アカウント削除・退職者対応手順
組織の「裏口」を閉じる重要性
退職者のアカウント放置は、情報漏洩や不正アクセスの最大の温床となる。悪意の有無にかかわらず、私用デバイスに残ったログインセッションや共有設定を物理的に断つ仕組みが必要だ。退職日当日に機械的に完了させるためのチェックリストを運用する。
離職時の即時対応フロー
- ID・パスワードの無効化: 退職時刻に合わせて、Active Directory、Google Workspace、Microsoft 365 などのプライマリ ID を「削除」ではなく「停止（無効化）」する。
- 全セッションの強制終了: ID を停止しても、スマホや PC に残った既存の認証トークンでアクセスを継続できる場合がある。管理画面から「すべてのセッションをサインアウト」を実行する。
- 多要素認証（MFA）の解除: 私用スマホを認証デバイスに登録している場合、その紐付けを解除し、後任者が再設定できるようにする。
データと権限の継承
- メール・ファイルの所有権移転: Google ドライブや OneDrive 上のファイルを後任者や上長へ一括譲渡する。アカウントを削除する前にこの作業を行わないと、重要なデータが消失するリスクがある。
- メールの自動転送設定: 一定期間（1〜3ヶ月）、退職者宛のメールを後任者に転送し、取引先との連絡漏れを防ぐ。
- 共有パスワードの変更: チームで共有していたサービス（SNS 運用アカウント等）のパスワードを即座に変更する。
物理資産の回収と確認
- デバイスの回収: PC、スマホ、タブレット、モバイル Wi-Fi、USB メモリ等をすべて回収し、破損がないか確認する。
- セキュリティカード・物理鍵: オフィスへの入館証やキャビネットの鍵を確実に回収する。
- 私用デバイスの業務データ削除確認: BYOD（個人端末の業務利用）を認めている場合、業務アプリの削除やデータの消去を本人の目の前で確認、または MDM（端末管理ソフト）経由でワイプを実行する。
記録の保管
- 対応完了ログ: 誰が、いつ、どのアカウントを停止したかの記録を 資産管理グループ の記録簿に残す。これは後に監査やトラブルが発生した際の重要な証拠となる。
