社員が使っているメールアドレス、クラウドサービス、社内システムのアカウントを「誰が」「何を」持っているか、すぐに確認できるでしょうか。
突然IT担当になった場合、意外と把握しづらいのがアカウントです。PCなどの機器は目に見えるため棚卸ししやすい一方、アカウントは各サービスの中に存在するため、管理が後回しになりがちです。
しかし、退職者のアカウントが残っていたり、異動後も不要な権限が付いたままになっていたりすると、不正アクセスや情報漏えいにつながるリスクがあります。
この記事では、初心者IT担当が最初に用意したいアカウント管理台帳と、入社・異動・退職に合わせて運用するための基本ルールを解説します。
アカウント管理で最初にやること
最初にやるべきなのは、高機能な管理ツールを導入することではありません。
まずは、
- 誰が
- どのサービスの
- どのアカウントを
使っているのかを一覧で確認できる状態にします。
この見える化ができていないと、退職や異動が発生したときに、どのアカウントや権限を変更・停止すればよいのか判断できません。
社員数や利用サービスがまだ少ない会社であれば、ExcelやGoogleスプレッドシートなど、社内で利用を認められている表計算ツールから始めてもよいでしょう。
ただし、台帳自体にも社員名やアカウント情報が含まれます。誰でも閲覧・編集できる状態にはせず、必要な担当者だけがアクセスできるようにしておくことが大切です。
また、アカウント管理台帳とパスワード管理は分けて考えます。
台帳は「誰がどのアカウントを持っているか」を把握するためのものであり、パスワードそのものを同じ表へ平文で記録する運用は避けましょう。パスワードを組織として管理する必要がある場合は、パスワード管理に適した方法を別途用意します。
具体的なパスワードの長さ・使い回し防止・保管方法・共有時のルールについては、会社のパスワード管理方法｜初心者IT担当が決めるルールと安全な運用で詳しく整理しています。
アカウント管理の基本は、
作る → 必要に応じて変更する → 不要になったら止める
という流れを、入社・異動・退職などのタイミングに合わせて漏れなく行うことです。
台帳は、その判断をするための土台になります。
アカウント管理台帳に何を記録するか
最初の台帳では、必要以上に項目を増やさず、実際の管理に使う情報を中心にします。
| 項目 | 内容 |
|---|---|
| 利用者 | アカウントを使用している社員 |
| 所属部署 | 利用者の現在の所属部署 |
| サービス・システム名 | メール、クラウドサービス、社内システムなど |
| アカウントID／メールアドレス | ログイン時に使う識別子 |
| 権限・役割 | 一般利用者、管理者など |
| 利用状態 | 利用中、停止中、削除済みなど |
| 作成日 | アカウントを発行した日 |
| 停止予定日または退職日 | 利用停止を確認するための日付 |
| ライセンス | 有償ライセンスの割り当て状況など |
ここで大切なのは、最初から完璧な台帳を作ろうとしないことです。
項目を増やせば詳しい情報を残せますが、その分だけ更新の手間も増えます。更新されなくなった台帳は実際の状態とずれ、いざ確認したいときに使えません。
まずは必要最低限で始め、実際の運用で必要になった情報だけ追加していく方が管理を続けやすくなります。
なお、アカウントとPCなどの機器は分けて管理します。
「誰がどのPCを使っているか」も整理したい場合は、IT資産管理台帳の作り方とあわせて整備すると、利用者・端末・アカウントの関係を把握しやすくなります。
入社・異動・退職でアカウントを管理する
アカウント管理で特に重要なのが、社員の入社・異動・退職に合わせた更新です。
入社時
入社時は、その人の業務に必要なアカウントと権限を確認して発行します。
「とりあえず他の社員と同じものを全部付ける」といった運用では、必要以上の権限を持つアカウントが増えてしまいます。
所属部署や担当業務を確認し、必要なものだけを用意することを基本にしましょう。
異動時
異動時は、台帳の所属部署を書き換えるだけでは不十分です。
異動前の部署で必要だった、
- ファイルやフォルダへのアクセス権
- 社内システムの権限
- 管理者権限
- SaaSのライセンス
などが、異動後も必要なのか確認します。
不要になった権限をそのまま残すと、異動を繰り返すうちに一人の社員へ多くの権限が積み重なってしまいます。
新しく必要な権限を追加するだけでなく、不要になった権限を外すことまでを異動対応に含めておきましょう。
退職時
退職時は、その社員が利用していたアカウントを洗い出し、サインイン禁止や利用停止など必要な処理を行います。
ただし、「退職したらすべてのアカウントを即削除する」と一律に決めるのは避けた方がよい場合があります。
たとえば、
- メールを後任者へ引き継ぐ
- 業務データを確認・移行する
- 一定期間データを保存する
といった対応が必要になることがあります。
そのため、利用停止とデータ削除を分けて考えるのがポイントです。
いつ利用できなくするのか、データをいつまで残すのか、最終的にいつ削除するのかは、自社の情報管理ルールや利用しているサービスの仕様に合わせて決めます。
人事・総務からIT担当へ情報が届く仕組みを作る
アカウント台帳を作っても、IT担当が入社・異動・退職を知らなければ更新できません。
そのため、アカウント管理では台帳そのものと同じくらい、人の動きをIT担当へ伝える仕組みが重要です。
たとえば、
- 入社者が決まったらIT担当へ連絡する
- 異動が決まったら変更日と所属先を連絡する
- 退職が決まったら最終出社日を連絡する
といった流れを、人事・総務や各部署との間で決めておきます。
IT担当が社内の変化に偶然気づいて対応する運用では、どうしても抜け漏れが発生します。
「誰が連絡するか」「何が決まった時点で連絡するか」を決めておくだけでも、アカウント管理はかなり安定します。
権限は必要最小限にする
アカウントには、業務に必要な範囲の権限だけを付与することを基本にします。
特に避けたいのが、必要性を確認せず管理者権限を付与することです。
管理者権限を持つアカウントでは、一般利用者ではできない設定変更や情報へのアクセスが可能になる場合があります。そのため、アカウントが乗っ取られたり誤操作が発生したりした場合の影響も大きくなります。
利用しているシステムが対応している場合は、
- 普段の業務で使うアカウント
- 管理作業で使うアカウント
を分ける運用も検討できます。
管理作業をするときだけ管理者用アカウントを使用すれば、強い権限を持つアカウントを日常的に使用する機会を減らせます。
また、多要素認証（MFA）を利用できる環境では、特に重要なアカウントや管理者アカウントから優先して設定を検討しましょう。具体的な認証方式や導入順は、多要素認証（MFA）とは？会社で導入するときの方法と注意点で整理しています。
共有アカウントはできるだけ減らす
複数人で同じIDを使う共有アカウントは、できるだけ減らします。
共有アカウントの大きな問題は、トラブルが発生したときに誰が操作したのか分からなくなることです。
一人ひとりに個別のアカウントを割り当てられるサービスであれば、原則として個人単位のアカウントを使う方が管理しやすくなります。
ただし、業務上どうしても共有IDを使わなければならないシステムもあります。
その場合は、
- 誰が利用を許可されているか
- 誰がいつ利用したか
- 利用者が変わったときにどう管理を更新するか
を確認できる仕組みを用意します。
具体的な方法はシステムによって異なるため、利用しているサービスの機能やログの取得方法を確認して決めましょう。
定期的にアカウントを棚卸しする
アカウント台帳は、作っただけでは徐々に実態とずれていきます。
定期的に棚卸しを行い、少なくとも次のような状態がないか確認しましょう。
- 退職者のアカウントが利用可能なまま残っていないか
- 異動後も不要な権限が残っていないか
- 長期間使われていないアカウントがないか
- 不要な管理者権限が付いたままになっていないか
- 使われていない有料ライセンスが残っていないか
棚卸しを必ず毎月行わなければならない、というわけではありません。
社員数、入退社や異動の頻度、利用しているサービス数などによって、必要な確認頻度は変わります。
重要なのは、担当者が思い出したときだけ確認するのではなく、自社に合った周期を決めて継続することです。
最初はExcel管理でもよいが、限界もある
社員数や利用サービスが少ない段階では、表計算ソフトによるアカウント台帳でも管理できます。
しかし、社員数やSaaSの数、入退社の頻度が増えてくると、次のような問題が起こりやすくなります。
- 更新漏れによって台帳と実態がずれる
- 複数サービスを個別に確認する作業が増える
- 入退社のたびに多くのサービスで設定変更が必要になる
- アカウントやライセンスの棚卸しに時間がかかる
こうした手作業が負担になってきたら、ID管理、IDプロバイダー（IdP）、シングルサインオン（SSO）、SaaS管理などの仕組みを検討する段階です。
ただし、SSOを導入しただけで、すべてのサービスのアカウント発行・変更・停止が自動化されるわけではありません。
実際にどこまで一元管理・自動化できるかは、利用しているサービスとの連携方法や機能によって異なります。
まずは表計算ソフトなどで管理の基本を作り、手作業では運用が難しくなってきた段階で、自社の課題に合った仕組みを検討するとよいでしょう。
初心者IT担当が最初に決める運用ルール
アカウント管理を始めるなら、最初から複雑な仕組みを作る必要はありません。
まずは次の6つを決めておきましょう。
- アカウント管理台帳を作り、誰が何を使っているか把握する
- 台帳とパスワード管理を分ける
- 入社・異動・退職の情報がIT担当へ届く経路を決める
- アカウントや権限は業務に必要な範囲だけ付与する
- 共有アカウントはできるだけ減らす
- 定期的にアカウントと権限を棚卸しする
アカウント管理で重要なのは、最初から完璧な管理システムを作ることではありません。
まず「誰が何を使っているか」を見えるようにし、人の入社・異動・退職に合わせて作る・変更する・止める運用を回せるようにすることが第一歩です。
そこまでできれば、利用者やサービスが増えたときにも、どこを自動化・効率化すべきか判断しやすくなります。