「退職して半年経つ社員のアカウントがまだ有効だった」「異動して2年経つのに、前部署のフォルダにアクセスできる」——監査のたびに指摘され、その場では直すものの、また同じ状態に戻る。多くの企業で権限は増える一方で、減っていきません。原因は担当者の怠慢ではなく、追加は依頼されるが削除は誰からも依頼されないという構造にあります。本記事では、権限の棚卸しがなぜ終わらないのかを整理し、人事情報を基準にした突合で差分を自動抽出する方法、そして定期的な棚卸しを運用に載せる進め方を解説します。なお、アカウントの作成・変更・削除そのものの自動化はActive Directory・Azure AD連携で解説しているため、本記事はすでにある権限が正しいかを点検する工程に絞ります。
目次
権限が放置される根本原因は、付与は業務の必要から依頼されるのに、削除は誰の業務にもなっていないことです。 新しい担当者が来れば「アクセスできるようにしてほしい」と依頼が来ます。しかし異動や退職のとき、「あの権限を消してほしい」と積極的に連絡してくる人はまれです。結果として、システムごとに古い権限が沈殿していきます。この非対称性を理解しておくと、なぜ人手の運用では追いつかないのかが見えてきます。放置の原因を3つに分けて確認しておきましょう。
権限の追加は、業務が止まるため必ず依頼されます。一方、削除は誰も困らないため後回しになります。退職者のアカウントが残っていても、日常業務は何も止まりません。困らないから放置される、という構造が問題の本質です。仕組みで検出しない限り、この状態は解消されません。担当者の意識を高めるだけでは、依頼が来ない削除作業は続かないのです。
基幹システム、各SaaS、ファイルサーバー、認証基盤——権限の付与先が分散していると、1人の社員が何にアクセスできるかを俯瞰できる人がいなくなります。「誰が何にアクセスできるか」を一覧にできない状態では、棚卸しは始められません。全体像の可視化が最初の壁になります。システムごとに管理画面が別で、出力形式も違うため、一覧化そのものに手間がかかります。
各システムから利用者一覧を出力し、人事の在籍者リストと目で突き合わせる——数十人なら可能でも、数百人・数千人では現実的ではありません。しかも次の棚卸しでは同じ作業を繰り返します。年に一度の一大イベントになっている企業では、実施そのものが目的化しがちです。継続できる形にすることが重要です。「実施した」記録を残すことが目的になり、内容の精査まで手が回らないケースも見受けられます。
なぜ手間をかけて棚卸しをすべきなのか、リスクの側から整理します。「今のところ問題は起きていない」という状態は、リスクがないことを意味しません。放置された権限は、時間の経過とともに静かに積み上がっていきます。3つの観点で確認しておきましょう。いずれも、経営や監査部門に説明する際の材料にもなります。
有効なまま残った退職者のアカウントは、外部からの不正アクセスの入口になります。本人が使わなくても、認証情報が漏れれば第三者に使われます。しかも正規のアカウントであるため、異常として検知しにくいのが厄介な点です。監査で最も厳しく問われる項目でもあります。取引先からセキュリティ体制を問われる際にも、まず確認される点です。
異動後も前部署の情報にアクセスできる状態は、意図しない情報の閲覧・持ち出しにつながります。たとえば異動した本人に悪意がなくても、共有フォルダを検索した結果に前部署の人事評価ファイルが並ぶ——これは本人が困り、管理側も説明に困る状況です。見えてしまう状態そのものが管理不備です。必要な人だけが必要な範囲にアクセスできる状態を保つことが、内部統制の基本です。人事異動が多い組織では、この状態を維持する難易度が上がります。
SaaSの多くは利用者数に応じた課金です。たとえば1人あたり月1,500円のSaaSで退職者10人分が残っていれば、年間18万円を使われないまま払い続けることになります。棚卸しはセキュリティ対策だけでなく、コスト削減にも直結します。経営に説明しやすい効果でもあります。削減できたライセンス費用は数字で示せるため、取り組みの承認を得る材料にもなります。
棚卸しを継続できる形にするには、人が目で突き合わせる作業をやめ、差分の抽出までを自動化するのが現実的です。すべてを自動化する必要はなく、検出を機械に任せ、判断は人が担う分担にすると実装のハードルも下がります。設計のポイントを5つ挙げます。順に決めていけば、無理なく仕組みに落とせます。
誰が在籍し、どの部署に所属しているかの基準は、人事システムに置きます。人事情報を正とし、各システムの利用者一覧と突き合わせれば、「在籍していないのに有効なアカウント」「所属していない部署の権限」が機械的に抽出できます。基準を1つに定めることが、自動化の前提です。人事システムの情報が最新に保たれていることも、あわせて確認しておく必要があります。
対象システムから利用者・権限の一覧を定期的に自動で取得します。API・CSV出力・DB参照など、システムごとに手段は異なりますが、取得を自動化しておけば棚卸しのたびに人が出力する必要がなくなります。ここが自動化できれば、実施頻度を上げられます。取得の仕組みは一度作れば繰り返し使えるため、初回の構築が投資として効いてきます。
人事情報と各システムの一覧を突き合わせ、次の差分を抽出します。
| 検出したい差分 | 意味 |
|---|---|
| 在籍者にないアカウント | 退職者の残存。優先度が最も高い |
| 所属と権限の不一致 | 異動後に旧部署の権限が残っている |
| 長期間未使用のアカウント | 休職者・実質未使用。要確認 |
| 人事にない利用者 | 委託先・テスト用など、台帳外の存在 |
差分の一覧が出ても、誰が確認し、誰が削除するかが決まっていなければ進みません。抽出結果を部門長へ回して確認を取る、情報システム部門が一括で処理する、といったフローを事前に決めます。ここで必ず残るのが、委託先やテスト用のように「人事情報にはないが正当な利用者」です。機械的に消せないものが一定数残る前提で、例外として台帳に登録しておく運用にしておくと、毎回の判断が要らなくなります。責任者を明示しておくことが、放置を防ぎます。「一覧は出るが誰も見ない」状態は、棚卸しが形骸化する典型的なパターンです。
すべてのシステムを一度に対象にすると、準備だけで時間が過ぎます。まずは機密情報を扱うもの、利用者が多いもの、ライセンス費用が高いものから着手します。優先度の高い数システムで型を作れば、以降は同じ仕組みを流用できます。認証基盤に統合されているシステムは、そこを起点にまとめて確認できる場合もあります。対象の絞り方が、着手の速さを決めます。
一度やって終わりにしないための運用設計です。自動化の価値は、実施の負担が下がることで頻度を上げられる点にあります。年1回の一大イベントから、日常的な点検へ変えていきましょう。2つの観点で運用を設計します。
月次または四半期ごとの定期実行に加え、年度替わりの異動直後など、変化の大きいタイミングで臨時に実施します。自動化されていれば、頻度を上げても負担は増えません。頻度が上がるほど、1回あたりの差分は小さくなり、確認も楽になります。年1回で数百件を確認するより、月次で数件を確認するほうが現実的です。
毎回ゼロにするのは現実的ではありません。それより、どのシステムで差分が多いか、どの部署で発生しやすいかという傾向を見ます。傾向が分かれば、そもそも差分が生まれない運用（申請フローの見直しなど）に手を打てます。棚卸しは検出だけでなく、原因を潰すための情報源でもあります。同じ部署で毎回差分が出るなら、その部署の運用ルールに手を入れるべきサインです。
データ連携について詳しく学ぶ（無料ダウンロード）
人事情報と各システムの利用者一覧を突き合わせて差分を抽出する処理は、データ連携基盤「ASTERIA Warp」（累計10,000社超）でノーコードに構築できます。100種類以上のアダプターで人事システム・認証基盤・各種SaaS・DB・ファイルから一覧を取得し、突合して差分を一覧化、担当者へ通知するまでをフローとして組み立てられます。スケジュール実行で月次の自動棚卸しが組め、抽出結果をExcelやCSVで出力する処理も設定で用意できます。実際に社会福祉法人 恩賜財団 済生会熊本病院ではID統合により異動時の作業が2日から数分に短縮され、田辺三菱製薬株式会社も人事マスターとの連携により退職者のID削除を即時実施できる仕組みを整えています。まずは1システムの突合から試してみてください。
Q. 既存のID管理の仕組みと併用できますか？
A. 併用できます。棚卸しは「現状の権限が正しいかを点検する」工程なので、アカウントの作成・変更を担う既存の仕組みとは役割が異なります。まず点検だけを自動化し、付与・削除の自動化は段階的に検討する形でも進められます。
Q. 棚卸しの基準は何にすべきですか？
A. 人事システムの在籍・所属情報を「正」とします。これを基準に各システムの利用者一覧と突き合わせれば、在籍していないのに有効なアカウントや、所属していない部署の権限を機械的に抽出できます。基準を1つに定めることが自動化の前提です。
Q. どこまで自動化できますか？
A. 一覧の取得と突合、差分の抽出・通知までは自動化できます。一方、削除してよいかの判断と実行は人が担う形が現実的です。委託先アカウントのように、人事情報にないが正当な利用者も存在するためです。
Q. どのくらいの頻度で実施すべきですか？
A. 月次または四半期ごとの定期実行に加え、年度替わりの異動直後など変化の大きいタイミングで臨時に実施します。自動化されていれば頻度を上げても負担は増えず、1回あたりの差分も小さくなって確認が楽になります。
権限が放置されるのは、追加は依頼されるが削除は誰の業務にもなっていないという構造が原因です。放置すれば、退職者アカウントの不正利用、過剰権限による情報漏洩、未使用ライセンスの費用という3つのリスクが積み上がります。対策は、人事情報を基準に各システムの利用者一覧を自動取得して突合し、差分を一覧化して確認フローに回すこと。定期実行と異動時の臨時実行を組み合わせ、差分の傾向から原因そのものを潰していきましょう。突合の自動化を検討するなら、「ASTERIA Warp」も候補のひとつです。
▼ 人事情報との突合を、自分の環境で試す ASTERIA Warpは全機能を試せる無料体験版をご用意。人事情報と各システムの突合も、サーバー準備不要ですぐに体験できます。 |
PM・SE・マーケティングなど多彩なバックグラウンドを持つ「データ連携」のプロフェッショナルが、専門領域を超えたチームワークで「データ活用」や「業務の自動化・効率化」をテーマにノウハウやWarp活用法などのお役立ち情報を発信していきます。
ASTERIA Warp製品の技術情報やTips、また情報交換の場として「ADNフォーラム」をご用意しています。
アステリア製品デベロッパー同士をつなげ、技術情報の共有やちょっとしたの疑問解決の場とすることを目的としたコミュニティです。
