権限管理と入退社

最小権限は、仕事に必要な権限だけを、必要な間だけ渡す考え方です。権限が広いほど、アカウントが乗っ取られたときや操作を間違えたときの被害が大きくなるからです。権限は個人に直接ではなく、部署や役割のグループに付けると、異動のときに付け外しが漏れにくくなります。

特権 IDは、IdP・Google Workspace / Microsoft 365・MDM・AD・クラウドの管理者のように、会社全体の設定やデータを変えられるアカウントです。乗っ取られると会社全体が危なくなるので、ふつうのアカウントより何段も厳しく管理します。

IdP・Google Workspace / Microsoft 365・MDM・AD・クラウドの管理者は特権 IDで、乗っ取られると会社全体が危なくなります。

• ふだんのアカウントと分けた管理者専用のアカウントを使う（メールや Web の閲覧に使わない）。
• 人数を絞る（「最高権限は2〜3人」など）。機能ごとの管理者の役割（ユーザー管理だけ・ヘルプデスク向けなど）を使い分ける。
• FIDO2 の MFA を必須にし、ログインと操作の記録を残して定期的に見る。
• 共有しない。非常用のアカウントは封をして保管し、使ったら理由を記録してパスワードを変える。
• PC のローカル管理者のパスワードは、全台同じにしない（Windows LAPS で端末ごとに自動で変える）。社員を普段から管理者にしない。

管理者権限を常に持たせず、必要なときに申請して期限つきで使う方法です（JIT：Just-In-Time）。Entra ID の PIM（特権 ID 管理）のように、申請・承認・時間切れでの自動の取り消し・記録までを仕組みで行えるものがあります。仕組みがなくても、「チケットで申請 → 承認 → 付与 → 期限の日に外す」を記録に残すだけで、権限の付けっぱなしを減らせます。

入社（Joiner）・異動（Mover）・退職（Leaver）のアカウント処理は、情シスでいちばん件数が多く、漏れると事故になる仕事です。特に退職時の停止漏れは、退職者によるデータの持ち出しや、使われていないアカウントの乗っ取りにつながります。

チェックリストと自動化：まず手順をチェックリストにして、毎回同じ順で行い、チケットに記録します。そのうえで件数の多いもの・漏れると危ないものから自動にします。退職は「メールの連絡」ではなく、人事システムの退職日をきっかけにするのが確実です。急な退職（解雇など）のときに、すぐ止められる手順も用意しておきます。

シャドーアカウント・野良アカウント対策

プロビジョニング（SCIM）

退職者のアカウントは止めるだけでなく、仕事のデータ（メール・ファイル・カレンダー・SaaS の中の持ち物）を後任や部署に引き継いでから消します。アカウントをすぐに消すと、ファイルも一緒に消えることがあります。

そもそも、仕事のファイルは個人のドライブではなく共有ドライブ・チームのサイトに置くルールにしておくと、引き継ぎが楽になります。

部署で1つのアカウントを使い回すと、誰が操作したか分からず、退職者もパスワードを知ったままになります。個人のアカウント＋グループの権限に置き換え、共有のメールアドレスはグループ（メーリングリスト）や共有メールボックスにします。どうしても残すものはパスワード管理ツールで共有し、メンバーが抜けるたびにパスワードを変えます。

シャドーアカウントは、管理者が把握していない・管理されていないアカウントです。退職時に消し忘れたもの、部署で使い回す共有アカウント、SSO を通さず会社のメールアドレスで勝手に登録した SaaS のアカウントなどがあり、退職者による持ち出しや、乗っ取りの入口になります。

見つけ方：人事の在籍名簿・IdP・各 SaaS のユーザー一覧を突き合わせます（下の DB ラボで SQL を試せます）。SaaS 管理ツール（SMP）・CASB で、会社のメールアドレスで登録された SaaS を洗い出す方法もあります。

アカウントの棚卸しは、各 SaaS や社内システムのアカウント一覧を、人事の在籍名簿と突き合わせて、退職者・持ち主の分からないアカウント・不要な権限を見つけて直す作業です。SSO・SCIM を入れても、SSO 外の SaaS・手作業で作ったアカウント・外部のゲストは漏れるので、定期的な確認が必要です。

突き合わせの方法

各 SaaS の管理画面からユーザー一覧（メールアドレス・権限・最終ログイン）を CSV で書き出し、在籍名簿と比べます。メールアドレスの大文字・小文字や、別名（エイリアス）をそろえてから比べるのがコツです。

-- SaaS にはあるが、在籍名簿にない・退職済みのアカウント
SELECT a.email, a.role, a.last_login
FROM saas_accounts a
LEFT JOIN employees e ON LOWER(a.email) = LOWER(e.email)
WHERE e.email IS NULL OR e.status = '退職';

-- 90日以上ログインしていないアカウント（ライセンスの見直しにも）
SELECT email, last_login FROM saas_accounts
WHERE last_login < CURRENT_DATE - INTERVAL '90' DAY;

スプレッドシートなら、SaaS の一覧の横に =COUNTIF(在籍!B:B, A2) や =XLOOKUP(A2, 在籍!B:B, 在籍!D:D, "名簿になし") の列を足して、「名簿になし」と「退職」を絞り込みます。

定期的な実施と記録

重要なシステム（IdP・メール・会計・顧客データを持つ SaaS）は四半期ごと、そのほかは半年か1年ごとなど、頻度を決めて予定に入れます。権限が正しいかは情シスだけでは判断できないので、部門長に一覧を見てもらい承認をもらいます。記録（実施日・対象のシステム・見つかったもの・対応・承認者）を残すと、ISMS などの監査で「やっている」ことを示せます。下の DB ラボで、突き合わせの SQL を実際に試せます。