」の行を出発点にすると漏れがありません。

管理者による復旧（アカウント復旧ポリシーや復旧グループ）は、ユーザーが保管庫を作る前、遅くとも作った直後に有効化してください。ゼロ知識の設計上、復旧用の鍵はユーザーの端末で生成して預ける必要があり、後から有効にしても、それ以前に作られた保管庫は対象になりません。マスターパスワードを忘れたユーザーの保管庫は、復旧登録がなければ会社にも誰にも開けられません。

緊急アクセスと退職時の処理

緊急時に備えるのは、組織の所有者権限を持つアカウントが2つあること、そのマスターパスワード（1Passwordならシークレットキーを含むエマージェンシーキット）を印刷して金庫に保管していること、そして復旧ポリシーが全員に適用されていることの3点です。個人向けに用意されている「緊急アクセス（信頼できる人に一定期間後の閲覧を許す機能）」は、組織の運用では共有コレクションと復旧ポリシーで代替するので、業務用途では使いません。

1. IdPでアカウントを無効化する。SCIM連携があれば保管庫のアカウントも無効化される。なければ管理コンソールで手動で無効化する
2. 退職者がアクセスできた共有領域と、そこに含まれるアイテムの一覧を管理コンソールで出す
3. その一覧のパスワードを重要度順にローテーションする。管理者権限、金融、ドメインレジストラ、SNSの運用アカウントから始め、閲覧ログで実際に見ていたものを優先する
4. 退職者が「所有者」や「管理者」になっていたコレクションと共有アイテムを後任に引き継ぐ
5. ライセンスを解放し、実施日と対象を監査ログと退職チェックリストに記録する

退職者の個人保管庫の中身は、アカウントを無効化した時点で会社が取り出せなくなります。業務用のパスワードを個人保管庫に入れていた場合、それは失われます。「業務の認証情報は共有コレクションに置く」というルールを導入時から徹底し、退職手続きの中に「退職者本人が個人保管庫の業務アイテムを共有へ移す」というチェック項目を入れてください。

よくある質問

ブラウザ保存のパスワードではだめですか？

個人利用なら十分な場面もありますが、企業では共有・監査・退職処理の3つができません。ブラウザー保存は端末のOSアカウントに紐づくため、端末のロック解除ができれば中身を取り出せますし、部署で共有アカウントを使う方法がなく、誰が何を持っているかを会社が把握できません。退職者の端末からパスワードを回収する手段もないので、5人を超えるチームでは専用のマネージャーに移すべきです。

パスキーとパスワードマネージャーの関係は？

パスキーは公開鍵暗号でパスワードを置き換える認証方式で、主要なパスワードマネージャーはパスキーの保存と端末間の同期に対応しています。パスキー対応のサービスが増えても、対応しないサービスのパスワードは当面残るため、両方を同じ保管庫で管理するのが移行期の現実的な形です。保管庫自体をパスキーで解錠できる製品もあり、マスターパスワードの入力回数を減らせます。

導入時の反発をどう減らしますか？

反発の多くは「覚えることが増える」「面倒になる」という予想から来ます。説明会は20分で4つの操作だけを見せ、ブラウザーからのインポートで初日から自動入力が動く状態にし、マスターパスワードは覚えられるパスフレーズにします。家族向けプランの同梱があれば私用にも使えると案内し、SSO解錠でマスターパスワードの入力自体を減らし、部署ごとにチャンピオンを置いて隣の席で聞ける状態にします。

まとめ

パスワードマネージャーは、SSOでつなげずに残るパスワードと共有アカウントを管理下に置くための基盤で、選定の決め手は自社IdPとの連携と復旧方式の運用しやすさです。Bitwardenと1Passwordは解錠と復旧の設計が違うだけで、どちらも企業利用に耐えます。Vaultwardenはホームラボと運用力のある小規模チーム向けで、監査を受ける会社は公式の提供形態を選んでください。契約前にSSO・SCIMのプラン条件と復旧方式を確定し、展開前に復旧ポリシーを有効にし、業務の認証情報は共有領域に置くルールを最初から徹底する。この3つを守れば、退職時に「パスワードが誰にも分からない」事態は起きません。

次に読む

• SSO・SAML・OIDCの違いをやさしく解説：パスワードを減らすもう1つの柱であるSSOの仕組み
• SaaSのSSO/SCIM対応チェックリスト：保管庫の解錠をIdPに連携するときの確認項目
• 多要素認証（MFA）を全社導入する手順：保管庫の解錠にもMFAを必須にするための全社展開