アカウントと権限の管理の基本
この記事の結論
アカウントと権限の管理は、一人ひとりに専用のアカウントを用意し、権限を仕事に必要な範囲に絞り、入社・異動・退職のたびに見直し、多要素認証で守ることが基本です。台帳をつくると続けやすくなります。
自社の「基盤とセキュリティ」の準備度は？10問・約3分で確かめる（無料・登録不要）
業務で使うサービスが増えると、「誰が、どのサービスに、どこまでさわれるか」が見えにくくなります。退職した人のアカウントが残っていたり、全員が管理者の権限を持っていたりすると、情報漏えいや不正な操作の原因になります。この記事では、IPA（情報処理推進機構）と総務省の資料をもとに、アカウントと権限の管理の基本をまとめます。
この記事でわかること
- アカウントと権限の管理で、よく起きる問題
- 台帳づくりから、入社・異動・退職の手続きまでの手順
- パスワードと多要素認証で、アカウントを守る方法
どんな問題が起きやすいのですか？
総務省の「国民のためのサイバーセキュリティサイト」は、アカウントが悪用される原因として、退職した人のアカウントの利用や、長い間パスワードが変わっていない共有アカウントの利用などを挙げています。また、システムの管理者のアカウントは多くの権限を持つため、攻撃の標的になりやすいとしています。
IPAの「情報セキュリティ10大脅威 2026」でも、組織向けの7位に「内部不正による情報漏えい等」が入っています。権限が広いほど、誤操作や不正、乗っ取りのときの被害が大きくなります。 権限を仕事に必要な範囲に絞る考え方を「最小権限の原則」と呼びます。
よくある状態を整理すると、次のようになります。
| よくある状態 | 起きうること | 見直しの方向 |
|---|---|---|
| 退職した人のアカウントが残っている | 元の社員や第三者に使われる | 退職日に止める手続きを決める |
| 全員が管理者の権限を持っている | 誤操作や乗っ取りの被害が広がる | 管理者の権限を持つ人を限る |
| 共有のアカウントを使い回している | 誰が操作したか分からない | 一人ひとりに専用のアカウント |
| 共有フォルダを全員が見られる | 関係のない人に情報が見える | 見られる人を必要な範囲に絞る |
まず何から始めればよいですか？
① アカウントの台帳をつくります。 使っているサービスごとに、誰のアカウントがあるか、どの権限か、管理者は誰かを一覧にします。クラウドサービスの管理画面から利用者の一覧を書き出すと早く進みます。
② 使われていないアカウントを止めます。 総務省は、長い間使われていないアカウントや、本来は削除しておくべきアカウントがないかを定期的に確かめ、不要なものは無効にするか削除するよう呼びかけています。
③ 管理者の権限を持つ人を絞ります。 設定を変える権限は、担当者と代わりの人など、少ない人数に限ります。管理者の人も、日常の業務は通常の権限のアカウントで行います。
④ 共有の範囲を見直します。 IPAの「情報セキュリティ6か条」は、ウェブサービスや、ネットワークにつないだ複合機・カメラ・NAS（ネットワークにつなぐ記憶装置）などの共有の範囲を限定することを示しています。
入社・異動・退職のときは、何をすればよいですか？
IPAの6か条の解説編は、異動や退職のときに速やかに権限を変更・削除することを示しています。手続きを人事の流れに組み込むと、抜けが減ります。
| 時期 | すること | 担当の例 |
|---|---|---|
| 入社 | 仕事に必要なサービスだけアカウントをつくる。多要素認証を設定する | 人事が依頼し、情報システム担当がつくる |
| 異動 | 新しい仕事に必要な権限を足し、前の仕事の権限を外す | 上長が依頼し、情報システム担当が直す |
| 退職 | 退職日にログインできない状態にし、データを引き継ぐ | 人事が連絡し、情報システム担当が止める |
入社・異動・退職のたびに見直します
異動では「足す」ことは忘れにくく、「外す」ことは忘れやすい点に気をつけます。手続きを人事の流れに組み込むと、抜けが減ります。
異動では「足す」ことは忘れにくく、「外す」ことは忘れやすい点に気をつけます。権限が積み重なると、何年も前の部署の情報まで見られる状態になります。
アカウントは、どう守ればよいですか？
アカウントを乗っ取られると、権限を絞っていても、その範囲の情報は見られてしまいます。IPAの6か条の解説編は、パスワードについて次の点を示しています。
- 10文字以上で、英字・数字・記号を組み合わせる
- 名前や誕生日など、推測されやすいものは避ける
- サービスごとに別のパスワードにし、使い回さない
- 機器やサービスの初期のパスワードは変える
- 使えるサービスでは、多要素認証やパスキーを使う
多要素認証は、パスワードに加えて、スマートフォンのアプリや生体認証など別の要素でも本人を確かめる仕組みです。総務省も、パスワードの再発行の依頼を受けたときに、本人が持っていると分かっている電話への折り返しや、本人しか知らない情報で本人かどうかを確かめることを挙げています。
社員が多くのサービスを使う場合は、一度のログインで複数のサービスを使えるようにする仕組み（シングルサインオン）を使うと、アカウントの止め忘れを減らしやすくなります。
どのくらいの頻度で見直せばよいですか？
入社・異動・退職のたびの手続きに加えて、定期的に台帳と実際の状態を照らします。
① 目安として半年に1回など時期を決め、各サービスの利用者の一覧を書き出す
② 台帳と比べ、退職した人や、使われていないアカウントを止める
③ 部署の責任者に、メンバーの権限が仕事に合っているかを確かめてもらう
④ 管理者の権限を持つ人の一覧を見直す
定期の見直しの手順
- 書き出す目安として半年に1回など時期を決め、各サービスの利用者の一覧を書き出す
- 照らす台帳と比べ、退職した人や使われていないアカウントを止める
- 確かめてもらう部署の責任者に、メンバーの権限が仕事に合っているかを確かめてもらう
- 管理者を見直す管理者の権限を持つ人の一覧を見直す
AIツールを使うときは、何を加えればよいですか？
生成AIのツールも、アカウントと権限の管理の対象です。会社として契約したツールのアカウントを台帳に加え、退職のときに止めます。
社内の資料をAIで探せるようにする場合は、AIを通して、本来は見られない資料が見えてしまわないように、利用者ごとの閲覧の権限を引き継ぐ設定にします。もとの共有フォルダの権限が広すぎると、AIを通してそのまま広く見えてしまうため、先に共有の範囲を見直しておくと安心です。
チェックリスト
関連するひな形・ガイド・用語
よくあるご質問
Q共用のアカウントは、使ってはいけませんか？
Aできるだけ一人ひとりに専用のアカウントを用意するほうが、誰が何をしたかを追いやすくなります。総務省も、長い間パスワードが変わっていない共有アカウントの利用をリスクとして挙げています。やむを得ず使う場合は、使う人を一覧にし、担当者が替わるたびにパスワードを変える運用にします。
Q退職者のアカウントは、いつ止めればよいですか？
A退職日に合わせて、すみやかに止めるのが目安です。IPAは、異動や退職のときに速やかに権限を変更・削除することを示しています。メールや資料の引き継ぎが必要な場合も、本人がログインできない状態にしたうえで、管理者が引き継ぎを進めます。
Q社長や役員にも、権限の絞り込みは必要ですか？
A必要です。多くの情報にふれられるアカウントほど、乗っ取られたときの被害が大きくなります。日常の業務は通常の権限のアカウントで行い、設定の変更などに使う管理者の権限は、使う場面と人を限ります。
この記事に出てくる用語
「基盤とセキュリティ」のほかの記事
この柱の解説 →出典
- 独立行政法人情報処理推進機構（IPA）「情報セキュリティ6か条」解説編
- 総務省「国民のためのサイバーセキュリティサイト」アカウント管理
- IPA「中小企業の情報セキュリティ対策ガイドライン」第4.0版 説明資料
- IPA「情報セキュリティ10大脅威 2026」（プレスリリース、2026年1月29日）
最終確認日：2026-11-12