Slackは社内の連絡が全部集まる場所なので、1つのアカウントが乗っ取られると、取引先とのやり取りも、チャンネルに貼ったパスワードも、まとめて見られます。一方で、小さな会社が全部の設定を最も厳しくすると、外注さんが入れない、アプリが使えないで現場が止まります。この記事では、社員20名のWeb制作会社「サンプルデザイン」（プロプラン）を例に、最低限やっておく設定とその手順、端末を落としたときや乗っ取りの対処、個人情報を間違って書いたときの消し方までを書きます。プランごとの機能の有無は2026年10月時点の公式ヘルプで確かめた範囲です。
この記事の内容
先に決めること
設定の前に、何を守りたいかと、誰が設定を持つかを決めます。
- 守りたいものを3つに絞る。サンプルデザインの場合は「取引先から預かった情報（サイトの管理画面のID、未公開の制作物）」「社員と問い合わせ客の個人情報」「アカウントそのもの（乗っ取り）」です。全部を同じ強さで守ろうとすると、設定が増えて誰も追えなくなります
- 設定を持つ人を決める。セキュリティの設定はワークスペースのオーナーと管理者が変えられます。サンプルデザインは管理者の総務Eが変え、オーナーのディレクターAが年に2回見直します。役割の決め方は「Slackの管理者と権限：オーナー・管理者の役割と最初に見直す設定」に書いています
- プランでできる範囲を知っておく。プロプランでは、SAML SSO・監査ログ・管理者による強制サインアウトは使えません（下の「上のプランの機能」の節）。プロで足りない部分は、運用の決まりで埋めます
- Slackに置かないものを決める。パスワード・クレジットカード番号・マイナンバー・健康情報は、Slackに書かないと決めます。置き場所はパスワード管理ツールや、権限を絞れる専用のシステムです
最低限の設定の一覧
サンプルデザインがプロプランで入れている設定です。上から順にやれば、半日で終わります。
| 設定 | 既定値 | サンプルデザインの設定 | どこで変えるか | プラン |
|---|---|---|---|---|
| 2段階認証（2FA） | 各自の任意 | 全員に必須、認証アプリのみ | 「ワークスペースの設定」→「セキュリティ」 | すべて |
| 招待 | ゲストとフロントラインメンバー以外が招待できる | 管理者の承認制 | 「権限」タブ→「招待」 | すべて |
| Slackコネクトの招待 | 招待の送信・承諾に承認を挟める | 外部とのつなぎは管理者の承認制 | 「権限」タブ→「Slack コネクトチャンネル」 | 有料 |
| アプリのインストール | メンバーが承認なしで入れられる | 承認済みのアプリだけ | 「アプリとワークフロー」→「アプリの管理設定」 | すべて |
| ファイルの外部リンク | 外部リンクを作る機能がある | 作れないようにする | 「権限」タブ→「ファイル外部共有ポリシー」 | 有料（無料トライアル中は不可） |
| メッセージとファイルの保存 | 有料プランは無期限 | 無期限のまま（理由は下） | 「ワークスペースの設定」の保存期間の項目 | 有料プランは無期限が既定 |
| ゲストの有効期限 | 招待のときに選ぶ | 外注さんは契約期間に合わせて日付を指定 | ゲストの招待画面・「メンバーの管理」 | 有料 |
| AI機能 | プランに含まれる機能が全員に使える | そのまま | 「メンバーの種別と権限」→「機能へのアクセス」→「AI」 | プランによる |
2段階認証（2FA）を全員に必須にする
2段階認証は、パスワードに加えて、スマホに届く確認コードの入力を求める仕組みです。パスワードが漏れても、スマホが無ければサインインできません。小さな会社のSlackの乗っ取りを防ぐ設定として、一番効きます。
必須にする手順
フリー・プロ・ビジネスプラスでは、ワークスペースの設定から有効にします。
- デスクトップアプリのサイドバーで「管理者」をクリックする
- 「ワークスペースの設定」を選び、「セキュリティ」をクリックする
- 「メールアドレスによるサインインの 2 要素認証」の横の「編集」をクリックする
- 「メンバーに対して 2FA の設定を必須とする」にチェックを入れる
- SMSを使わせないなら「認証アプリのみ」を選ぶ
- 「保存」をクリックする
必須にすると、まだ設定していないメンバーに設定方法のメールとSlackの通知が届きます。24時間たっても設定しなかった人は、Slackから強制的にサインアウトされ、2FAを設定するまでサインインできません。これから招待する人は、アカウントを作るときに2FAの設定を求められます。
いきなり必須にすると、外出中の営業や、出社日の少ないパートの事務の人が翌日サインインできなくなります。サンプルデザインでは次の順で進めました。
- 月曜の朝に
#notice-全社で「水曜の正午に2FAを必須にします。それまでに各自で設定してください」と告知する - 設定のやり方をcanvasにまとめて同じ投稿に付ける
- 火曜の夕方に、メンバーの一覧で2FAを設定済みの人を確かめ、未設定の人に個別に声をかける
- 水曜の正午に必須にする
2FAを設定済みの人は、「管理者」→「ワークスペースの設定」→「メンバー」で右上の「フィルター」を開き、「認証」の下の「2 要素認証（2FA）」にチェックを入れると絞り込めます。
SMSか認証アプリか
既定では、各自がSMSと認証アプリのどちらかを選べます。有料プランでは、オーナーと管理者がSMSを使えないようにできます（上の手順の「認証アプリのみ」）。SMSは電話番号を乗っ取られると突破されるので、サンプルデザインは認証アプリだけにしました。スマホの認証アプリ（Google Authenticator など）や、会社で使っているパスワード管理ツールの認証コードの機能が使えます。
Googleでサインインしている会社の場合
Googleのアカウントでサインインしている人は、Slack側ではなくGoogle側の2段階認証で守ります。SSOを使う会社は、IDプロバイダーの側で2FAを設定します。SSOを使っていても、SSOを通らずにメールアドレスとパスワードでサインインできるオーナーと管理者には、Slackの2FAが必須になります。サンプルデザインはGoogle Workspaceを使っているので、Google Workspaceの管理コンソールで2段階認証を必須にし、Slack側の2FAも必須にしています。Googleで続行する人とメールでサインインする人が混ざっていても、両方で守られます。
スマホを替えた・落としてコードが受け取れない
本人が2FAのコードを受け取れなくなったら、管理者が一時的に2FAを無効にします。
- 「管理者」→「ワークスペースの設定」→「メンバー」を開く
- 対象のメンバーの横の3点のメニューをクリックする
- 「2FA を無効にする」をクリックする
本人が次にサインインするとき、2FAの設定をやり直すよう求められます。管理者の2FAを無効にできるのはオーナー、オーナーの2FAを無効にできるのはプライマリーオーナーだけです。本人からの依頼は、電話か対面で本人だと確かめてから受けます。Slackのメッセージで「コードが届かないので解除してください」と来ても、それが乗っ取った人かもしれないからです。
Slackコネクトとゲストを絞る
取引先とのSlackコネクトと外注さんのゲストは、社外の人が社内のワークスペースに入る入口です。
Slackコネクトは、プロとビジネスプラスでは「管理者」→「ワークスペースの設定」→「権限」→「Slack コネクトチャンネル」の「開く」から、招待を送れる人と承認の要否を決めます。設定できるのはワークスペースのオーナーです。承認待ちの招待は「ツールと設定」→「Slack コネクトの招待を管理する」→「未解決リクエスト」に並びます。サンプルデザインでは、ディレクターが取引先を招待すると、管理者の総務Eが承認する形にしています。
ゲストは、招待のときに有効期限を必ず付けます。外注のライターやカメラマンは契約の終わりの日付を指定し、期限が来る前に延長するか決めます。手順は「Slackコネクトとは：取引先と同じチャンネルで話す設定と注意点」と、ゲストの記事に書いています。
社外の人が入るチャンネルは ext- の接頭辞で分けているので、チャンネル名を見れば「ここは社外の人が見ている」と分かります。社内の話をうっかり #ext- に書く事故は、この名前の決まりでかなり減ります。外部の人がいる会話には、外部の人がいると分かる目印も出ます。
アプリを承認制にする
既定では、メンバーが承認なしでアプリをインストールできます。アプリはSlackのメッセージやファイルを読む権限を持つことがあるので、承認制にします。
- 「管理者」メニューから「アプリとワークフロー」を開く
- 「アプリの管理設定」を開く
- 「承認済みアプリを必須とする」の横の「編集」を開く
- 事前承認のアプリだけにするときは「事前承認済みアプリのみを許可する」にチェックを入れて保存する
事前承認のアプリだけにすると、それ以外のアプリはインストールもリクエストもできません。メンバーからのリクエストを受けて承認する運用にしたいときは、このチェックを入れません。サンプルデザインはリクエストを受ける運用にしています。
承認する前に見るのは次の3つです。
| 見ること | 理由 | サンプルデザインの判断の例 |
|---|---|---|
| 何を読める権限か | メッセージの読み取りまで求めるアプリは、全部の会話が外に出る | 読み取りが要らない通知だけのアプリを優先する |
| 誰が提供しているか | 提供元が分からないアプリは更新や問い合わせができない | Slack Marketplaceで提供元と問い合わせ先を確かめる |
| 会社で使っている別のツールで足りないか | 同じ機能のアプリが2つ入ると、片方が放置される | Googleカレンダー・Googleドライブ・GitHubの公式アプリだけ入れる |
切り替えた日に入っているアプリの一覧を見て、使っていないアプリを外します。ワークフロービルダーのコネクタのステップも、アプリの承認が有効なときは承認が要ります。
ファイルの外部リンクを止める
Slackに上げたファイルは、「外部リンクを作成」で、Slackのアカウントを持たない人にも見えるリンクにできます。便利ですが、リンクが転送されると誰でも見られます。社外にファイルを渡すならGoogleドライブで相手を指定して共有すると決め、Slackの外部リンクは止めます。
- 「管理者」→「ワークスペースの設定」を開く
- 「権限」タブを開く
- 「ファイル外部共有ポリシー」の横の「開く」をクリックする
- ボックスのチェックを外す
- 「保存」をクリックする
この設定は有料プランの機能で、プロやビジネスプラスの無料トライアル中は変えられません。設定できるのはワークスペースのオーナーと管理者です。止める前に作られたリンクがどうなるかはヘルプに書かれていないので、止めたあとに試しに作ってあったリンクを開いて確かめます。
メッセージとファイルの保存期間
有料プランでは、既定でメッセージとファイルを無期限に保存します。フリープランは90日分しか見られず、1年を過ぎたものは削除されます。保存期間は、「管理者」→「ワークスペースの設定」の保存期間の項目で確かめます。期間を過ぎて消えたデータは元に戻せません。
保存期間を短くするかどうかは、次の表で決めます。
| 短くするとよくなること | 短くすると困ること |
|---|---|
| 古い会話に残った個人情報やパスワードが自然に消える | 「前に決めた」の根拠が消える |
| 漏れたときに見られる範囲が小さくなる | 取引先から過去の経緯を聞かれても答えられない |
| 退職者のDMが残り続けない | 案件の検索で昔の見積りの話が出てこない |
サンプルデザインは無期限のままにしました。Web制作の案件は保守で数年続き、2年前の仕様の決定をSlackで探すことがよくあるからです。その代わり、個人情報やパスワードを書かない決まりを強くし、間違って書いたらすぐ消す運用にしています。保存期間を短くするなら、残したい決定は案件の管理表やkintone、canvasに書き写してから消える形にします。Slackコネクトのチャンネルでは、自社の保存設定が効くのは自社のメンバーが送ったメッセージとファイルだけで、相手の会社の人が送ったものは相手の会社の設定に従います。
端末を落としたとき・乗っ取られたとき
スマホやパソコンを落とした
本人が、別の端末からほかのセッションをすべて切ります。
- 手元に残っている端末（パソコンなど）のデスクトップアプリで「アカウント設定」のページ（
https://my.slack.com/account）を開く - 「この端末以外からサインアウト」をクリックし、案内に従う
- パスワードを変える
- 落とした端末に2FAの認証アプリが入っていたなら、管理者に2FAを無効にしてもらい、新しい端末で設定し直す
管理者がメンバーを遠隔でサインアウトさせる機能（「Slack からサインアウトする」）はEnterpriseプランの機能で、プロやビジネスプラスにはありません。本人と連絡が取れず、すぐに止めたいときは、管理者がそのアカウントをいったん解除し、本人と連絡が取れてから復活させます。解除と復活の手順は「Slackの退職者対応：アカウントの解除・削除とデータのエクスポート」に書いています。
乗っ取られたかもしれない
覚えのないメッセージが自分の名前で送られている、知らない場所からのサインインの通知が来た、という場合は次の順で動きます。
- 本人が「この端末以外からサインアウト」をする
- パスワードを変える
- 2FAが未設定なら設定する
- 本人のアクセスログで、覚えのない日時・IPアドレス・端末が無いか確かめる
- 管理者に報告し、本人が入っているチャンネルとSlackコネクトのチャンネルで、乗っ取られていた間に送られたメッセージを確かめて消す
- 取引先とのチャンネルで変なリンクが送られていたら、取引先に連絡する
本人と連絡が取れないときは、管理者がアカウントを解除して止めます。乗っ取られたアカウントから取引先の個人情報が見られた可能性があるなら、次の「個人情報」の節の報告の要否も確かめます。
上のプランの機能を公式で確かめた範囲
プロプランで足りないと感じたら、どのプランで何が増えるかを確かめます（2026年10月時点）。
| 機能 | 使えるプラン | 小さな会社で要るか |
|---|---|---|
| SAML SSO | ビジネスプラス以上（フリー・プロはSalesforceの組織を接続済みの会社のみ） | Google Workspaceで入社・退社を管理していて、退職でSlackも自動で止めたいなら検討 |
| SCIM（アカウントの自動作成・停止） | ビジネスプラス以上 | 同上 |
| すべてのメッセージのデータエクスポート | ビジネスプラス以上（Enterpriseは単一ユーザーも） | 訴訟や調査で非公開の会話まで出す必要がある業種なら |
| 受信メールの許可ドメイン | ビジネスプラス・Enterprise | チャンネル用メールアドレスを使うなら |
| データレジデンシー（保存する地域） | ビジネスプラス以上 | 取引先から求められたとき |
| 監査ログ（Audit Logs API） | Enterpriseのみ | 20名ほどでは要らないことが多い |
| 管理者による遠隔サインアウト | Enterpriseのみ | 同上 |
AI機能については、Slackのデータは大規模言語モデルの学習に一切使われず、AIが答えに使うのは、その人がアクセスできるデータだけだと公式に書かれています。会話の要約と検索の回答は保存されず、まとめは90日間保存されます。AIを使わせたくない場合は、「メンバーの種別と権限」→「機能へのアクセス」→「AI」で機能ごとに「該当するメンバーなし」にできます。詳しくは「Slack AIとは：要約・検索の回答・ハドルの議事録と料金」に書いています。
個人情報を書かない決まりと、間違って書いたときの消し方
書かない決まり
Slackはパブリックチャンネルなら社員の誰でも読め、検索で何年も後に出てきます。サンプルデザインでは、次のものはSlackに書かないと決めています。
| 書かないもの | 代わりの置き場所 |
|---|---|
| パスワード・APIキー・サーバーのID | パスワード管理ツール。Slackには「どこに置いたか」だけ書く |
| 問い合わせ客の氏名・電話番号・住所 | 問い合わせの管理表。#log-問い合わせ には件名と受付番号だけ流す |
| 社員の給与・健康状態・家族の事情 | 総務と本人のやり取りに限る（メールか対面） |
| クレジットカード番号・口座の暗証番号 | どこにも書かない |
| 取引先から預かった管理画面のID | 取引先の指定する方法か、パスワード管理ツールの共有 |
#log-問い合わせ は、問い合わせフォームのメールをそのまま流すと氏名や電話番号まで入ります。n8nやワークフローで通知するときは、件名・受付番号・担当だけに絞った本文にします。
間違って書いたときの消し方
書いてしまったら、まず消して、次に広がりを確かめます。
- 書いた本人が、メッセージの3点のメニューから「メッセージを削除する」で消す（既定では自分のメッセージは自分で消せる）
- ファイルを上げてしまったなら、サイドバーの「ファイル」の一覧にも残っていないか確かめ、残っていればファイルも削除する
- スレッドで引用された・転送された・ほかのチャンネルに共有されたものが無いか、検索で確かめて消す
- パスワードやAPIキーなら、消すだけでなく、そのパスワードやキー自体を変える（見られた前提で動く）
- 管理者に「何を・どのチャンネルに・何分くらい出ていたか」を報告する
本人が消せない場合は、削除の権限を持つ人に頼みます。削除したメッセージは元に戻せないので、報告のために、消す前に「どのチャンネルに・いつ・何が」だけはメモしておきます（中身は写さない）。
Slackコネクトのチャンネルで取引先の人が書いたものは、自社の側からは編集も削除もできません。相手に消してもらうよう頼みます。
個人情報保護委員会への報告が要る場合
Slackに書いた個人データが社外に漏れた、または漏れたおそれがある場合、内容によっては個人情報保護委員会への報告が義務になります。報告が要るのは、要配慮個人情報が含まれる、不正に使われて財産的な被害が出るおそれがある、不正な目的の行為による、本人の数が1,000人を超える、のいずれかに当たる場合です。報告は、発覚した日から3〜5日以内に速報、30日以内（不正な目的のおそれがあるときは60日以内）に確報を出します。Slackのチャンネルが乗っ取られて問い合わせ客の情報が見られたかもしれない、という場面は当てはまることがあるので、迷ったら委員会のページで確かめます。
できないことと、その代わり
| できないこと | 代わりの手 |
|---|---|
| プロで管理者がメンバーを遠隔でサインアウトさせる | 本人に「この端末以外からサインアウト」をしてもらう。連絡が取れなければアカウントを解除する |
| プロで監査ログを見る | 設定を変えたら管理者のチャンネルに1行で記録する |
| プロでSAML SSOを使う | Googleでサインインし、Google側で2段階認証を必須にする |
| 取引先の人が書いたメッセージを消す | 相手に消してもらう |
| 消したメッセージを元に戻す | 消す前に場所と時刻だけメモする |
| チャンネルごとに保存期間を変えて、残したい会話だけ残す | 残したい決定はcanvasや案件の管理表に書き写す |
| Slack上でパスワードを安全に共有する | パスワード管理ツールの共有機能を使う |
Slackは連絡の道具なので、厳しい承認や監査の記録を残す仕組みとしては向きません。アクセス権の付与の記録や、個人情報の取り扱いの台帳が要るなら、kintoneなど権限と履歴を細かく持てるシステムに置き、Slackは通知の入口にします。
よく詰まるところ
| 症状 | 原因 | 直し方 |
|---|---|---|
| 2FAを必須にした翌日、パートの事務の人が入れない | 24時間以内に設定しなかったのでサインアウトされた | 本人に2FAを設定してもらう。次からは告知から2日以上空ける |
| 2FAのコードが届かない | スマホを替えた・SMSの受信ができない | 本人確認をしてから管理者が「2FA を無効にする」。設定し直してもらう |
| 管理者の2FAを無効にできない | 管理者の2FAを無効にできるのはオーナー | オーナーに頼む |
| Googleでサインインする人に2FAの案内が出ない | Google側の2段階認証で守る形になる | Google Workspaceの管理コンソールで2段階認証を必須にする |
| 「ファイル外部共有ポリシー」が変えられない | 無料トライアル中、または管理者でない | 有料プランにしてから、オーナーか管理者が変える |
| 取引先の招待が届かないと言われる | 自社の管理者の承認待ちで止まっている | 「Slack コネクトの招待を管理する」の「未解決リクエスト」を見る |
| 管理画面に遠隔でサインアウトさせるメニューが無い | Enterpriseだけの機能 | 本人に操作してもらうか、アカウントを解除する |
| 保存期間を変えたら昔の案件の話が検索で出ない | 期間を過ぎたデータは削除され、戻せない | 戻せないので、残したい決定は事前に書き写す。期間は慎重に決める |
| #log-問い合わせ に客の電話番号が流れている | 問い合わせのメールをそのまま流している | 通知の本文を件名と受付番号だけに絞る |
次にやること
役割の決め方と、ここで扱わなかった管理画面の設定は「Slackの管理者と権限：オーナー・管理者の役割と最初に見直す設定」に書いています。社員が辞めたときのアカウントの止め方は「Slackの退職者対応：アカウントの解除・削除とデータのエクスポート」、取引先とつなぐ設定は「Slackコネクトとは：取引先と同じチャンネルで話す設定と注意点」、入れてよいアプリの例は「Slackのアプリ連携：Googleカレンダー・Googleドライブ・GitHubをつなぐ」にあります。