ID管理の運用が失敗する主な要因
ID管理の運用が滞る場合、原因は製品そのものよりも、導入前後の決めごとの不足にあることがあります。ここでは業種や規模を問わず起こりやすい要因を取り上げ、どの段階で見直せるのかを整理します。
導入目的が共有されないまま運用が始まる
ID管理システムとは、社内で使うアカウントとその権限をまとめて扱う仕組みです。ただし、何のために導入したのかが関係部署へ共有されないまま運用が始まると、使われ方が担当者ごとにばらつく場合があります。内部統制の強化が目的なのか、発行作業の効率化が目的なのかによって、設定すべき項目も運用の重点も変わってくるためです。
目的があいまいなままでは、申請フローを簡略化してよいのか、承認の段階を増やすべきなのかという判断もその都度分かれます。導入時に決めた目的と優先順位は文書として残し、担当が交代したときに引き継げる形にしておくと、判断のぶれを抑えやすくなります。
運用ルールが文書化されずに属人化する
アカウント発行や権限変更の手順が特定の担当者の頭のなかにしかない状態では、その担当者が不在のときに作業が止まります。手順書がないと、例外対応をどこまで認めてよいかの判断も分かれ、同じような申請でも結果が異なるケースが生まれます。
対策としては、申請から承認、設定、記録までの流れを1枚の手順書にまとめ、誰が何を判断するかを明記する方法があります。実際に対応した内容を共有フォルダやチケット管理ツールに残しておくと、複数人で状況を把握できます。担当者を1人に固定せず、副担当を置いて手順を共有しておきましょう。
情シスの体制不足で起こるID管理の停滞
ID管理の運用は、担当する人員の体制に左右されます。情報システム部門が1人、あるいは専任者がいない組織では、日々の依頼に追われて統制面の作業が後回しになるケースがあります。ここでは体制不足で起こりやすい状況を見ていきます。
情シス1人体制でアカウント発行が滞るケース
情報システム担当者が1人の組織では、アカウント発行や権限変更の依頼が同じ人に集中します。入社が重なる時期や組織変更の直後は依頼が一度に増え、初日から使えるはずのアカウントが間にあわない場合があります。依頼の受け付け窓口がメールやチャット、口頭と分散していると、対応漏れが起こる要因にもなります。
この状態を改善するには、依頼の窓口を1つにまとめ、必要な情報を記入する申請フォームを用意する方法が有効です。部署や役職ごとに付与する権限をあらかじめ組み合わせとして定義しておくと、1件ごとに個別判断する手間も減らせます。自動でアカウントを作成する機能を使えるかどうかも、選定時の確認項目です。
情シス不在で権限設定が見直されない状態
専任の情報システム担当者がいない組織では、総務や経理の担当者が兼務でID管理を行うことがあります。導入時にベンダーの支援を受けて設定した内容が、その後は誰も触れないまま運用され、権限の見直しが行われない状況が生まれる場合があります。
権限が放置される背景には、担当者の専門知識だけでなく、設定変更の責任範囲が決まっていないことや、確認のきっかけがないことなども関係します。まずは、退職や異動が発生したタイミングを見直しの起点として運用に組み込むとよいでしょう。自社で判断が難しい場合は、ベンダーの運用支援サービスへ相談する選択肢もあります。
退職者アカウントの削除漏れが残る状況
退職者のアカウントが有効なまま残ると、社外から社内システムへアクセスできる経路が残る恐れがあります。削除漏れは担当者の不注意だけが原因とは限らず、退職の連絡が情報システム部門へ届かないことや、複数のサービスに個別のアカウントが存在して把握しきれていないことも関係します。
対策としては、人事側の退職手続きとアカウントの停止処理を同じチェックリストで管理する方法があります。一定期間ログインのないアカウントを抽出できるようにしておくと、漏れの発見にもつながります。停止と削除を分けて運用すれば、誤操作時の復旧もしやすくなります。
多拠点でのID管理で起こる情報の混乱
拠点やグループ会社が複数ある組織では、それぞれで運用が始まった結果、アカウント情報の持ち方がそろわないことがあります。ここでは多拠点利用で起こりやすい混乱と、統一していく際の考え方を整理します。
拠点ごとに異なる命名規則の乱立
拠点ごとに個別でシステムを導入してきた場合、アカウントの命名規則が拠点ごとに異なっているケースがあります。社員番号を使う拠点、氏名のローマ字表記を使う拠点、部署名を含める拠点が混在すると、同一人物のアカウントを名寄せする作業に手間がかかります。
統一を進める際は、既存のアカウントを一度に変更するのではなく、新規発行分から新しい規則を適用し、既存分は棚卸しのタイミングで移行する進め方が現実的です。命名規則を決めるときは、氏名変更があっても影響が出にくい社員番号ベースにするなど、将来の変化も想定して選ぶとよいでしょう。
重複アカウントと棚卸し対象の把握漏れ
複数拠点で同じクラウドサービスを別契約で利用していると、1人の従業員が複数のアカウントを持つ状態になることがあります。この状態では、ライセンス費用が重複するだけでなく、片方のアカウントだけ停止されて別のアカウントが残るという事態も起こり得ます。
まずは利用中のサービスと契約主体の一覧を作り、どの拠点がどのアカウントを管理しているかを整理する作業から始めます。複数のサービスのアカウントを一元的に把握できるようにすれば、棚卸しの対象を洗い出しやすくなります。統合の順番は、利用者数や機密情報の扱いを見て決めるとよいでしょう。
ITトレンドでは、最新の製品・サービスを多数比較・掲載しています。まず資料を取り寄せて機能や特徴をさまざまな製品で比較してみてください。忙しい業務時間内でも、各社に問い合わせる手間なく、たった1回の入力（約60秒）でID管理の一括資料請求が可能です。浮いた時間で、じっくりと製品を比較検討し進めましょう。
人事と情シスの連携で生じるID管理の食い違い
入退社や異動にともなうアカウント作業は、人事部門からの情報がそろって初めて進められます。両部門の取り決めがあいまいだと、対応の遅れや権限の残存につながります。ここでは連携で起こりやすい食い違いを取り上げます。
入社時のアカウント準備が間に合わない
入社日にアカウントが使えない事態は、人事から情報システム部門への連絡時期が定まっていないことで起こる場合があります。内定段階で連絡する運用と、入社前日に連絡する運用が混在していると、準備期間にばらつきが出ます。中途採用で入社日が個別に決まる場合は、特に情報の伝わり方が不安定になりがちです。
改善策としては、入社日の何営業日前までに人事から情報を渡すかを両部門で合意し、文書に残す方法があります。渡す情報の項目も、氏名や所属だけでなく、雇用形態や利用するシステムまで含めて定義しておくと、確認のやり取りを減らせます。人事システムとの連携が可能かも確認しておきましょう。
異動時の権限が追加だけで積み上がる
異動の際に新しい部署の権限を付与する一方で、前の部署の権限を外す処理が抜けると、権限が積み上がった状態になります。長く在籍している従業員ほど、必要以上に広い範囲へアクセスできる状態が生まれる可能性があります。
この現象は、異動の連絡内容が追加してほしい権限だけになっていることが背景にある場合があります。異動時の依頼フォーマットに、削除する権限の欄をあわせて設ける運用にすると、処理の抜けを減らせます。部署の変更にあわせて権限の組み合わせを入れ替えられる設定が可能かも、確認しておきたい項目です。
退職連絡の経路が定まっていない
退職の連絡が人事から情報システム部門へ届く経路が決まっていないと、アカウントの停止が遅れる場合があります。急な退職や、業務委託契約の終了のように人事システムに登録されない区分では、情報が伝わらないまま契約終了日を過ぎてしまうこともあります。
対応としては、正社員だけでなく契約社員や業務委託、派遣といった区分ごとに、誰がいつ情報システム部門へ連絡するかを決めておく方法があります。退職手続きのチェックリストにアカウント停止の項目を組み込み、完了を人事側でも確認できるようにすると、双方で状況を把握できます。
ID管理の運用失敗を立て直す進め方
すでに運用が滞っている場合でも、順序を決めて進めれば整理できます。ここでは棚卸しから連携ルールの整備、確認の仕組みづくりまで、立て直しの流れを3つの段階に分けて説明します。
現状のアカウントと権限の棚卸し
最初に行いたいのは、いま存在するアカウントと権限を一覧化する作業です。利用中のシステムごとにアカウント一覧を出力し、在籍者名簿と突きあわせると、退職者の残存や利用者が不明なアカウントを洗い出せます。この段階では削除を急がず、まず実態を把握することを優先します。
洗い出した結果は、次の3つに分類すると判断しやすくなります。共有アカウントは個人アカウントへの切り替えを検討し、利用者が不明なアカウントは所管部署へ確認してから対応を決めるとよいでしょう。
- ■在籍者の個人アカウント
- 現在の所属と権限があっているかを部署ごとに確認する対象
- ■退職者や異動者の残存アカウント
- 停止または削除の対象とし、処理した記録を残す対象
- ■共有アカウントや利用者が不明なアカウント
- 利用目的と管理者を確認し、継続の可否を判断する対象
人事情報を起点とした連携ルールの整備
棚卸しで実態を把握したら、今後同じ状態に戻らないよう、人事情報の変化を起点にアカウントを処理する流れを整えます。入社や異動、休職、退職という区分ごとに、連絡の担当者と期限、処理の内容を決めておくと、両部門の認識をそろえやすくなります。
ルールを整えるときは、下記のように場面ごとの取り決めを表へまとめておくと、担当者が交代しても参照できます。手作業の受け渡しを減らせるかどうかも、ベンダーへ確認してみましょう。
| 場面 | 取り決めておきたい内容 |
|---|---|
| 入社 | 人事から情報を渡す期限と、渡す項目の範囲を定義する |
| 異動 | 追加する権限とあわせて、削除する権限も依頼内容に含める |
| 休職 | アカウントを停止するか維持するかの基準を決めておく |
| 退職 | 雇用区分ごとの連絡経路と、停止から削除までの期間を決める |
運用状況を確認する仕組みづくり
ルールを決めても、実際に守られているかを確認する機会がなければ、時間とともに運用は元へ戻る場合があります。操作履歴やログイン履歴を確認できる状態にし、定期的に見る担当を複数人で分担しておくと、変化に気づきやすくなります。
製品を選ぶ段階では、権限変更の履歴が残るか、一定期間使われていないアカウントを抽出できるか、承認者へ通知が届くかといった点を確認しておくとよいでしょう。これらは公開資料や問い合わせで確かめられる項目です。運用開始後の支援範囲も、あわせて聞いておくと判断材料が増えます。
少人数でも運用を続けやすいID管理システム
担当できる人数が限られる環境では、登録や停止の作業をどこまで自動で回せるかが判断の材料になります。運用の負担を抑えたい場合の製品を紹介します。
Keyspider
- クラウドID管理と効率化を実施し、変化に対応できるシステム運用
- “引継ぎ期間”を想定した対応が可能
- 組織情報に紐づけ、各システムの権限付与が自動的に行える。
株式会社アクシオが提供する「Keyspider」は、クラウド型のID管理サービスです。人事情報などをもとに利用者のアカウントを作成し、連携先のサービスへ反映する仕組みを備えています。入社や退職、異動にともなうアカウントの登録と停止を設定にもとづいて処理できるため、手作業で対応していた工程を見直したい場合の材料になります。対応する連携先は事前に確認しておきましょう。
ジョーシス
- バラバラだったSaaS・デバイスを一元化管理し、管理工数を削減
- 入退社時のアカウント発行・削除を自動化し、業務の効率化を実現
- シャドーITや削除漏れアカウントを検知し、ITセキュリティを向上
ジョーシス株式会社が提供する「ジョーシス」は、社内に分散しているクラウドサービスと端末をまとめて管理するクラウドサービスです。100を超えるサービスと自動で連携し、誰が何を使っているかをリアルタイムで確認できます。入社や退社にともなうアカウントの発行と削除を画面上の操作で進められます。
SeciossLink（セシオスリンク）
- シングルサインオンであらゆるサービスに連携
- IDの一元管理で業務効率化
- FIDO認証や証明書認証などの多要素認証で認証を強化
株式会社セシオスが提供する「SeciossLink（セシオスリンク）」は、クラウド型のID管理およびシングルサインオンのサービスです。利用者の情報を集約して管理し、複数のサービスへのログインを一度の認証でまとめられます。アカウントの登録や停止を管理画面から扱えるため、担当者が限られる組織でも作業を進めやすい構成です。
Microsoft Entra ID （日本マイクロソフト株式会社）
- ゼロトラストでアクセスを条件付き制御。
- SSOなどでUXを簡素化しセキュリティを強化。
- クラウド・オンプレミスを包括し大規模環境にも対応可能。
Soliton ID Manager （株式会社ソリトンシステムズ）
- よりスムーズなログイン・管理が可能！
- 自社ルールに適合した柔軟な設定を実現！
- 申請ワークフローを活用し効率的なデジタル証明書の配布が可能！
ID管理の運用に関するFAQ
ID管理の運用についてよくある質問と回答をまとめました。
- Q1： 情シスが1人でもID管理システムを運用できますか？
- 申請フローの整理や権限の組み合わせの定義を先に行えば、1人体制でも運用できるケースがあります。ただし、担当者の不在時に作業が止まる恐れがあるため、副担当を決めて手順を共有しておくとよいでしょう。
- Q2： アカウントの棚卸しはどのくらいの頻度で行うべきですか？
- 組織の規模や監査要件によって異なりますが、人の出入りが多い組織では四半期ごとや半期ごとに実施する例があります。まずは自社の異動頻度を確認して決めてください。
- Q3： 人事システムとID管理システムは連携できますか？
- 製品によって対応状況が異なります。自社で使っている人事システムの名称を伝えて確認しましょう。連携時のエラー通知や再実行の可否も、あわせて聞いておくと安心です。
まとめ
ID管理の運用でつまずく原因は、製品の機能だけでなく、担当体制や部門間の取り決めにも関わっています。情シス1人体制での作業集中、権限の見直し機会の不足、多拠点での情報の分散、人事との連携ルールの食い違いは、いずれも運用設計を整えることで改善が期待できます。まずは現状の棚卸しから始め、自社の体制にあう製品を比較検討したい方は、資料請求を活用してください。
