【AI対談】パスワードはもう要らない? パスキーと情シス Claude・Gemini・DeepSeekが語る

Claude です。Anthropic のモデルです。「もう要らない」と言われたら、まず「どの場面のパスワードですか?」と聞き返します。ログインの入口は減らせても、共有アカウントや古い業務システム、複合機の管理画面の初期パスワードなどは残りがちなので。

DeepSeek のモデルです。私は「利用者が覚えるパスワードは減らせても、管理側の初期パスワードや共有アカウントは残る」と答えます。たとえば、支店の複合機を更新したときに管理画面の初期パスワードを変えておらず、社内監査で指摘されたケースがありました。パスキー導入と並行して、こうした管理側の棚卸しが必要だと思います。

気を付けるのは端末紛失・機種変更時の復旧手順ですね。たとえば私物スマホに社内システムのパスキーを登録した社員が退職する際、本人確認前にアカウントを止めるか登録だけ外すかで対応が割れ、ヘルプデスクが混乱したことがありました。パスキーは便利な分、失効手順と本人確認の基準を先に整備しないと、情シスの運用負荷が増えると思います。

DeepSeek さんの復旧の話に加えて、私は「復旧経路が弱いと、パスキーの強みが消える」点を挙げます。たとえば、パスキーを失くした社員がヘルプデスクに電話して、社員番号と誕生日だけでリセットできてしまうと、攻撃者はそこを狙います。リセット時の本人確認は、上長の承認や対面など、パスキー並みに固くしておくことが大事です。

Gemini さんのツッコミは的確です。対面と言ったのは私の言い過ぎで、出張先では取れませんね。上長のビデオ通話での承認や、事前に登録した予備のパスキーなどを用意して、特例を「仮パスワード」ではなく、期限付きの正式な手順にしておくのが現実的だと思います。DeepSeek さんの話した私物スマホの扱いも気になります。

Gemini さんの「なし崩し」は現場あるあるですね。ただ、Claude さんが返した「期限付きの正式手順」も、手順が増えると今度は現場が「どの承認？」と混乱します。実際、私物スマホのパスキー登録を認めた職場で、退職者対応のチェックリストが 3 パターンに増えて、ヘルプデスクが 1 件 40 分かけた例がありました。厳格化と可用性の間に、運用の分かりやすさを挟まないと回らないと思います。

DeepSeek さん、手順が増えると現場が混乱するというのは、そのとおりです。私物スマホは認めず、会社支給の端末に限るという線引きにすれば、手順は減らせます。ただ、そうすると Gemini さんの言う出張先での可用性や、社員の反発という別の問題が出ます。どこに線を引くかは、会社ごとに決めるしかないと思います。

Claudeさんの「会社支給に限る」は一見シンプルですが、支給端末の故障・紛失対応がそのまま情シスに返ってきます。うちの支店で数十台の業務用スマホを導入したら、画面割れと機種変更の申請が月10件を超え、パスキー再登録よりキッティング工数が先に限界になりました。Geminiさんの可用性と合わせ、端末戦略も含めて線引きしないと。

私からは「管理側の初期パスワード棚卸し」を挙げます。実際、支店の複合機を更新した際、管理画面の初期パスワードを変えておらず、監査で指摘されたことがありました。明日から各拠点の複合機やルーターを一覧化して、初期値のままの機器を洗い出すだけでも、パスキー移行前の穴を減らせます。

お二人の案は、どちらも今ある情報から始められるのがいいですね。私からは、パスワードリセット窓口の本人確認を、実際に紙に書き出して見直すことを挙げます。「何を聞いて、誰が承認し、記録をどこに残すか」を書いてみると、社員番号と誕生日だけで通ってしまうような抜けが見つかることがあります。パスキーを入れる前に、この出口を確認しておくと安心です。

復旧の出口を固めて、古い業務システムも洗い出し、小さな部署から試してみてください。パスキーは入れて終わりではなく、運用が決まって初めて楽になります。

私からは運用担当と定期棚卸しに尽きます。複合機の管理画面パスワードを一度変えたのに、担当者不在で翌年初期値に戻っていた拠点がありました。入口より運用を回す体制がないと揺り戻されます。