なぜパスワードをやめたのか

ストレスチェックは年1回、期間も1〜2か月です。受検者にとっては「去年の秋に一度使ったきりのシステム」で、パスワードを覚えていることのほうが稀です。

結果として何が起きるか。実施期間の最初の1週間は、人事部門にパスワードの問い合わせが集中します。担当者は本人確認をして再設定を案内し、そのやり取り自体が業務を圧迫します。受検者の側も、思い出せずに後回しにして、そのまま締切を迎えます。受検率が上がらない原因の多くはここにあります。

つまりパスワード方式では、再設定の手続きが実質的な認証になります。そして再設定はたいていメールで行われます。であれば、最初からメールで入れるようにしたほうが、手順も減り、守るべき対象も減ります。

「複雑なパスワードを設定してください」という案内は広く行われていますが、実際にはうまくいきません。人が覚えられる複雑な文字列の数には限りがあり、複数のサービスで使い回すことになるためです。

使い回しの何が問題か。他社のサービスから漏れたパスワードが、そのまま自社の入口になります。攻撃者は漏洩した組み合わせを片端から試すだけで、自社のシステムを破る必要がありません。自社のセキュリティ対策とは無関係に成立してしまう攻撃です。

なお、かつて推奨されていた「パスワードの定期的な変更」は、現在は推奨されていません。定期的に変更を強いると、かえって単純で規則的なパスワードが使われるようになるためです。総務省の案内でも、流出のおそれがある場合を除いて定期変更を求めない方針が示されています。

一般の業務システムと違い、ストレスチェックには特有の事情があります。扱うのが要配慮個人情報だからです。

他人になりすまして入られた場合、見られるのは心身の状態に関する回答と結果です。本人の意図しない形で知られれば、評価や配置に影響しかねません。とりわけ避けなければならないのが、上司が部下に代わってログインする状況です。悪意が無くても、「代わりに入力しておくよ」という善意から起こりえます。

マジックリンクは本人のメールボックスに届きます。会社のメールアドレスは、そもそも本人以外が見られない前提で運用されているはずのものです。その前提をそのまま認証に使うため、代理ログインが起きにくくなります。

メールに届いたリンクを押すとログインが完了する仕組みです。パスワードを作る操作も、覚える必要もありません。

Zeneでは、ストレスチェックの開始をお知らせするメールにこのリンクを入れています。受検者から見れば「案内メールのボタンを押したら質問票が開いた」という体験になり、ログインを意識しません。

万能ではありません。導入前に把握しておいていただきたい点を挙げます。

まず、メールボックスを他人に見られる状態だと意味がありません。マジックリンクは「そのメールを読める人＝本人」という前提に立つため、この前提が崩れると成立しません。共有のメールアドレスを従業員に割り当てている場合や、上司へ自動転送する設定が入っている場合は、その従業員だけ別の方法を検討してください。

次に、メールが届かなければログインできません。アドレスの間違い、受信拒否の設定、退職者のアドレスなどが原因になります。Zeneは送信したメールが届かなかったことを検知して画面に出しますので、実施期間の最初に確認してください。

マジックリンクの安全性は、リンクをどう扱うかで決まります。Zeneは次のようにしています。

工場や店舗、介護施設などでは、全従業員にメールアドレスを配っていないことが珍しくありません。この場合は受検コードを紙で配ります。共有のタブレットやPCから、コードを入力して受検します。

紙で配る以上、渡した相手以外が使えてしまう性質があります。実施期間の終わりで失効し、配布した件数は記録に残るようにしていますが、配布と回収の担当は決めておいてください。

なお、受検者に対して直接的な人事権を持つ方は、実施事務従事者になれません（実施マニュアル）。コードの配布を誰が担うかは、この点を踏まえて決める必要があります。

システムの仕組みだけでは決まらない部分です。実施前に整理しておくと、期間中の問い合わせが減ります。