アカウントの発行漏れや削除漏れは、ルールがないから起きるとは限りません。入社・異動・退職のときに誰が動くかが決まっていないために、その場の判断で処理され、抜けが生じます。
3つのタイミングごとに決めておくことと、人事部門との連携の作り方を整理します。全体像はアカウント管理システムの基本にあります。
事故は「ルールの不在」ではなく「起点の不在」で起きる
手順書があっても抜けが出るのは、動き出すきっかけが他人任せだからです。
よくあるのは「人事から連絡が来たら対応する」形です。連絡が来なければ何も起きず、誰かが気づくまでアカウントは放置されます。
決めるのは手順より起点
3つのタイミングで決めること
- 1
入社
申請元・標準セット・初期パスワード
- 2
異動
付与と削除を同時に・期限
- 3
退職
通知経路・止める対象の一覧
入社時に決めておくこと
入社時は「何を、誰の申請で発行するか」を固定します。
- 誰が申請するか — 受入部署の責任者が申請する、というように申請元を一箇所に固定し、情シスが申請の有無を推測しなくて済むようにします
- 発行するアカウントの標準セット — 全員に共通で必要なもの(端末ログイン、メール、社内共有など)を標準セットとして定義し、それ以外は追加申請にします
- 初期パスワードの渡し方と初回変更 — 口頭や別経路で伝える、初回ログイン時に本人が変更する、という2点を手順に含めます。認証強化の考え方は多要素認証の基本も参考になります
- 権限は役割単位で付与する — 個人ごとに権限を組むのではなく、役割(職種・担当業務)ごとに定義したまとまりを割り当てます。設計の考え方は権限管理の記事で扱っています
異動時に決めておくこと
異動は、最も見落とされやすいタイミングです。
新しい権限は本人が求めるので付与されますが、旧部署の権限は誰も外してと言わないため残りがちです。
- 権限は足すのではなく組み替える — 異動の申請書に「付与する権限」と「外す権限」の欄を両方設けるだけでも、片方だけ処理される事態を減らせます
- 旧部署の権限を落とす期限を決める — 引き継ぎのために一定期間残す運用にする場合は、いつまで残すのかを申請時点で書き、期限が来たら外します。期限を書かない例外は作りません
- 兼務の扱いを事前に定義する — 兼務者は権限が重なりやすいため、兼務期間と、兼務解除時に外す範囲をセットで記録しておきます
退職時に決めておくこと
退職時にまず要るのは、作業手順より人事からの通知が情シスに届く経路です。
経路が決まっていないと、情シスは退職の事実を後から知ることになります。
- 通知経路を一本化する — 人事から情シスへ、決まった様式で通知が届く形にします。上司経由の口頭連絡だけに頼らないことが重要です
- 退職日までに止める対象を一覧化する — 端末ログイン、メール、業務システム、外部サービス、VPN、社内Wi-Fiのパスワードなど、対象の一覧を事前に作っておき、退職ごとにその一覧をたどります
無効化と削除の進め方、データの引き継ぎや保存期間は退職者アカウントの整理で扱っています。
人事部門との連携をどう作るか
フローが安定するかは、人事イベントを起点にできているかで決まります。
- 人事イベントを起点にする — 入社・異動・退職が人事側で確定した時点で、通知が発生する形にします
- 通知のタイミングを事前にする — 退職日当日の通知では、退職日までに止めるという運用が成立しません。何営業日前までに通知するかを合意しておきます
- 人事情報を見られない場合の代替を用意する — 人事システムを参照できない場合は、対象者一覧を定期的に共有してもらうか、月次で在籍者リストと突合します
フローを紙に書いて終わらせないために
作った直後は機能しても、時間が経つと形だけになりがちです。続けるための工夫です。
- 担当者不在時の代替を決める — 申請先・承認者・作業者それぞれに代替者を置き、不在で止まらない状態にします
- 手順をチェックリスト化する — 文章よりチェック形式のほうが、抜けに気づきやすくなります。管理の記録方法はアカウント管理台帳の記事も参考にしてください
- 定期棚卸しと二重化する — イベント起点のフローだけに頼らず、定期的に実態と突合する仕組みを併走させます。棚卸しの進め方はIDの棚卸しで解説しています
普段の管理が楽になると何が変わるか
退職や異動のたびに担当者が困るのは、PCの前まで行って作業しなければならないことです。全PC・サーバーの利用者とログイン記録を1か所で見られるようにしておくと、退職日には、席まで行かずにスマホの登録を外し、PCのローカルアカウントを止められます（ドメインのアカウントはADの側で止めます）。退職後にその人のアカウントでログインがなかったかも、記録を絞り込めばその場で確かめられます。入社のときも、どのPCを誰が使い始めたかが画面で分かるので、台帳を手で書き直す回数が減ります。
全PC・サーバーの状態とログイン記録を1か所でまとめて見る方法はADなしで社内のPC・サーバーをまとめて管理する方法、さらにPC・サーバーのログインを2要素認証にする方法はOSログイン・PCログインの二要素認証、Active Directoryがない会社が1台から始める手順はADなしでPCログインに2要素認証を入れる方法にまとめています。
いまの運用を棚卸ししてみる
入社・異動・退職のどのタイミングに弱さがあるかは、組織の規模や人事部門との距離によって異なります。applippliの無料棚卸しでは、10問・約3分で、自社のID・アカウント管理の対応状況を「解決済み／一部解決／人手で対応／未解決」に仕分けた一覧にできます。まずは現状の把握から始めてみてください。