退職者のアカウントが、退職後も有効なまま残っている。規模を問わず多くの会社で起きている状態です。アカウント管理の失敗が最も分かりやすく表れるのが、退職者アカウントの放置です（アカウント管理システムの基本）。
この記事では、退職・異動の時点で何を止めるかと、対応漏れを繰り返さないルールの決め方を整理します。
退職者アカウントが放置されてしまう現場の理由
意図的な放置は多くありません。業務の事情で「消せない」状態になっていることが大半です。
- 引き継ぎのために残している — 後任が確認できるよう残し、期限が決まらないまま放置される
- 共有フォルダやファイルの所有者になっている — 消すと権限や所有関係が壊れそうで手が止まる
- どの業務に紐づいているか分からない — バッチや外部連携に使われていそうで、消すのが怖い
- そもそも通知が来ていない — 人事の退職手続きと、アカウント停止の作業が連動していない
どれも現場としては合理的な判断です。問題は「いったん残す」が、期限も担当も決まらないまま既定になることです。
放置されたアカウントのリスク
リスクは三つに分けると整理しやすくなります。
| リスク | なぜ気づきにくいか |
|---|---|
| 退職者本人による利用 | 在職時の認証情報での正規のログインなので、持ち出しが起きても異常として検知しにくい |
| 第三者による悪用 | 認証情報が流出すれば、有効な限り侵入口になる（パスワード漏洩が招く影響） |
| 監視の目が向かない | 誰も使っていないため、不審なログインに本人が気づく機会がない。休眠アカウントは発覚が遅れやすい |
「無効化」と「削除」を段階的に使い分ける
削除に踏み切れないのが放置の原因なら、いきなり削除を目指す必要はありません。
三段階で止める
- 1
1. 即時無効化
退職日にログイン不可に。データは残る
- 2
2. 一定期間の保持
引き継ぎ・監査のため。期限を明文化
- 3
3. 削除
所有権の移管とデータ退避を確認してから
保持には必ず期限と担当者を
退職日までに止めるべき対象を洗い出す
止める対象は社内システムのIDだけではありません。次を一件ずつ確認します。
- OSログイン — 業務端末とドメインアカウントのログインを止め、端末の回収も確認する(Windows OSログインの2要素認証も参照)
- VPN・リモートアクセス — 社外から入る経路は、残っていると影響が特に大きい。全員で使う社内Wi-Fiのパスワードも、退職者が知ったままの入口になりやすい
- クラウドサービス・SaaS — 部門の個別契約は把握から漏れやすいので、所属部門にも確認する
- メール転送・自動応答の設定 — 無効化しても、外部アドレスへの転送が残ると情報が流れ続けることがある
- 共有アカウントの認証情報 — 退職者が知っていた共有IDのパスワードを変える。共有アカウントを減らす考え方は共有アカウントの廃止で扱っています
- 管理者権限・特権アカウント — 影響範囲が広いので優先して確認する(特権アカウントの管理も参照)
- 社外の人に発行したアカウント — 招待した取引先のIDは、相手先での退職を自社では把握できない。棚卸しはゲストアカウントの棚卸しで扱っています
退職日に行う操作（Active Directory・Microsoft 365・PC本体）
ここからは退職日の実際の操作です。環境ごとに場所が分かれるため、1人の退職で、操作が環境の数だけ発生します。
Active Directory：無効化してから、退職者用のOUへ移す
「Active Directory ユーザーとコンピューター」で対象を右クリックし、「アカウントを無効にする」を選びます。PowerShellでは次のとおりです。
Disable-ADAccount -Identity ユーザー名
Get-ADUser ユーザー名 -Properties Enabled, LastLogonDate | Select-Object Name, Enabled, LastLogonDate無効化したアカウントは「退職者」などのOUにまとめて移しておくと、保持期限の管理と後の削除が楽になります。
注意：社外のノートPCにはサインインできることがある
Microsoft 365（Entra ID）：サインインをブロックし、サインイン中の状態も切る
- Microsoft 365 管理センターで「ユーザー」→「アクティブなユーザー」を開き、対象のユーザーを選びます。
- 「サインインのブロック」を選び、ブロックします。
- 「すべてのセッションからサインアウトする」を実行します。ブロックだけでは、サインイン済みのスマホのメールアプリなどからしばらく使えることがあります。
- 後任がメールを見るなら、共有メールボックスに変換してからライセンスを外します。
Microsoft Graph PowerShellでは次のとおりです。
Update-MgUser -UserId user@example.co.jp -AccountEnabled:$false
Revoke-MgUserSignInSession -UserId user@example.co.jp外部への自動転送が残っていないかも、ここで確認します。場所は不審なサインインを検知したときの対処手順の転送ルールの項目と同じです。
PC本体：ローカルアカウントを止める
ドメイン外のPCや、PCに個別に作ったアカウントは、そのPCで止めます。管理者のコマンドプロンプトで次を入力します。
net user ユーザー名 /active:noそのPCにどんなアカウントがあるかは、PowerShellの Get-LocalUser | Select-Object Name, Enabled, LastLogon で一覧にできます。退職者が知っていたローカル管理者のパスワードも変えます。全PCで同じパスワードの場合の問題はローカル管理者パスワードの管理で扱っています。
操作の場所が多いこと自体が、漏れの原因になる
AD、Microsoft 365、PC本体、VPN、社内Wi-Fi、部門のクラウド。入口が分かれているほど操作は増え、どこか1か所の止め忘れが起きやすくなります。
チェックリストで漏れは減っても、操作の数は減りません。入口をまとめ、「1か所で止めれば全部止まる」状態に近づけることが、手間と漏れを同時に減らす方法です。
PC本体の分は、全PC・サーバーを1画面で管理できれば、席まで行かずに済みます。退職日に、管理画面から退職者のスマホの登録を外し、PCのローカルアカウントをその場で無効にできるので、PCを1台ずつ回る作業がなくなり、「止め終わった」と言い切れます（アプリップリキー。ドメインのアカウントはADの側で止めます）。さらに、PC・サーバーのログインを本人のスマホを鍵にしたワンタッチログインにしておくと、退職者がパスワードを覚えていても、スマホの登録を外せば入れなくなります（PC版・サーバー版）。
対応漏れを繰り返さないためのルール化
次の退職者でも同じ品質で処理するために、三点を決めておきます。
- 人事からの通知をきっかけにする — 退職・異動が決まった時点で担当へ通知が届く流れを作る。聞いて回る運用では漏れる
- チェックリスト化する — 前の項の対象一覧をそのまま使い、全項目を確認したことが残るようにする
- 定期棚卸しと二重の網にする — すり抜けたアカウントを定期の棚卸しで拾う（アカウントの棚卸し）
入社・異動も含めた流れとして設計するなら、IDライフサイクル管理もご覧ください。
削除漏れが起きる箇所とそれを潰す確認方法
ルールを決めても漏れは出ます。
漏れの正体
| 漏れが起きる箇所 | 確認方法 |
|---|---|
| 部門が個別契約したクラウドサービス | 経費精算の記録から契約中のサービスを洗い出す。情報システムの台帳だけでは出てきません |
| 氏名と紐づかないアカウント | 共有ID・作業用IDは退職者と結びつかないため通知では拾えません。共有アカウントの廃止を参照 |
| 外部の人に発行したアカウント | 相手先での退職は自社では分かりません。ゲストアカウントの棚卸し |
| 機器・システムのローカルアカウント | サーバーやネットワーク機器に直接作られたIDは中央の管理下にありません |
確実な方法は、通知に頼らず定期的に全件を突き合わせることです。在籍者名簿と有効なアカウントの一覧を並べ、片方にしかないものを洗い出します。
年に1〜2回で十分です。最終ログインから動きがないアカウントを先に見ると効率が上がります。抽出手順はIDの棚卸しと監査にまとめました。
見つかった不明なアカウントは、その場で削除しないでください。まず無効化して数週間置き、問い合わせがないのを確かめてから削除します。削除は元に戻せません。
入れたあと日々の仕事で変わること
退職や異動のたびに、担当者がPCの席まで行ってアカウントを確かめる作業は、1人ずつは小さくても積み重なります。全PCの利用者とログイン記録を1か所で見られるようにしておくと、退職日にはスマホの登録を外してローカルアカウントを止めるだけで済み、年1〜2回の棚卸しも画面を開いて確かめる作業になります。「辞めた人のアカウントは残っていませんか」と取引先や監査で聞かれたときも、その日のうちに記録を見せて説明できます。
いまの運用を棚卸ししてみる
仕組みとして回っているかは、通知の流れとチェックリストが整っているかで決まります。
applippliの無料棚卸しでは、10問・約3分で、自社のID・アカウント管理の状況を「解決済み／一部解決／人手で対応／未解決」の一覧にできます。