誰が何を使えるか分からない

社内の共有フォルダーや業務ソフト、クラウドサービスについて、誰がどこまで利用できるのかを把握できていないことがあります。

業務に必要な権限だけが設定されているとは限らず、以前の担当業務で使っていた権限や、理由の分からない権限がそのまま残っている場合もあります。

利用者、役割、対象となるデータやシステムを確認し、現在の権限を一覧で確認できる状態にしておくことが大切です。

困りごとが起きる背景

アクセス権限は、従業員の入社や異動、担当業務の変更、新しいサービスの導入などに合わせて追加されていきます。

その一方で、不要になった権限の見直しはどうしても後回しになりやすく、追加だけが積み重なってしまうことがあります。

設定した当時は必要だった権限でも、担当者や業務内容が変われば、今も必要とは限りません。

また、個人へ直接付与された権限、部署やグループを通じて付与された権限、外部の関係者へ共有された権限が混在すると、設定画面を見ただけでは全体を把握しにくくなります。

誰が何を使えるか分からない状態では、権限を追加するときも削除するときも、業務への影響を判断できません。

よくあるつまずき

アクセス権限の管理では、次のようなことが起こります。

• 利用しているシステムや共有先の一覧がない
• 誰がどのデータを閲覧できるか分からない
• 閲覧、編集、削除などの権限の違いが整理されていない
• 個人への直接付与と、グループによる付与が混在している
• 付与した理由や承認した人が記録されていない
• 異動前の業務で使っていた権限が残っている
• 外部の関係者へ共有したデータを把握できていない
• 管理者権限を持つ人が複数いるが、必要性を確認できていない
• 権限を削除した場合の業務への影響が分からない
• 変更履歴がなく、いつ誰が設定を変えたのか確認できない

権限の一覧がないまま、一件ずつ設定画面を確認していっても、全体の状態を把握するのは難しいものです。

まずは、利用者と対象となるシステムやデータを対応させ、現在の状態を見えるようにする必要があります。

整備の進め方

最初から権限を変更するのではなく、現在使っているサービス、データ、利用者、役割を確認していきます。

そのうえで、必要な権限、不要と考えられる権限、判断に追加確認が必要な権限を分けていきます。

利用者を確認する

社内の従業員だけでなく、役員、パート、退職予定者、外部の関係者など、会社のデータやシステムを利用できる人を確認します。

主に次の情報を整理します。

• 氏名
• 所属部署
• 担当業務
• 雇用や契約の状態
• 利用しているアカウント
• 利用開始日
• 利用終了予定の有無

共有アカウントがある場合は、実際に誰が利用しているのかもあわせて確認します。

ただし、個人を特定できない共有アカウントは、操作した人や変更した人を追いにくいため、利用目的と管理方法を分けて整理しておきます。

対象となるデータやシステムを確認する

会社で利用している共有フォルダー、業務ソフト、クラウドサービス、メール、管理画面などを確認します。

例えば、次のような対象です。

• 社内の共有フォルダー
• クラウドストレージ
• 顧客情報や案件情報
• 見積、請求、会計に関するデータ
• 業務ソフト
• メールや共有予定表
• Webサイトや外部サービスの管理画面
• 機器やネットワークの管理画面
• バックアップの保存先
• 取引先と共有しているデータ

同じサービスの中でも、利用できるデータや機能が異なる場合は、必要な範囲で分けて記録します。

権限の内容を分ける

「利用できる」という情報だけでなく、実際にどの操作ができるのかを確認します。

主な権限は、次のように分けます。

• 閲覧できる
• 新しく登録できる
• 内容を変更できる
• データを削除できる
• ほかの利用者へ共有できる
• アカウントや権限を管理できる
• 契約や支払いに関する設定を変更できる

閲覧権限と管理者権限とでは、業務や情報へ与える影響がまったく異なります。

サービスごとの具体的な権限名称や変更方法は、現在の契約内容や設定を確認したうえで確定します。

一覧に整理する

確認した内容を、利用者と対象を対応させた一覧にまとめます。

一覧には、必要に応じて次の項目を設けます。

• 利用者
• 所属や役割
• 対象となるデータやシステム
• 現在の権限
• 権限が必要な理由
• 承認者
• 付与日
• 見直し時期
• 確認結果
• 備考

すべてを細かく記録しようとするのではなく、業務への影響が大きいデータや管理者権限など、確認の優先度が高いものから整理していきます。

権限を分類する

現在の権限を確認したら、次のように分類します。

• 現在の業務に必要な権限
• 不要と確認できた権限
• 必要性を確認できていない権限
• 一時的に付与されている権限
• 変更による影響確認が必要な権限

必要性を確認できていない権限を、推測だけで削除するのは避けます。

対象者、業務責任者、承認者へ確認し、業務への影響を整理したうえで変更を判断します。

変更前に影響と承認を確認する

権限を変更すると、ファイルを開けなくなる、業務ソフトを利用できなくなる、管理作業ができなくなるといった影響が出る場合があります。

変更前に、次の内容を確認しておきます。

• 変更する対象
• 変更する理由
• 影響を受ける利用者や業務
• 変更を承認する人
• 変更後に確認する操作
• 問題が起きた場合の確認先
• 実施する日時

管理者権限、削除権限、契約変更に関係する権限などは、作業者だけで判断せず、社内の承認を得てから進めます。

変更結果を確認して記録する

変更後は、設定画面だけでなく、対象者が必要な業務をきちんと行えるかを確認します。

不要な操作ができなくなったことと、必要な業務を継続できることの両方を確認します。

変更履歴には、次の内容を残しておきます。

• 変更日時
• 変更した対象
• 変更前と変更後の権限
• 変更理由
• 承認者
• 作業した人
• 確認結果
• 残っている確認事項

設定を変更して終わりにせず、変更後の状態を一覧へ反映しておきます。

整備後に目指す状態

アクセス権限が一覧化されていれば、誰がどのデータやシステムを利用できるのか確認しやすくなります。

新しく権限を追加するときも、同じ役割の人に必要な範囲や、承認が必要な内容を判断する材料になります。

異動や退職が発生した場合も、対象者が利用しているシステムやデータを一覧から確認でき、見直し漏れを減らせます。

また、権限を変更した理由と結果が記録されていれば、後から設定の経緯をたどることができます。

大切なのは、設定を行った担当者の記憶だけに頼らず、現在の権限と判断理由を確認できる状態にしておくことです。

その場限りで終わらせないために

アクセス権限は、一度整理したとしても、入社、異動、退職、業務変更、サービス追加によってまた変わっていきます。

人や業務の変更があったときに一覧を更新する手順を決めておき、確認した内容を記録していきます。

また、一定期間ごとに、現在の利用者、担当業務、権限の必要性を見直します。

すべての権限を同じ頻度で確認するのではなく、管理者権限、削除権限、重要なデータへのアクセスなど、影響の大きいものを優先します。

アーテック福岡では、権限の設定変更だけでなく、利用者、役割、対象データ、現在の権限、承認、変更履歴までを確認し、誰が何を使えるかを把握できる会社のIT環境として整えていきます。