取引先からセキュリティの調査票やチェックシートが届いた、監査の場でアカウント管理の状況を確認された、入札や契約更新の条件として体制の説明を求められた——こうした場面に遭遇する企業が増えています。内容そのものは難しくないのに、資料が手元にないために毎回一から作ることになり、対応そのものが業務負荷になっているという声も少なくありません。この記事では、アカウント管理について何を問われやすいのか、そして平時からどこまで用意しておけば慌てずに済むのかを整理します。
説明を求められる場面が増えている背景
委託先や仕入先を経由した情報漏えいへの関心が高まり、取引関係の中でセキュリティ対策の状況を相互に確認する動きが広がっています。自動車業界のSCS評価制度のような業界横断の取り組みや、プライバシーマーク・ISMSといった認証制度の枠組みでも、アカウント管理は取り上げられやすい領域です。制度そのものの位置づけや評価項目の考え方についてはSCS評価制度の解説記事で扱っていますので、あわせてご確認ください。
重要なのは、こうした確認が「新しい対策を導入しているか」を問うものだけではないという点です。実際には、すでにやっていることを説明できるかどうかで差がつく場面が多くあります。
アカウント管理について問われやすい観点
調査票や監査の質問は制度や取引先によって異なりますが、アカウント管理に関して問われる観点は、おおむね次の範囲に収まります。
- 誰がどのシステムにアクセスできるかを把握しているか
- 権限の付与と削除の手順が決まっているか
- 退職者のアカウントを止める仕組みがあるか
- 定期的な確認(棚卸し)を行っているか
- ログを残しているか
- 認証を強化しているか
- 外部委託先のアカウントを管理しているか
いずれも、日々の運用の中で何らかの形で行っていることが多い項目です。個々の考え方はアカウント管理システムとは？の解説記事で整理していますので、自社の現状と照らし合わせる際の参考になります。
その場で資料を作ると苦しくなる理由
依頼が来てから資料をまとめる進め方には、二つの難しさがあります。ひとつは、締め切りに追われる中で書いた回答が実態と少しずれてしまい、後から掘り下げた質問を受けたときに整合が取れなくなることです。もうひとつは、依頼ごとに作り直すため工数が積み上がっていくことです。取引先が複数あれば、書式の違う調査票に何度も向き合うことになります。
逆に、社内で使っている資料をそのまま提示できる状態であれば、回答は転記に近い作業になります。実態とずれる余地も小さくなります。
平時から用意しておくもの
新しく作り込む必要はありません。多くの場合、すでにやっていることを文書として残しておくだけで足ります。
- アカウントの一覧と管理の責任者 — どのシステムに誰のアカウントがあり、誰が管理しているか
- 権限付与と削除の手順書 — 入社・異動・退職時に誰が何を行うか(権限管理の考え方も参照)
- 棚卸しの実施記録 — いつ、誰が、どの範囲を確認したか(棚卸しの進め方を参照)
- ログの取得範囲と保存の方針 — 何をどれくらい残しているか(アクセスログ監査の解説を参照)
- 認証方式の現状 — 多要素認証をどの範囲に適用しているか
外部委託先のアカウントについて問われることもありますので、委託先アカウントの管理の状況も併せて整理しておくと、回答の抜けが減ります。
「説明できる状態」と「実際にできている状態」の違い
文書が整っていることと、運用が回っていることは別です。手順書があっても実際には守られていない状態では、事故そのものは防げませんし、監査で少し掘り下げた質問を受けた時点で説明が崩れます。担当者名や実施日が書かれていない記録も、根拠として弱くなりがちです。
この二つを同時に満たす近道は、記録が残る形で運用しておくことです。棚卸しを実施したら日付と対象範囲を残す、権限を変更したら申請と承認の履歴を残す。運用の副産物として資料が積み上がっていれば、説明のための作業が別途発生しません。
何から着手するか
すべてを一度に揃えるのは現実的ではありません。優先度をつけるなら、棚卸しの実施記録と権限付与・削除の手順書の二つからです。この二つは多くの調査票で問われやすく、かつ整備すること自体が実務の改善につながります。退職者アカウントの放置や過剰な権限の残存は、手順書と定期確認があるだけで見つかりやすくなります。
認証の強化については、対象範囲を広げるほど手間もかかりますので、まず何をどこまで適用しているかを書き出すところから始めるとよいでしょう。Windows端末のログイン認証を含めて検討する場合はWindows OSログインの2要素認証も参考になります。
まずは自社の状況を確認する
どこまで説明できる状態にあるかは、現在の運用や記録の残し方によって変わります。applippliの無料診断では、約3分の質問に回答するだけで、自社のID・アカウント管理の対応状況を確認できます。問われやすい観点に沿って現状を把握する出発点としてご活用ください。