ID・アカウント棚卸しの進め方頻度の決め方と実施チェックリスト

アカウント台帳を整えても、時間とともに実態とずれていきます。そのずれを見つけて埋める作業がID・アカウントの棚卸しです。

この記事では、頻度の決め方、何と何を突合するか、未使用アカウントの判定を、実施チェックリストとあわせて整理します。

アカウントの棚卸しとは何をする作業か

一言でいえば、「あるべき状態」と「実際の状態」の差分を見つけて潰す作業です。

台帳やルール上のあるべき状態と、システムに実在するアカウントを突合します。台帳にないアカウントが動いている、台帳にあるのにシステムにない、権限が申請と違う、といった差分が対象です。台帳の作り方はアカウント管理台帳(Excel)の限界とツール選定で扱っています。

棚卸しの頻度をどう決めるか

頻度に唯一の正解はなく、自社の状況から逆算します。判断材料は次の3つです。

• 人の入れ替わりの多さ — 入退社・異動・組織変更が多いほど、ずれが早く溜まります
• アカウント数とシステム数 — 多いほど1回の作業が重くなり、間隔を空けすぎると着手しにくくなります
• 外部から問われる頻度 — 取引先の確認やSCS評価制度への対応がある場合は、その周期に間に合わせます

取りやすいのは重み付けです。全体は半年ごとか年1〜2回とし、管理者権限のアカウントや退職者の多い部門だけ四半期ごとにします。全部を同じ頻度で回すと負荷が集中し、結局実施されなくなります。管理者権限の絞り方は権限管理の考え方を参照してください。

何と何を突合するか

棚卸しの精度は、突合する対象をどこまで広げられるかで決まります。

未使用・休眠アカウントの判定と扱い

拾い上げは最終ログイン日時、判断は持ち主への確認、という順で進めます。

一定期間ログインがないものを候補として抽出し、持ち主や所管部門に確認します。ログの保持期間によって最終ログインが取れない場合は、用途の申請記録などで補います。

棚卸しの実施チェックリスト

次の順で進めると、差分を追いやすくなります。

ログイン状況を見る仕組みがあると、洗い出しが楽になります（検知の考え方）。

棚卸しを続けるためのポイント

続ける目的は、取引先や監査に問われたとき、記録をもって説明できる状態を保つことです。

求められる説明の内容は取引先や監査からアカウント管理を問われたときで整理しています。

回らない原因の多くは、手順ではなく前提の側にあります。「あるべき状態」が定義されていなければ突合できないので、まず管理対象と記載項目を確定させます（アカウント管理システムとは？）。

そのうえで担当者と実施時期を決め、他の定例業務と同じ扱いにします。思い立ったときに実施する形では、優先度の高い業務に押し出されます。入社から退職までのどこに棚卸しを置くかはIDライフサイクルの設計で扱っています。

普段の管理が楽になると何が変わるか

棚卸しが重いのは、PCやサーバーごとに一覧を取りに行き、最終ログインを1台ずつ調べるからです。全PC・サーバーの利用者とログイン記録が普段から1か所にあれば、洗い出しは画面を開いてCSVを出すところから始められます。7日以上連絡のないPCも一覧で分かるので、使われていない端末の候補を探す手間も減ります。退職・異動のときは、席まで行かずにスマホの登録を外し、PCのローカルアカウントを止められるので、次の棚卸しで見つかる差分そのものが少なくなります。

ファイルサーバーの共有フォルダに絞った棚卸しの手順は ファイルサーバーのアクセス権を棚卸しする手順にまとめています。

全PC・サーバーの状態とログイン記録を1か所でまとめて見る方法はADなしで社内のPC・サーバーをまとめて管理する方法、さらにPC・サーバーのログインを2要素認証にする方法はOSログイン・PCログインの二要素認証、Active Directoryがない会社が1台から始める手順はADなしでPCログインに2要素認証を入れる方法にまとめています。

いまの運用を棚卸ししてみる

棚卸しの頻度や範囲は、アカウント数や人の入れ替わりの状況によって変わります。applippliの無料棚卸しでは、10問・約3分で、自社のID・アカウント管理の対応状況を「解決済み／一部解決／人手で対応／未解決」に仕分けた一覧にできます。あわせて中小企業向けセキュリティチェックリストもご活用ください。