第1部 立ち上げ

第3章 アカウントとID管理 — 入退社と最小権限

アカウント(ID)は、会社の情報という建物に入るための鍵です。鍵の配り方・回収の仕方を仕組みにできるかどうかで、会社の安全は大きく変わります。

🎯 この章で学ぶこと

  • IDがなぜ最重要の守りどころなのか(認証と認可の基本)
  • 入社・退社を「チェックリスト」で事故なく回す方法
  • 最小権限と定期的な権限の見直し、共有アカウントを避ける理由
  • パスワードマネージャ・MFA・SSOで、一人情シスが楽をしながら安全にする

3.1 IDは会社の玄関の鍵

アカウント(ID)とは、「あなたは誰で、何をしていいか」を情報システムに伝えるための身分証です。これが乗っ取られると、正規の社員になりすまして中に入られ、被害が一気に広がります。近年の重大な情報漏えいの多くは、システムの高度な破壊ではなく、正しいIDとパスワードで正面から堂々と入られる形で起きています。だからIDの管理は、一人情シスが最初に固めるべき守りの要です。

少しだけ言葉を整理します。よく似た2つの概念があります。

用語意味身近な例え
認証(にんしょう)「本人であること」を確かめる仕組み玄関で「あなたは本当に山田さんですか?」を確認する(鍵・パスワード・顔)
認可(にんか)「本人が何をしていいか」を決める仕組み入れた山田さんが、社長室にも入れるのか、自席までなのか

「パスワードやMFAで守る」のは認証の話、「その人にどの権限を与えるか」は認可の話です。この2つを分けて考えると、後述の「最小権限」の意味がクリアになります。認証・認可の技術的な仕組みをもっと深く知りたい場合は、セキュリティ中級・上級コース第3章(認証・認可アーキテクチャ)で扱っています。

3.2 入社時 — オンボーディング

新しい社員が入るとき、情シスは複数のアカウントを一気に用意します。メール、チャット、勤怠、共有フォルダ、業務システム……。数が多いので、記憶や思いつきで対応すると必ず抜けが出ます。ここはチェックリスト化して「毎回同じ手順」で回すのが鉄則です。

ステップやること
1. アカウント作成メール、チャット、必要な業務システムのIDを作成。命名規則(例:氏名ベース)を統一しておく
2. 権限付与その人の職務に必要な権限だけを付与(次節の最小権限)。「とりあえず全部」は避ける
3. 端末の準備PCのキッティング、初期パスワード設定(端末は第4章)
4. 初期設定の案内パスワード変更、MFA登録、パスワードマネージャの使い方を案内
5. 台帳へ記録「誰に、何のアカウントを、いつ発行したか」を資産台帳(第2章)に記録
✅ 「職種テンプレート」を作っておく

毎回ゼロから考えると大変です。「営業職なら:メール+CRM+勤怠」「経理職なら:メール+会計+勤怠」のように、職種ごとに必要なアカウント・権限のセットをあらかじめ決めておくと、入社対応が一気に楽になり、付与漏れ・付与しすぎの両方を防げます。総務や人事と入社日を共有し、前もって準備できる流れを作りましょう。

3.3 退職時 — オフボーディング

入社より何倍も重要で、そして最も事故が起きるのが退職時です。退職者のアカウントを止め忘れると、そのIDは「誰も見張っていない、生きた侵入口」として残り続けます。悪意ある元社員が情報を持ち出す、あるいは第三者にそのアカウントを乗っ取られる——どちらも実際に起きている事故です。

⚠️ 放置された退職者アカウントは、最も狙われる侵入口

退職者アカウントの怖さは「誰も使っていないので、不正利用されても気づかれない」点にあります。現役社員のアカウントが乗っ取られれば本人が異変に気づきますが、退職者のアカウントは異常があっても誰も見ていません。攻撃者にとって理想の隠れ家です。退職日(できれば最終出社日の業務終了時刻)に、確実に、すべてのアカウントを無効化する——これは一人情シスの守りの中でも最優先級のルールです。

退職時も、入社時と同じくチェックリストで漏れをなくします。特に「削除」ではなく、まず「無効化(ログインできない状態にする)」から入るのがコツです。いきなり削除すると、その人が持っていたデータやメールにアクセスできなくなり、後で困ることがあるからです。

ステップやること
1. アカウント無効化退職の日時に合わせ、全アカウントのログインを即時停止。パスワードを変更するのも有効
2. MFA・端末の切り離し本人のスマホに紐づくMFAや、端末からのアクセスを解除
3. データの引き継ぎメール・ファイルを上長や後任へ移管、または一定期間保持してから削除
4. 端末の回収貸与PC・スマホ・入館カードなどを回収(端末の返却は第4章)
5. 台帳の更新「いつ、どのアカウントを止めたか」を記録。個人名義の契約が残っていないかも確認(第2章)
💡 「辞める」を情シスが最後に知る問題

退職事故の多くは、情シスへの連絡が遅れることで起きます。「退職を人事しか知らず、情シスが後から気づいた」では手遅れになりかねません。人事・総務と、「退職が決まったら、この日までに情シスへ連絡する」というルールをあらかじめ握っておきましょう。仕組みで連絡が来るようにすることが、あなたの負担と会社のリスクを同時に減らします。

3.4 最小権限と定期的な棚卸し

最小権限(さいしょうけんげん)とは、「その人が仕事をするのに必要な最小限の権限だけを与える」という考え方です。全員に管理者権限を配れば運用は楽ですが、一つのアカウントが乗っ取られたときの被害が青天井になります。必要な扉の鍵だけを渡す、という基本を守ります。

やっかいなのは、権限は放っておくと増える一方だという性質です。異動・兼務・「一時的に必要だから」で足された権限は、用が済んでも回収されず溜まっていきます。気づけば「入社以来の全権限を持った古参社員」だらけ、という状態になります。これを防ぐのが定期的な棚卸しです。

共有アカウントを避ける理由

「営業部で1つのIDを皆で使い回す」といった共有アカウントは、便利に見えて危険です。理由は主に3つあります。①誰が操作したのか記録に残らない(何か起きても犯人が特定できない)、②一人が辞めてもパスワードを変えづらく、退職者が入れてしまう、③パスワードが人づてに広がり漏れやすい。原則として、アカウントは一人ひとつにし、どうしても共有が必要なものは後述のパスワードマネージャで管理範囲を絞ります。

3.5 パスワードとMFA

認証の基本は「パスワード」と、それを補強する「MFA」です。一人情シスがまず社内に根づかせたいのが、この2つの習慣です。

パスワードマネージャの導入

「複雑なパスワードを、サービスごとに別々に、覚えて使い分ける」——これは人間には無理です。無理を強いた結果、みんな同じ簡単なパスワードを使い回し、付箋に書いて貼ります。解決策は精神論ではなく道具、パスワードマネージャの導入です。長く複雑なパスワードを自動生成し、金庫のように安全に保管してくれます。利用者は「1つのマスターパスワード(とMFA)」だけ覚えればよくなります。

✅ パスワードの安全な共有もマネージャで

共有アカウントのパスワードや、Wi-Fiのパスワードを「チャットに貼る」「メールで送る」のは危険です。多くのパスワードマネージャには安全な共有機能があり、「この人にだけ、このパスワードを見せる」を管理できます。退職時にはその共有を外すだけで済みます。第2章で触れた「台帳に平文パスワードを書かない」も、これで実現できます。

MFA(多要素認証)の必須化

MFA(多要素認証)とは、パスワード(知っているもの)に加えて、スマホアプリの確認や生体認証(持っているもの・本人であること)など、2つ目の要素を求める仕組みです。仮にパスワードが漏れても、2つ目の要素がなければ入られません。MFAは、コストが低い割に効果が絶大な、最優先のセキュリティ対策です。とくにメール、管理者アカウント、外部からアクセスできるサービスには、必ず有効化しましょう。

パスワードのハッシュ化や、なぜMFAが強いのかといった技術的な背景を深く知りたい場合は、入門コース(🐍 Python × セキュリティ)第12章(暗号・ハッシュ・パスワード管理)が橋渡しになります。

3.6 SSO / IDaaS で一元管理

ここまでの「入社で複数アカウントを作り、退職で全部止め、権限を見直す」という作業は、サービスの数だけ手間が増えます。10個のSaaSがあれば、退職者1人につき10箇所を止めて回る——これは一人情シスには重い負担で、止め忘れの温床でもあります。

これを根本から楽にするのがSSO(シングルサインオン)と、それを提供するIDaaS(クラウドのID管理サービス)です。SSOは「1つのIDで、連携した複数のサービスにログインできる」仕組み。会社の入口(玄関)を1つにまとめるイメージです。

SSOがない場合SSOがある場合
サービスごとにIDとパスワードがバラバラ1つのIDで各サービスにログイン
入社時に10箇所でアカウント作成1箇所の設定で、連携サービスへまとめて反映
退職時に10箇所を止めて回る(止め忘れ多発)玄関の1アカウントを止めれば、連携先すべてに入れなくなる
MFAをサービスごとに設定玄関でMFAをかければ全体に効く

とくに退職時に「1箇所止めれば全部止まる」という価値は、一人情シスにとって計り知れません。止め忘れという最大の事故を、仕組みで防げるからです。Microsoft 365 や Google Workspace を使っているなら、その管理基盤をSSOの玄関として活用できることが多いです。全SaaSを一気に連携するのは大変なので、まずはメールと最重要システムだけでも玄関に寄せる——という段階的な進め方が現実的です。

💡 一人情シスこそSSOで「楽をする」

SSOは「大企業の高度な仕組み」と思われがちですが、実は人手のない一人情シスほど恩恵が大きい投資です。入退社対応が1箇所で完結し、MFAも一括でかけられ、止め忘れも減る。導入には初期の手間がかかりますが、「毎回10箇所を手作業で回す未来」と比べれば、早く着手するほど楽になります。第7章(SaaS管理)でも、この一元管理の考え方を深めます。

🛡️ セキュリティの視点 — 攻撃者はドアを壊さず、鍵を拾って入る

映画のようにシステムを力ずくで破る攻撃は、現実にはむしろ少数派です。多くの侵入は、どこかで漏れたIDとパスワードを使い、正規のログインとして静かに行われます。だからこそ守りの主戦場は「IDそのもの」です。優先順位はシンプルで、①漏れても入られないようMFAを必須化する、②不要なアカウント(特に退職者)を残さない、③一つが破られても被害が広がらないよう最小権限にする——の3点です。この3つは高価な製品より先に効く、費用対効果の高い守りです。攻撃者がIDをどう悪用するかを詳しく学びたい場合は、セキュリティ中級・上級コース第3章・第4章が参考になります。

まとめ

演習(自社の点検)

問題 3-1

直近1年以内に退職した社員を1人思い浮かべ、その人が使っていたアカウント(メール、チャット、業務システム、クラウド等)を洗い出してください。それらは今、すべて確実に止まっていますか? 確認する方法はありますか?

考え方

「止めたはず」と「止まっていることを確認した」は別物です。第2章のアカウント台帳があれば、この確認は一覧を突き合わせるだけで済みます。台帳がなければ、まさにこの機会に「退職者チェックリスト」を作る好機です。もし止め忘れが1つでも見つかったら、それは今日すぐ対処すべき事案であると同時に、「今後は退職時にこの手順で漏れなく止める」という仕組み作りの出発点になります。個人が管理していた共有アカウントや、個人名義の契約(第2章)が残っていないかも合わせて確認しましょう。

問題 3-2

自社で最も重要なサービス(メールや基幹システムなど)を3つ挙げ、それぞれ「MFAが有効になっているか」「管理者権限を持っているのは何人か」を確認してください。改善するとしたら、どこから手をつけますか?

考え方

優先順位の付け方が問われます。一般に、①外部から誰でもアクセスできる、②管理者権限がある、③漏れたときの被害が最大、のサービスからMFAをかけるのが定石です。メールは「パスワード再設定の通知が届く場所」なので、乗っ取られると他サービスのパスワードも芋づる式に奪われます。まずメールのMFA必須化が鉄板の第一歩です。管理者権限の人数が「なんとなく多い」なら、最小権限の観点で減らせないかを検討します。全社一斉は難しくても、まず情シス自身と経営層のアカウントから有効化するなど、着手できるところから始めるのが現実的です。

問題 3-3

自社に「複数人で使い回している共有アカウント」や「付箋・チャットで共有されているパスワード」はありませんか? あるとしたら、なぜそうなっているのか、どうすれば個人アカウント化やパスワードマネージャ化ができるかを考えてみてください。

考え方

共有アカウントには「ライセンス費用を節約したい」「サービス側が1アカウントしか許さない」といった事情があることも多く、頭ごなしに禁止すると現場が回りません。まずは「なぜ共有しているのか」を理解した上で、①ライセンスを追加して個人アカウント化できないか、②どうしても共有が必要なら、パスワードマネージャの安全な共有機能で管理し退職時に外せるようにする、という順で現実解を探ります。すべてを一度に解決しようとせず、「誰が使ったか分からず、退職者も入れてしまう」という最もリスクの高い共有アカウントから優先的に手をつけるのが、限られた時間での賢い進め方です。