従業員が利用するアカウントの管理、特に退職や部署移動に伴う不要なアカウントの停止/削除は企業にとって重要な課題です。不要なアカウントを放置すると、不正アクセスの原因に繋がりかねません。

しかしながら、ITシステムの複雑化やクラウドサービスの導入によって、１人のユーザーが業務で利用するアカウントの数は年々増加しており、適切な管理が難しくなっています。

そこで今回は、従業員アカウントの放置による危険性と、適切な管理について検討します。

なぜアカウントを放置してはいけないのか

社内システム、メール、各種業務アプリケーション、クラウドサービスなど企業が管理しなければならないアカウントは多岐に渡っています。業務に支障があるため、アカウントの発行は入社や部署移動時に即座に実施されることが多いのですが、退社や部署移動によるアカウントの停止/削除は後回しにされがちです。

アカウントの停止/削除が後回しにされる最大の理由は、「急いでやらなくても業務に支障はない」からですが、状況によっては「すぐに削除するわけにはいかない」こともあります。削除するわけにはいかない理由はさまざまですが、たとえば「退職者のPCやオンラインストレージに情報が埋もれている」「重要なメーリングリストに参加している」「顧客からの連絡がこのアカウントにしか届かない (引継ぎができていない)」などのケースがあります。

不要になったアカウントを放置する危険性には、次のようなことが考えられます。

● 退職者の不正アクセスによる情報漏洩

退職者自身が、かつて自分が使っていたアカウントで不正アクセスするというのは、もっともわかりやすいセキュリティ侵害です。個人情報や会社の機密情報が漏洩する、アカウントの権限次第では社内システムを不正に操作してより大きな被害に繋がる可能性も否定できません。退職が円満でなかった場合、よりリスクが高まります。

● 放置アカウントの不正利用

他社とのやり取りに使用しているメールアドレスを、そのままサービスのIDとして使用するケースは少なくありません。頻繁にパスワードを変更するなどの対応もできないため、攻撃者はこうした放置アカウントを狙っています。そのため、実在している企業のメールアドレスを使って不正アクセスを試みるサイバー攻撃は数多く観測されています。

● 共有アカウントのずさんな管理

一つのアカウントをチームメンバーなど複数人で共有することもあります。メンバーに変更があればパスワードを適切に変更します。共有している人数が多ければ多いほどパスワードを変更しにくくなります。また、セキュリティの観点では、共有アカウントの利用は推奨できません。

誰がアカウントを管理すべきなのか

「アカウント管理を情シスに任せきりにしている」という企業の多くは、適切なアカウント管理が難しいと言われています。従業員のアカウント管理は、情シスが人事や総務といった部門とも連携しながら実施すべきでしょう。

情シスは人事や総務といった部門からの情報を受け取り、可能な限り迅速に設定を実施する実働部隊です。アカウントの設定、特に権限などの設定は煩雑な作業になることも多く、一定以上のITスキルが求められることも少なくありません。

アカウント管理のプロセスは企業によってさまざまですが、人事部門からの情報をトリガーにして、総務や情シスが動くことが多いようです。

最近はシングルサインオン(SSO)によって、１つのアカウントでさまざまなサービスを利用できるケースも増えています。しかし、実際には複数のアカウントをSSO用のアカウントと連携させているだけで、ユーザーから見えないところでは数多くのアカウント管理業務が発生していることはよくあります。適切なアカウント管理を実施していなければ、気づかないうちに放置アカウントが沢山残ってしまっているという事にもなりかねません。

どうすれば適切にアカウントを管理できるのか

では、実際にどうすれば適切にアカウントが管理できるのでしょうか。多くの企業が頭を悩ませている大きな課題であり、最適な答えがすぐに出るわけではありませんが、最低限すべきこととしては以下のような対策が考えられます。

● 業務で利用しているシステムやサービスの洗い出し

業務を遂行するにあたり、それぞれの部門や部署がどのようなシステムやサービスを利用しているのかを可視化することは、適切なアカウント管理の最初の一歩です。この時に問題になるのが「シャドーIT」、つまり情シスが把握していない仕組みを勝手に業務してしまう行為です。

特にシャドーITとして指摘されがちなのが、メールには添付できない大きなサイズのファイルを転送するサービスの利用です。やり取りされる業務ファイルは企業の情報資産です。情シスが把握していないファイル転送サービスやオンラインストレージなどの仕組みを利用するのは好ましくありません。

● アカウントの利用状況を確認する

「どの仕組み」で「誰」が「どのような権限」で「どのような情報」を扱っているのかといった、それぞれのアカウントがどのように利用されているのか実体を明確にします。こうした状況を確認していると、不適切な利用実態が明らかになるケースも少なくありません。しかし、ルールを徹底しなければ、ルーズな管理をしている部門がセキュリティホールとなってしまいます。

● アカウントの管理ルールを明確にする

アカウントの放置を防止するには、アカウントの「発行」「権限の付与や変更」「停止」「削除」といったアカウントの運用プロセスを明確にすることが大切です。また、これらの運用には、「誰」が、どういった「権限」で、どのような「タイミング(契機)」で、「いつまでに」作業するのかといったルールも決める必要があります。

● 定期的な棚卸しを実施する

さまざまな対策を講じても、不要なアカウントが残ってしまう可能性は否定できません。また、新たなシャドーITが利用されているかもしれません。そのため、複数の部門が協力して、定期的にアカウントの棚卸を実施し、不要なアカウントが長期間放置されることのないように確認してください。

● アカウント管理のツールを利用することも検討する

しかしながら、アカウントの数はますます増加する傾向にあり、企業の規模や業種によっては、人力での管理に限界を感じることもあるかもしれません。アカウント管理のツールは、さまざまなベンダーから提供されているため、適切なアカウント管理を徹底するのであれば、専用の仕組みの導入を検討してみてはいかがでしょうか。

まとめ

・退職者などのアカウントが放置されているとセキュリティ上の脅威になる
・アカウント管理の運用ルールを明確化して定期的な棚卸を実施することが大切
・人力での管理に限界を感じたらアカウント管理のツールに頼ることも検討する