権限が増えすぎ、管理しきれない

業務ソフトやクラウドサービス、共有フォルダーを使い続けていると、利用者ごとに権限が追加されていき、全体を把握しにくくなることがあります。

その都度必要な権限を付けるだけでは、以前の業務で使用していた権限や、一時的に追加した権限が残り続けてしまいます。

権限を追加する基準、例外として扱う条件、見直す時期、変更内容の記録までを決めておき、必要以上に増えない状態を維持することが大切です。

困りごとが起きる背景

アクセス権限は、新しい業務の開始、担当変更、外部との共同作業、利用サービスの追加などに合わせて増えていきます。

業務を進めるために権限を追加する必要があっても、作業が終わった後に見直す仕組みがなければ、権限は追加されたまま残ってしまいます。

また、役割ごとに必要な権限が決まっていない場合、過去に同じ業務を担当していた人の設定を参考にして、そのまま権限を追加してしまうこともあるでしょう。

その結果、本来は必要のない機能やデータまで利用できる状態になってしまう場合があります。

権限を付けた理由、承認した人、利用する期間が記録されていなければ、後から不要かどうかを判断することも難しくなります。

よくあるつまずき

権限が増え続ける環境では、次のようなことが起こります。

• 権限を追加する基準が決まっていない
• 同じ役割の人でも利用できる範囲が異なる
• 過去の担当業務で使っていた権限が残っている
• 一時的に追加した権限に終了時期がない
• 個人へ直接付けた権限が増えている
• 閲覧、編集、削除、管理の権限が区別されていない
• 権限を付けた理由や承認者が記録されていない
• 管理者権限を持つ人が増えている
• 外部の関係者へ付けた権限が残っている
• 権限を変更できる人を把握できていない
• 定期的な確認が行われていない
• 不要に見える権限があっても、業務への影響が分からず変更できない

権限が多いことだけが問題なのではありません。

誰に、何の目的で、どこまでの権限を付けたのかを確認できず、見直す基準がないことが問題なのです。

整備の進め方

まず、利用者、担当業務、利用中のサービス、現在の権限を確認します。

そのうえで、役割ごとに必要な権限と、個別に承認が必要な権限を分けていきます。

現在の権限を確認する

会社で利用している業務ソフト、クラウドサービス、共有フォルダーなどについて、現在誰が利用できるのかを確認します。

主な確認対象は次のとおりです。

• 共有フォルダーやクラウドストレージ
• 顧客情報や案件情報
• 見積、請求、会計に関するデータ
• 業務ソフト
• メールや共有予定表
• Webサイトや外部サービスの管理画面
• ネットワークや機器の管理画面
• バックアップの保存先
• 契約や支払いに関する管理画面
• 外部の関係者と共有しているデータ

すべての権限を同じ細かさで確認しようとせず、重要なデータ、削除できる権限、管理者権限など、業務への影響が大きいものから整理していきます。

権限の種類を分ける

「利用できる」という一つの区分だけでは、権限の影響を判断できません。

サービスやデータごとに、どの操作ができるのかを確認します。

例えば、次のように分けます。

• 閲覧できる
• 新しい情報を登録できる
• 内容を編集できる
• データを削除できる
• ほかの人へ共有できる
• 利用者や権限を管理できる
• 契約や支払いの設定を変更できる

閲覧だけが必要な業務に、削除や管理の権限まで付いてしまっていないかを確認します。

具体的な権限名称や設定方法は、利用中のサービスや現在の契約内容を確認したうえで確定します。

役割ごとの基本権限を決める

担当者ごとに一件ずつ権限を考えるのではなく、業務上の役割ごとに基本となる権限を整理します。

例えば、次のような単位で確認します。

• 所属部署
• 担当業務
• 管理者
• 一般利用者
• 閲覧のみ必要な人
• 一時的に作業へ参加する人
• 外部の関係者

同じ役割の人に共通して必要な権限と、個別に判断する権限を分けておきます。

役職名だけで決めるのではなく、実際に担当する業務と必要な操作を確認していきます。

権限を追加する条件を決める

権限を追加するときに確認する項目を決めます。

少なくとも、次の内容を記録できるようにしておきます。

• 権限を必要とする人
• 対象となるサービスやデータ
• 必要な操作
• 権限が必要な理由
• 利用開始日
• 利用期間
• 承認する人
• 見直す時期
• 作業を行う人

「業務で必要だから」という理由だけで済ませるのではなく、どの作業に、どの権限が必要なのかを確認します。

必要な範囲を確認したうえで、権限を付与していきます。

例外的な権限を分ける

基本権限では対応できない業務については、例外的な権限として分けます。

例外的な権限には、理由、承認者、対象範囲、利用期限を記録しておきます。

主な例は次のとおりです。

• 一時的なプロジェクトで必要な権限
• 担当者不在時に代行するための権限
• 外部の関係者と共同作業を行うための権限
• データ移行や設定変更のために一時的に必要な権限
• 通常業務では使用しない管理者権限

例外を認めないことが目的ではありません。

通常の権限と区別し、必要性と終了時期を確認できる状態にしておくことが重要です。

管理者権限を確認する

管理者権限を持つ利用者は、設定変更、利用者追加、権限変更など、ほかの利用者へ影響する操作ができてしまう場合があります。

そのため、管理者権限については、一般の利用権限とは分けて確認します。

主に次の内容を整理します。

• 管理者権限を持つ人
• 管理者権限が必要な理由
• 実際に行う管理作業
• 代わりに確認できる人
• 権限変更時の承認者
• 見直す時期

日常業務で管理者権限を使う必要がない場合は、通常利用と管理作業を分けられるかどうかを、現在の構成を確認したうえで判断します。

変更前に影響を確認する

不要に見える権限があっても、確認せずに変更してしまうと業務が止まる場合があります。

権限を削除または縮小する前に、次の内容を確認しておきます。

• 対象となる利用者
• 変更する権限
• 現在行っている業務
• 変更による影響
• 変更を承認する人
• 変更後に確認する操作
• 問題が起きた場合の確認先
• 実施日時

必要性を確認できない権限は、推測だけで変更せず、確認する人と期限を決めておきます。

変更結果を記録する

権限を変更した後は、設定画面を変更しただけで完了にはしません。

不要な操作ができなくなったことと、必要な業務を継続できることを確認します。

記録には、必要に応じて次の内容を残しておきます。

• 変更日時
• 対象者
• 対象となるサービスやデータ
• 変更前と変更後の権限
• 変更理由
• 承認者
• 作業した人
• 変更後の確認結果
• 残っている確認事項
• 次回の見直し時期

権限の一覧にも変更内容を反映し、実際の設定と記録が一致する状態を保ちます。

見直すタイミングを決める

権限は、一定期間ごとの確認だけでなく、人や業務が変わったときにも見直します。

主な見直しのタイミングは次のとおりです。

• 入社
• 異動
• 担当業務の変更
• 休職や復職
• 退職
• 外部委託の開始や終了
• 新しいサービスの利用開始
• プロジェクトの開始や終了
• 組織や業務手順の変更
• 管理者の変更

一時的な権限や外部共有は、開始時点で見直し時期を決めておきます。

定期確認では、すべての設定を一から調べ直すのではなく、前回の記録から変わった人、業務、サービス、例外権限を中心に確認していきます。

整備後に目指す状態

権限の追加基準が整理されていれば、担当者ごとに異なる判断で権限が付いてしまうことを減らせます。

役割ごとの基本権限が分かれば、新しい利用者へ何を付けるか判断しやすくなります。

個別の例外についても、理由、承認者、期限を確認できるため、そのまま残り続ける状態を防ぎやすくなります。

変更履歴と次回の見直し時期が記録されていれば、担当者が変わった場合も、現在の状態と判断理由を引き継げます。

大切なのは、増えた権限を後から探して削除するだけでなく、追加するときから見直しまでを同じ流れで管理できる状態にしておくことです。

その場限りで終わらせないために

権限の管理は、一度一覧を作成して終わりというものではありません。

人、業務、サービスが変わるたびに記録を更新し、実際の設定と一致しているかを確認していきます。

例外的な権限が増えている場合は、個別に削除するだけでなく、役割ごとの基本権限や承認方法に見直しが必要かどうかを確認します。

確認に時間がかかった権限や、付与理由が分からなかった権限があれば、次回から記録する項目へ反映していきます。

アーテック福岡では、権限を個別に追加・削除するだけでなく、役割ごとの基準、追加理由、承認、例外の期限、変更履歴、次回の確認までを会社のIT環境整備として整えていきます。