不要な権限が残り、見直しが漏れる
従業員の退職や異動、担当業務の変更があっても、以前使っていたアカウントやアクセス権限がそのまま残ってしまうことがあります。
どのサービスを利用していたのか、どのデータを管理していたのかが分からなければ、必要な引き継ぎと不要な権限の見直しを進めることはできません。
人や役割が変わるときに確認する対象、承認する人、実施する作業、変更結果の記録までを、あらかじめ決めておくことが大切です。
困りごとが起きる背景
会社では、入社、異動、担当変更、退職、外部委託の開始や終了に合わせて、アカウントや権限を追加・変更していきます。
しかし、権限を付けるときの手続きはあっても、不要になったときの確認方法が決まっていないことも少なくありません。
利用していたサービスの一覧がなく、本人や担当者の記憶だけで確認しているようでは、見直す対象そのものを把握できません。
また、業務データや共有フォルダーの管理者になっているアカウントを、引き継ぎ前に削除してしまうと、必要な情報や設定を確認できなくなることがあります。
そのため、不要な権限を外すだけでなく、業務に必要なデータ、管理権限、連絡先、契約情報を次の担当者へ渡す手順も必要になります。
よくあるつまずき
退職や異動に伴う権限の見直しでは、次のようなことが起こります。
- 利用していたアカウントやサービスの一覧がない
- 異動前の部署や業務で使っていた権限が残っている
- 退職者のメールやクラウドアカウントがそのままになっている
- 外部の関係者へ付与した権限の終了時期が決まっていない
- 本人しか把握していないデータや設定がある
- 共有フォルダーや管理画面の管理者を引き継いでいない
- アカウントを停止する人と承認する人が決まっていない
- 停止、削除、保管の違いを確認せずに進めている
- 業務上必要なデータまで利用できなくなっている
- 変更後の確認結果や実施日時が記録されていない
- 一部のサービスだけ見直しが漏れている
- 退職時には確認するが、異動や担当変更では確認していない
退職者のアカウントだけを探して削除しても、必要な引き継ぎやほかの権限の見直しが漏れてしまう可能性があります。
人の変更と、担当業務、利用サービス、管理していた情報を関連付けて確認していく必要があります。
整備の進め方
まず、人や役割が変わるときに確認する対象を整理します。
退職だけでなく、異動、休職、担当変更、雇用形態の変更、外部委託の終了なども、権限を見直すきっかけとして扱います。
変更内容を確認する
最初に、誰の役割が、いつ、どのように変わるのかを確認します。
主に次の内容を整理します。
- 対象者
- 現在の所属と担当業務
- 変更後の所属と担当業務
- 最終利用日または変更日
- 引き継ぐ相手
- 内容を確認する人
- 変更を承認する人
退職の場合と異動の場合とでは、残す権限と外す権限が異なります。
最初からすべて削除すると決めつけず、変更後の業務に必要なものを確認していきます。
利用中のアカウントと権限を確認する
対象者が利用しているアカウント、サービス、共有先を確認します。
例えば、次のような対象です。
- パソコンへのログイン
- メール
- 業務ソフト
- クラウドサービス
- 共有フォルダー
- 顧客情報や案件情報
- Webサイトや外部サービスの管理画面
- ネットワークや機器の管理画面
- バックアップの保存先
- 取引先と共有しているデータ
- 外部業者が利用しているアカウント
個人に直接付与された権限だけでなく、部署やグループを通じて利用できる権限もあわせて確認します。
具体的な確認方法は、利用しているサービスや現在の契約内容を確認したうえで確定します。
引き継ぐ情報を整理する
権限を停止または変更する前に、業務上必要な情報を確認します。
主な確認対象は、次のとおりです。
- 担当している案件や顧客
- 作業中のデータや書類
- 共有していない業務データ
- メールで進行しているやり取り
- 管理している共有フォルダー
- 利用サービスの管理者権限
- 契約や支払いに関する情報
- 未完了の作業と次の対応
- 外部の連絡先や問い合わせ履歴
データを別の担当者へ移す場合は、移動先、対象範囲、実施結果を記録しておきます。
なお、認証情報を通常の引き継ぎ資料へ直接記載するのではなく、会社で決めた管理方法に従って取り扱います。
権限の扱いを分類する
確認したアカウントや権限を、次のように分けます。
- 変更後も必要なもの
- 権限の範囲を変更するもの
- 一時的に残す必要があるもの
- 停止するもの
- 削除を検討するもの
- 追加確認が必要なもの
停止と削除は同じではありません。
保存が必要なデータ、管理者権限、契約との関係、ほかの業務への影響を確認したうえで、扱いを決めていきます。
必要性を確認できていないものは、推測だけで削除せず、確認する人と期限を決めておきます。
実施日時と順番を決める
権限変更のタイミングが早すぎると、引き継ぎや最終業務ができなくなってしまうことがあります。
反対に、変更が遅れると、不要な権限が残る期間が長くなってしまいます。
対象ごとに、いつ変更するかを決めます。
作業は、必要に応じて次の順番で整理します。
- 利用中のサービスと権限を確認する
- 必要なデータと管理権限を引き継ぐ
- 変更内容と影響範囲を確認する
- 承認を受ける
- 権限の変更、停止または削除を行う
- 変更後の状態を確認する
- 台帳と作業記録を更新する
業務、データ、契約へ影響する操作は、作業者だけで判断せず、承認を確認してから進めます。
変更後の状態を確認する
作業後は、設定画面を変更しただけで完了にはしません。
次の内容を確認します。
- 不要になった権限が利用できなくなっている
- 新しい担当者が必要な業務を行える
- 必要なデータを確認できる
- 管理者不在のサービスが残っていない
- 一時的に残した権限が区別されている
- 変更漏れや未確認事項が記録されている
すべてを確認できていない場合は、完了扱いにせず、残っている作業として管理します。
変更内容を記録する
権限変更後は、利用者と権限の一覧を更新します。
記録には、必要に応じて次の内容を残しておきます。
- 対象者
- 対象となるサービスやデータ
- 変更前と変更後の権限
- 実施日時
- 変更理由
- 承認者
- 作業した人
- 引き継いだ内容
- 変更後の確認結果
- 未確認事項
- 次回の確認時期
記録を残しておくことで、後から誰が何を変更したのか、どこまで確認したのかをたどれるようになります。
整備後に目指す状態
退職、異動、担当変更などが発生したときに、見直すアカウントや権限を一覧から確認できるようになります。
権限を変更する前に必要なデータや管理者情報を引き継ぐため、業務を継続しながら不要な権限を整理できます。
変更する人、承認する人、実施日時が決まっていれば、担当者の判断だけに頼らずに進められます。
また、変更結果が記録されることで、見直し漏れや未完了の作業も確認しやすくなります。
大切なのは、人や役割が変わったときに、必要な引き継ぎと権限の見直しが同じ流れで行われる状態にしておくことです。
その場限りで終わらせないために
権限の見直しを、退職時だけの作業にしないことが重要です。
入社、異動、担当変更、休職、復職、外部委託の開始・終了など、人や業務の変更に合わせて確認する手順を決めておきます。
実際に見直しが漏れたサービスや、引き継ぎに時間がかかった情報があれば、次回の確認項目へ加えていきます。
一時的に残したアカウントや権限には確認期限を設定し、必要性を見直していきます。
アーテック福岡では、不要な権限を個別に外すだけでなく、人や役割の変更、利用サービス、データの引き継ぎ、承認、変更結果までを記録し、次回も同じ手順で見直せる会社のIT環境として整えていきます。
