退職者アカウントが残っていませんか？見落としやすい権限管理の課題

退職者アカウントの管理は、情報漏えい対策や内部統制の観点から重要な運用の一つです。しかし、退職手続きは完了していても、情シス部門によるアカウントの無効化や権限の削除まで適切に対応できているか、不安を感じる企業も少なくありません。

例えば、製造業では工場と本社の間で情報連携が遅れたり、建設業ではプロジェクト単位で出入りする協力会社のアカウント情報が管理部門まで共有されないまま残ってしまったりするケースもあります。こうした管理漏れは、不正アクセスや情報漏えいだけでなく、監査での指摘につながる可能性もあります。

本記事では、情報システム部門が見落としやすい退職者アカウント管理の課題を整理するとともに、権限棚卸しの進め方や、Dropboxを活用した安全な管理体制の構築方法について解説します。

※ 本ブログ記事の内容は、記事掲載時点の情報に基づいて記載されています。そのため、アップデートなどにより現行の情報と異なる場合があります。あらかじめご了承ください

退職者アカウントがリスクになる理由

退職者のアカウントが残り続けることは、セキュリティ・内部統制・監査対応の3つの観点でリスクとなります。ここでは、それぞれの具体的な問題を確認してみましょう。

情報漏えいにつながるリスク

退職者アカウントの放置が引き起こす大きなリスクは、情報漏えいです。

例えば、退職した営業担当者のクラウドサービスアカウントが有効なまま残っていると、退職後も顧客リストや商談情報へアクセスできる状態が続いてしまいます。万が一、元従業員や第三者に悪用された場合、情報持ち出しにつながるおそれがあります。

このように、退職者アカウントが残り続けることは、会社の情報資産へアクセスできる経路を残したままにすることを意味します。退職後もSaaSや社内システムへログインできる環境があると、情報が持ち出されるリスクが高まるだけでなく、外部の攻撃者に悪用される可能性もあります。

また、退職者アカウントは日常業務で利用されないため、管理者の目に触れる機会が少なく、存在そのものが忘れられがちです。その結果、管理対象から外れたまま長期間放置され、問題が発覚した頃には被害が拡大しているケースもあります。

内部統制・J-SOX対応への影響

退職者アカウントを含むアクセス権限の管理は、J-SOXにおけるIT全般統制（ITGC）でも確認されやすい重要な管理項目です。権限の付与・変更・削除が適切に行われているかを確認するため、アカウント管理は次の2つの観点で運用することが重要です。

●      予防的統制：入社時のアカウント発行、異動時の権限変更、退職時の削除など、不正を未然に防ぐための仕組み

●      発見的統制：定期的な権限棚卸しを実施し、不要なアカウントや過剰な権限が残っていないかを確認する仕組み

例えば、棚卸しを実施していないと、「異動後も旧部署の権限が残っている」「業務委託が終了したにもかかわらずアカウントが削除されていない」といった問題を見落とす可能性があります。

近年では、IT内部統制は上場企業だけでなく、ISMS認証の取得を目指す企業や、取引先からセキュリティ体制の説明を求められる企業にとっても重要性が高まっています。

監査・取引先への説明責任

外部監査や内部監査において、退職者アカウントの管理状況は頻出の指摘事項です。監査法人が主に確認するのは以下の3点です。

▼監査法人の確認項目の例

●      アカウントの発行・変更・削除の「申請記録」と「承認記録」が残っているか

●      定期的な棚卸しが実施され、その「エビデンス（記録）」が保管されているか

●      退職日からアカウント無効化までの「タイムラグ」が許容範囲内か

近年はSaaSの導入数が増加したことで、アクセス権限の管理が急速に複雑化しています。人事、財務、営業、コラボレーションなど、多岐にわたるシステムで個別にアカウント管理が発生しており、この複雑さが棚卸し漏れや記録不備の温床となっています。

退職者アカウント管理で見落としやすい課題

退職者アカウントの管理が不十分になる背景には、構造的な原因があります。多くの企業に共通する3つの問題を取り上げます。

人事部門と情シス部門の連携不足

退職者アカウントの管理漏れは、人事部門と情シス部門の情報連携が十分でないことが原因となるケースが少なくありません。

例えば、人事部門では退職手続きが完了していても、その情報が情シス部門へ速やかに共有されず、アカウントの無効化が数日から数週間遅れることがあります。また、個々のクラウドサービスまで管理が行き届かず、退職後も業務システムへログインできる状態が続いてしまうケースもあります。

業種によっては、次のような事情も管理漏れにつながります。

●      製造業： 工場でPCを共有利用するケースや交代制勤務が多く、個人アカウントの管理が曖昧になりやすい

●      建設業： 協力会社や派遣社員の出入りが多く、現場で発行したアカウントが管理部門へ共有されないまま残りやすい

このような管理漏れはすぐに問題化するとは限りません。そのため、退職対応が完了したと思っていても、把握できていなかったSaaSのアカウントが数ヶ月後に見つかるケースもあります。

属人化した管理体制

アカウント管理を特定の担当者だけに任せている場合、担当者の異動や退職によって管理体制が維持できなくなるおそれがあります。

特に少人数の情シス部門では、管理台帳や運用ルールの所在が引き継がれず、どのSaaSで誰のアカウントを管理しているのか把握できなくなるケースも少なくありません。

その結果、権限が残ったアカウントが長期間放置され、設定変更やデータ削除など、本来許可されるべきではない操作が可能な状態となるリスクがあります。

運用ルールの形骸化

退職者アカウントの削除ルールを定めていても、実際の運用が徹底されていないケースは少なくありません。特に、次のような状態は見直しが必要です。

●      対象サービスが管理対象から漏れている

●      対応期限や手順が明確になっていない

●      削除完了を確認するフローが整備されていない

例えば、部門ごとに独自導入したSaaS（シャドーIT）が管理対象に含まれていなかったり、「退職時に対応する」とだけ定められ、具体的な期限や担当者が決まっていなかったりすると、アカウントが削除されずに残る可能性があります。また、削除作業の確認者が決まっていない場合、対応漏れがあっても気づきにくくなります。

さらに、利用されていないアカウントを残したままにすると、クラウドサービスのライセンス費用が継続して発生し、不要なコストにつながることもあります。退職者のアカウントが複数残っている場合、その積み重ねは無視できない負担となります。

権限棚卸しの進め方

退職者アカウントの問題を防ぐには、「退職時のアカウント削除（予防）」と「定期的な権限棚卸し（発見）」の両方を継続して行うことが重要です。ここでは、実務で取り組みやすい3つのステップを紹介します。

STEP1｜管理対象を洗い出す

まずは、棚卸しの対象となるアカウントやシステムを整理します。以下の表を参考に、自社で利用しているシステムを洗い出しましょう。

製造業では生産管理システムやCADライセンス、建設業では施工管理アプリや図面共有サービスなど、業種特有のシステムも忘れずに確認することが重要です。

また、部門が独自に契約しているSaaS（シャドーIT）は、情シス部門の管理台帳に含まれていないことがあります。各部門へのヒアリングや、コーポレートカードの利用明細を確認することも、有効な洗い出し方法です。

STEP2｜優先順位をつけて確認する

管理対象を整理したら、リスクの高い項目から優先的に確認します。

▼最初に確認したい項目

●      最終ログイン日：3ヶ月以上利用されていないアカウントがないか

●      権限レベル：管理者権限や特権IDが不要なまま残っていないか

●      外部共有の状態：社外との共有リンクやフォルダ共有が有効なままになっていないか

▼次に確認したい項目

●      人事データとの照合：在籍者リストと有効なアカウントに相違がないか

●      共有アカウントの利用状況：共通アカウントやSNSアカウントのパスワードが適切に管理されているか

●      自動化フローの引き継ぎ：退職者が作成したワークフローやマクロが適切に引き継がれているか

STEP3｜継続的に運用できる仕組みを整える

棚卸しは一度実施して終わりではなく、継続して運用できる仕組みを整えることが重要です。特に、次の3点を意識すると運用を定着させやすくなります。

●      棚卸しの実施時期を決める：最低でも年1回、可能であれば四半期ごとに実施する

●      チェックリストを整備する：退職決定から最終出社日、退職後までの対応手順を明確にする

●      証跡を残す：実施日や確認者、対応内容を記録し、監査時に確認できるよう保管する

一度チェックリストや運用ルールを整備すれば、毎回ゼロから対応する必要はありません。継続的に運用できる仕組みを構築することで、作業負荷の軽減と管理品質の向上につながります。

自社の権限管理体制に不安がある場合は、まず退職者アカウントや不要な権限が残っていないかを確認することが重要です。「ファイル共有管理セルフチェックガイド」では、権限管理の現状把握と改善ポイントを体系的に確認できます。

ファイル共有管理セルフチェックガイド

Dropboxを活用した権限管理

ここまで解説してきた退職者アカウント管理や権限棚卸しの課題に対して、Dropboxの管理機能を活用することで、運用負荷を抑えながら安全な管理体制の構築につながります。

管理コンソールでユーザーを一元管理する

Dropboxの管理コンソールでは、パスワードのリセットやメンバーの一時停止・削除、アクティビティログの確認などを一元的に行えます。退職者対応では、特に次の機能が役立ちます。

●      アカウントの一時停止

退職日にアクセスを即座に遮断できます。データは保持されるため、あとから安全に引き継ぎ作業を進められます。

●      ファイルの転送

ユーザーのアカウントを削除（プロビジョニング解除）する際、所有していたファイルを別のチームメンバーへ一括で引き継げます。なお、削除済みメンバーが所有していたファイルを移行できる期間はプランごとに異なり、バージョン履歴の制限期間内に限られます。制限期間を過ぎると、ファイルの復元や移行ができなくなるため、退職時に速やかに引き継ぎを行うことが重要です。

●      代理ログイン

チーム管理者がメンバーのアカウントへ一時的にアクセスできる機能です。トラブル対応や、退職者に代わる共有作業を円滑に進められます（※Advanced・Enterpriseプランで利用可能）。

アクセス権と外部共有を適切に管理する

Dropboxでは、チームフォルダごとにアクセス権の追加・変更・削除を柔軟に設定できます。メンバーシップの制御や共有リンクの制限、閲覧者情報の表示設定などにも対応しています。

退職者による情報漏えいリスクを抑えるためには、次のような設定が有効です。

●      フォルダ単位で権限を設定する

部門やプロジェクトごとにアクセス範囲を限定することで、退職時の影響範囲を最小限に抑えられます。

●      外部共有を制御する

管理者がチーム外との共有を制限することで、退職者を介した情報流出リスクの低減につながります。

●      グループ単位で権限を管理する

部門ごとにグループを作成してフォルダを共有しておけば、異動や退職時の権限変更も効率的に行えます。

アクティビティログとセキュリティアラートで操作状況を確認する

Dropboxのアクティビティログでは、ログインや共有リンクの作成、メンバー管理など、チーム内で行われた操作履歴を確認できます。日付、アクティビティ、ユーザー、コンテンツタイプなどで絞り込み、CSV形式のレポートとして出力することも可能です。

アクティビティログでは、チームがDropboxを利用している期間の操作履歴を確認できます。一方、バージョン履歴は、ファイルを以前の状態に戻したり、削除済みファイルを復元したりできる期間を指す別の機能であり、保持期間はプランごとに異なります。なお、Business Plus、Advanced、Enterpriseプランでは、ファイルの追加・編集・移動・削除など、ファイルレベルのアクティビティも確認できます。

また、対応プランではDropboxのセキュリティアラートを利用でき、一括削除などの不審な動きを検知した際に管理者へ通知します。アラートの詳細画面から、削除されたファイルの復元や対象メンバーの使用停止などの対応に進めるため、異常発生時の早期把握と初動対応に役立ちます。

さらに、アクティビティレポートを期間やユーザー、操作内容などで絞り込むことで、退職前後の不審なダウンロードや大量のファイルアクセスを調査しやすくなります。Dropbox APIを利用すれば、既存のSIEM（セキュリティ情報イベント管理）ツールと連携し、社内のセキュリティ監視基盤へ統合できます。

法人向けプランの詳細はこちらの記事をご覧ください。

Dropboxの法人プランを徹底比較｜Standard・Advanced・Enterpriseの違いと選び方

まずは現状を確認してみましょう

退職者アカウントの放置は、気づかないうちに情報漏えいや監査での指摘、不要なライセンスコストの発生などにつながるおそれがあります。まずは、自社の管理体制がどのような状況になっているのか、以下の観点から確認してみましょう。

●      退職者のアカウント削除は、退職日当日に完了していますか。

●      管理対象のSaaSやシステムは、漏れなくリストアップされていますか。

●      定期的な権限棚卸しのスケジュールは決まっていますか。

●      棚卸しの記録は、監査証跡としていつでも提出できる状態で保管されていますか。

●      外部共有の設定は、現場任せにせず適切に管理されていますか。

一つでも確認できない項目があれば、運用を見直す余地があります。「ファイル共有管理セルフチェックガイド」では、権限管理体制の現状把握と改善ポイントを体系的に確認できます。ぜひご活用ください。

▼関連資料

ファイル共有管理セルフチェックガイド

まとめ

退職者アカウントの管理では、退職時のアカウント削除だけでなく、定期的な権限棚卸しを継続して実施することが重要です。人事部門と情シス部門が連携し、チェックリストや運用ルールを整備することで、情報漏えいや監査対応のリスクを低減できます。

また、Dropboxのようにユーザー管理やアクセス制御、監査ログの取得に対応したクラウドストレージを活用すれば、運用負荷を抑えながら、安全で継続的な権限管理を実現しやすくなります。

導入方法や運用ルール、プラン選びについてお悩みの場合は、「Dropbox相談センター」をご利用ください。