退職者のアカウント、片づけ漏れを防ぐ5つの手順

なぜ残すと困るのか

IPA の「組織における内部不正防止ガイドライン」は、異動や退職で不要になった ID が消されていないと、社員や元社員に不正に使われ、重要な情報を見られるおそれがあると説明しています。管理ができていないと、不正があっても責任を追及できず、会社の管理責任を問われることもあるとしています。

外からの攻撃でも同じです。IPA は10月の注意喚起で、作った覚えのないアカウントや、止めたはずなのに有効なアカウントがないかを確かめるよう求めました。国家サイバー統括室も11月の注意喚起で、作業が終わった委託先のアカウントの棚卸しを挙げています。使う人のいないアカウントでは、異変に気づく人もいません。

手順1 一覧を作る

まず、メール、社内のクラウド、会計、給与、勤怠、Web サイトの管理画面、ネット通販の管理画面、SNS、VPN、NAS など、会社で使っているサービスを書き出します。部署ごとに契約しているものも入れます。サービスごとに誰のアカウントがあるのかを表にします。

表の列はサービス名、利用者、権限（管理者か一般か）、止める担当の4つで始められます。管理者が1人しかいないサービスには印を付けます。Microsoft も、最後の全体管理者が組織を離れることを、アカウントを復旧できなくなるおそれのある例に挙げています。

手順2 連絡の流れを決める

退職が決まったら総務や人事から管理者へ連絡する流れを決めます。退職日だけでなく最終出社日も伝えます。異動も同じです。IPA の自社診断の資料も、異動や退職のときは速やかに設定を変えるか削除するよう求めています。

内部不正防止ガイドラインは、ID の手続きに漏れがないよう人事の手続きと連携させること、設定が終わったら報告する手続きを定めることを挙げています。小さな会社なら、退職手続きの書類に「アカウント停止の依頼」と「完了の報告」の2行を足す形で始められます。

手順3 止めてから消す

最終出社日にアカウントを止めます。すぐに消さないのは、消すと記録まで失うことがあるからです。ガイドラインも、ID を消すとアクセス記録が消える場合はロックして記録を残すよう説明しています。メールの引き継ぎと記録の保存が終わったら削除します。

止める操作には順番と時間差があります。Microsoft 365 の手順はパスワードのリセットを最初の手順に置き、次に「すべてのセッションからサインアウト」を実行します。サインアウトは1時間以内に効きます。「サインインのブロック」は反映に最大24時間かかることがあるので、すぐに止めたいときはパスワードのリセットを先に行います。

Google Workspace のヘルプが挙げる順番は次のとおりです。

1. モバイル端末のデータを遠隔で消す
2. 回復用のメールアドレスと電話番号を消す
3. パスワードを変える
4. アプリに与えた許可（OAuth トークン）を取り消す
5. サインイン Cookie をリセットする
6. セキュリティキーとアプリ用パスワードを取り消す
7. 残すデータを別のアカウントに移し、アカウントを削除する

消す時期の分かれ目は、データの行き先が決まったかどうかです。Microsoft 365 ではアカウントを消すとメールと OneDrive の中身は30日間保持され、その間はアカウントを復元できます。Google は、削除したユーザーのデータを移すには20日以内に復元が要るとして、データを残したいなら停止かアーカイブを検討するよう案内しています。引き継ぎが終わるまでは消さず、止めたまま残します。

止める日にも分かれ目があります。通常は最終出社日ですが、ガイドラインは雇用の終わる間際に情報の持ち出しが起きやすいとして、一定期間前から PC などを管理下に置くことが望まれるとしています。トラブルを抱えた退職では、最終出社日を待たずにアクセスの範囲を絞ることを考えます。

手順4 共有の鍵を替える

管理画面、SNS、複合機、Wi-Fi など、本人が知っていた共有のパスワードを替えます。本人の私物スマートフォンに多要素認証のアプリが入っていれば登録を外します。外部のクラウドに共有したリンクや、メールの自動転送の設定も確かめます。パソコンやスマートフォン、USB メモリなどの貸与品は回収します。

ガイドラインの確認項目には入館証の返却と、テレワークのために与えた権限の削除も入っています。共有の ID については、誰がアクセスしたか分からなくなるとして、1人ずつ別の ID を使うよう求めています。替える手間が重いサービスから1人1アカウントに切り替えていくと、次の退職の作業が減ります。

手順5 半年に一度見直す

片づけには漏れが出るものです。半年に一度、手順1の表と社員名簿を見比べ、委託先のアカウントも見ます。ガイドラインは委託先の体制が変わったら委託元に報告してもらう例を挙げています。

ガイドラインは定期的な見直しの例として人事異動の時期に一斉に見直す方法を挙げ、権限が集中している人は特に確かめるよう書いています。異動の時期に合わせて予定に入れておくと忘れません。

いない人の有効なアカウントが見つかったら、消す前にログインの履歴を見ます。退職後のログインがあれば不正利用の疑いがあるので、止めたうえで記録を残します。IPA は異常なアカウントが見つかった場合、速やかにセキュリティインシデントと判定して対応を進めるよう求めています。

小さな会社の進め方

管理者が1人でも、表と決まりがあれば回ります。最初の表づくりはメールとクラウド、管理画面の3つからで十分です。管理者本人が辞める場面に備えて、クラウドの管理者の権限はもう1人に持たせておきます。委託先に聞くことはシステムの委託先に聞くべき5つのことにまとめています。