誰が会社のどのIDを使っているか分からない。アカウント一覧の作り方

「退職した社員が使っていたソフトのパスワードが分からない」「誰がどの権限を持っているのか把握できていない」といった問題は、アカウントの管理台帳がないことで起こります。まずは、会社が支払っている経費や請求書をすべて集め、現在契約しているサービスをすべて書き出すことから始めてください。台帳の目的はパスワードを記録することではなく、サービスごとに「誰が使い」「誰が管理し」「困ったときにどう復旧するか」を明確にすることです。

サービス利用の実態をどうやって洗い出すか

支払いの記録から利用中のサービスを特定する

アカウントの管理を始める際、最初に行うべきは「会社がどのサービスにお金を払っているか」の確認です。例えば、毎月のクレジットカードの明細や、経理部門に届く請求書、あるいは銀行の振込履歴をチェックしてください。メール、会計ソフト、顧客管理システム（CRM）、デザインツール、ドメイン管理など、業務に必要なツールは必ずどこかで決済が行われています。まずはこの支払いデータをもとに、現在契約中のサービス名をリストアップします。この段階では、まだ「誰が使っているか」までは追わなくて構いません。まずは「何が存在するか」を漏れなく把握することが、管理の土台となります。

各部署への聞き取りで現場の利用状況を補完する

支払い記録だけでは、現場の社員が「個人のクレジットカードで立て替えて利用しているツール」や「部署独自の無料プラン」を見落とす可能性があります。そこで、各部署の責任者に対して「業務で使っている外部サービスはないか」と聞き取りを行います。例えば、「デザイン部は画像素材サイトを使っている」「営業部は名刺管理ツールを使っている」といった情報です。この際、単にツール名を聞くだけでなく、「そのツールにログインするためのIDは誰が持っているか」も併せて確認してください。支払いと利用実態のズレを埋めることで、初めて実態に即した台帳の骨組みが出来上がります。

個人用と会社用のIDを明確に区別して整理する

洗い出したサービスを整理する際は、そのIDが「会社として管理するもの」か「個人の判断で使っているもの」かを区別します。例えば、会社が契約して社員に割り当てたメールアドレスは会社管理ですが、社員が個人のメールアドレスを使って、勝手に無料のクラウドストレージに業務ファイルを保存している場合は、未承認の業務利用として別の欄に記録し、会社の情報が入っていないかと、今後の利用可否を確認します。台帳には、会社が責任を持って管理すべき「組織用アカウント」を優先的に記載しましょう。共用で使っているID（例：info@company.com）と、個人に紐づくID（例：tanaka@company.com）を分けて管理することで、後の権限設定がスムーズになります。

台帳に記載すべき具体的な項目と管理のルール

権限と役割を整理してリスクを抑える

台帳には、単に利用者の名前を書くだけでは不十分です。その人がそのサービスに対して「どのような権限（操作できる範囲）」を持っているかを記載してください。例えば、会計ソフトにおいて「全てのデータを閲覧・削除できる管理者権限」を持っているのか、「入力だけができる一般ユーザー権限」なのかを区別します。権限が強すぎるユーザーが多いと、誤操作によるデータ消失や、退職時の情報漏洩のリスクが高まります。担当者へ確認する際は、「その業務を行う上で、本当にその操作権限が必要か」という視点で、役割に見合った適切な権限が割り当てられているかをチェックするように指示してください。

ログイン不能を防ぐための復旧手段を記録する

最も恐ろしいのは、管理者が不在の時に「パスワードを忘れてログインできない」状態になることです。台帳には、パスワードそのものではなく、「パスワードを忘れた際に、どのメールアドレスに再設定通知が届くか」という復旧ルートを必ず記載してください。例えば、復旧用メールアドレスが「退職した元社員の個人アドレス」に設定されていると、二度とログインできなくなる恐れがあります。必ず「会社の代表アドレス」や「管理責任者のアドレス」など、会社が継続的にアクセスできる手段が設定されているかを確認し、その設定内容を台帳にメモしておきましょう。

台帳自体の閲覧範囲と更新の仕組みを決める

アカウント台帳は、それ自体が「どのサービスに誰がアクセスできるか」という極めて重要な情報を含むため、誰でも見られる状態にしてはいけません。閲覧できる人を限定し、ファイルの保存場所にもアクセス制限をかけるなどの対策が必要です。また、台帳は一度作って終わりではありません。入社、異動、退職といった人事の動きに合わせて、誰が情報を更新するのかという運用ルールを決めておきます。例えば、「毎月第一月曜日に、総務担当者が利用状況を点検する」といった定期的な確認日を設けることで、情報の鮮度を保ち、管理の形骸化を防ぐことができます。

運用をスムーズにするための判断基準

利用者の在籍状況と必要性を定期的に見直す

台帳が完成したら、定期的に「そのアカウントは本当に必要か」を判断するプロセスを組み込みます。例えば、半年ごとに台帳を見返し、既に退職した社員のアカウントが残っていないか、あるいは以前は使っていたが現在は不要になったツールに料金を払い続けていないかをチェックします。利用者のリストと現在の社員名簿を照らし合わせる作業は、コスト削減とセキュリティ対策の両面で役立ちます。担当者には「利用していないアカウントの停止」を具体的な業務目標として伝えると、作業の目的が明確になり、実行に移しやすくなります。

役割に合った権限設定になっているかを評価する

権限の設定が適切かどうかを判断する基準は、「その業務を遂行するために、最小限の権限で足りるか」という点です。例えば、資料を閲覧するだけの担当者に、データの削除ができる権限を与えていないかを確認します。もし、権限が強すぎるものがあれば、より低い権限への変更を検討してください。これは「最小権限の原則」と呼ばれる考え方で、万が一アカウントが不正利用された際の被害を最小限に抑えるための重要な判断基準となります。担当者へは「もしこの人が間違えて操作したら、どこまで壊れる可能性があるか」という問いを投げかけてみてください。

会社として管理可能な復旧手段を選んでいるか

復旧手段の判断基準は、「その社員がいなくなった後でも、会社が自力でログインできるか」です。例えば、多要素認証（スマホへの通知など）を利用している場合、認証用のデバイスや通知先が「特定の個人のスマートフォン」に紐付いていると、その人が退職した際にログインできなくなる恐れがあります。このような事態を防ぐには、認証用デバイスを会社で管理する、あるいはバックアップコードを適切に保管しておくなどの対策を検討してください。復旧手段が個人のデバイスや個人メールに依存せず、会社としてコントロール可能な状態にあるかを、常に判断の軸に置いてください。

管理体制を整えるための次のステップ

現状の把握から管理の仕組みづくりへ

まずは、手元にある請求書や経費の記録を整理することから始めてください。いきなり完璧なシステムを導入する必要はありません。Excelやスプレッドシートで構いませんので、前述した項目を埋めていく作業が、会社を守るための第一歩となります。もし、現在の管理状況が複雑すぎて、どこから手をつければよいか判断がつかない場合は、一度社内のIT担当者や、信頼できる外部の専門家に、現在の契約状況を提示して相談することをお勧めします。自社の状況を整理した上で、どこまでを社内でやり、どこからを専門家に任せるかを検討しましょう。

失敗を防ぐための確認事項を整理する

台帳作成の過程で、もし「ログインできないサービス」が見つかったとしても、慌てる必要はありません。それは、管理体制を見直すための重要な発見です。その際は、無理にパスワードを推測しようとせず、サービス提供元へ問い合わせる、あるいは契約内容から管理権限を持つ人物を特定するといった手順を踏んでください。また、台帳を作成する際は、情報の漏洩を防ぐために「台帳そのものの管理方法」が確立されているかを、作業の最後にもう一度確認するようにしてください。情報の整理が、そのまま会社の防御力につながります。

専門家へ相談する際の準備を進める

もし、アカウント管理の自動化や、より高度なセキュリティ対策（シングルサインオンの導入など）を検討するために専門家へ相談する場合は、作成した台帳のドラフト（下書き）を用意しておくと非常にスムーズです。「どのサービスを、何人くらいで、どのような権限で使っているか」という情報があれば、専門家はより具体的で、御社の規模や予算に合った提案を行うことができます。まずは自社の現状を可視化し、課題を整理した状態で、次のステップである「仕組みの強化」へと進んでいきましょう。