アカウント管理の台帳を整えても、そのままでは時間の経過とともに実態とずれていきます。ずれを見つけて埋める作業がID・アカウントの棚卸しです。この記事では、棚卸しの頻度をどう決めるか、実際に何と何を突合するか、未使用アカウントをどう判定するかを、実施チェックリストとあわせて整理します。
アカウントの棚卸しとは何をする作業か
棚卸しとは、台帳や社内ルール上の「あるべき状態」と、システムに実際に存在しているアカウントを突合し、差分を洗い出して潰していく作業です。台帳に載っていないアカウントが動いている、逆に台帳にはあるがシステム上には存在しない、権限が申請時の内容と違う、といった差分が対象になります。台帳そのものの作り方はアカウント管理台帳(Excel)の限界とツール選定で扱っているため、ここでは台帳がある状態を前提に進めます。
棚卸しが必要になるのは、退職・異動といったイベント時の対応だけでは漏れが積み上がるためです。イベント時の即時対応は退職者アカウントの削除・無効化で扱う領域ですが、申請そのものが上がってこなかったケースや、システム側の設定だけが残ってしまったケースは、その場では検知できません。定期的な棚卸しという網と、イベント時の即時対応という網を二重に持つことで、はじめて取りこぼしが減ります。
棚卸しの頻度をどう決めるか
頻度に唯一の正解はありません。自社の状況から逆算して決めるのが現実的です。判断材料としては次の3つが使えます。
- 人の入れ替わりの多さ — 入退社・異動・組織変更が多いほど、台帳と実態のずれが早く蓄積します
- 管理対象アカウント数とシステム数 — 対象が多いほど1回あたりの作業量が増えるため、間隔を空けすぎると着手しにくくなります
- 外部から対応状況を問われる頻度 — 取引先からの確認やSCS評価制度への対応が発生する場合、その周期に間に合うタイミングを織り込みます
運用の選択肢としては、全体の棚卸しは半年ごと、あるいは年に1〜2回とし、管理者権限を持つアカウントや退職者の多い部門だけはもう少し短い周期(たとえば四半期ごと)にする、といった重み付けが取りやすい形です。すべてを同じ頻度で回そうとすると負荷が集中し、結果として実施されなくなるため、リスクの高い範囲を優先的に厚くする考え方が向いています。管理者権限そのものの絞り方については権限管理の考え方を参照してください。
何と何を突合するか
棚卸しの精度は、突合する対象をどこまで広げられるかで決まります。少なくとも次の観点は押さえておきたいところです。
- 台帳 vs 実在アカウント — システムから取得したアカウント一覧と台帳を照合し、どちらか片方にしかない項目を差分として抽出します
- 在籍者名簿 vs アカウント — 人事側の在籍者情報と突合し、すでに在籍していない人のアカウントが残っていないかを確認します
- 権限一覧 vs 業務上の必要性 — 付与されている権限が現在の担当業務に対して必要かを、持ち主と上長の目で見直します
- 共有アカウント — 現時点で誰が使っているのか、まだ必要なのかを確認します(共有アカウントの廃止)
- 委託先・ベンダー用アカウント — 契約が終了しているのに残っていないか、対応窓口が変わっていないかを確認します
- システム連携用アカウント — 人が使わないアカウントは見落とされやすいため、用途と管理責任者を明示して一覧に含めます
未使用・休眠アカウントの判定と扱い
使われていないアカウントは、まず最終ログイン日時を手がかりに拾い上げます。一定期間ログインがないものを候補として抽出し、そのうえで持ち主や所管部門に確認する流れが基本です。ログの保持期間によっては最終ログインが取得できない場合もあるため、その場合は用途の申請記録などで補います。
判定で注意したいのは、年度末や決算期などにまれにしか使わないアカウント、繁忙期だけ使う業務用アカウントを、未使用と誤認して消してしまうことです。そのため、いきなり削除せず、まず無効化して一定期間様子を見る手順をはさむと安全です。無効化中に利用の申し出があれば戻し、何も起きなければ削除に進みます。削除まで進めた記録を残しておけば、次回の判断基準としても使えます。
棚卸しの実施チェックリスト
実際の作業は、次の順序で進めると差分の追跡がしやすくなります。
- 対象システムを決め、それぞれからアカウント一覧を洗い出す
- 台帳・在籍者名簿・権限一覧と突合し、差分を一覧化する
- 差分について、アカウントの持ち主と上長に必要性を確認する
- 不要と判断したものを無効化する(この時点では削除しない)
- 一定期間、影響がないことを確認したうえで削除する
- 実施日・対象範囲・判断内容・残った例外を記録し、次回の基準にする
記録を残す意味は大きく、前回の判断を引き継げれば2回目以降の負荷は下がります。あわせて、ログイン状況を見る仕組みがあると洗い出しが楽になります(検知と防御の考え方)。
棚卸しを続けるためのポイント
棚卸しを継続する目的のひとつは、取引先や監査からアカウント管理の状況を問われたときに、記録をもって説明できる状態を保つことです。求められる説明の内容は取引先や監査からアカウント管理を問われたときで整理しています。
棚卸しが回らない原因は、多くの場合、棚卸しの手順ではなく前提の側にあります。台帳が整っておらず「あるべき状態」が定義されていなければ、そもそも突合ができません。まずは管理対象と記載項目を確定させることが先です(アカウント管理システムとは？)。
そのうえで、担当者と実施時期をあらかじめ決め、他の定例業務と同じ扱いにしておくことが継続の条件になります。入社から退職までの流れの中で棚卸しをどこに置くかはIDライフサイクルの設計で扱っています。思い立ったときに実施する形にしてしまうと、優先度の高い業務に押し出されて後回しになりがちです。
まずは自社の状況を確認する
棚卸しの頻度や範囲は、アカウント数や人の入れ替わりの状況によって変わります。applippliの無料診断では、約3分の質問に回答するだけで、自社のID・アカウント管理の対応状況を確認できます。あわせて中小企業向けセキュリティチェックリストもご活用ください。