退職者のアカウント、放置していませんか？情報漏えいを防ぐ退職時のIT対策
friendnetworks社員が退職するとき、健康保険証や社員証、パソコンなどの返却手続きは行っていても、メールやクラウドサービスのアカウントがそのまま残っていないでしょうか。
現在は、メール、クラウドストレージ、チャット、顧客管理システム、オンラインバンキングなど、多くの業務がインターネット上のサービスを利用して行われています。
退職者のアカウントを放置すると、退職後も社内データへアクセスできたり、会社のメールアドレスを利用できたりする可能性があります。
今回は、退職者のアカウントを放置するリスクと、退職時に会社が確認しておきたいIT対策を解説します。
退職者のアカウントを放置すると何が危険なのか
退職者本人に悪意がなくても、アカウントが残っていること自体がセキュリティ上のリスクになります。
パスワードが流出した場合、第三者が退職者になりすましてログインしても、社内では気付かない可能性があるからです。
また、退職者が個人のスマートフォンや自宅のパソコンから会社のサービスを利用していた場合、その端末にログイン情報やデータが残っていることもあります。
考えられる主なリスク
1．退職後も社内データを閲覧できる
メールやクラウドストレージ、NAS、共有フォルダーなどのアカウントが有効なままだと、退職後も顧客情報、見積書、契約書、社内資料などを閲覧できる可能性があります。
クラウドサービスは社外からアクセスできるものが多いため、「会社のパソコンを返却してもらったから安心」とは限りません。
2．会社のメールアドレスを使用される
退職者のメールアカウントが残っていると、そのアドレスから取引先へメールを送信できる可能性があります。
取引先から見ると正規の会社アドレスから届いたメールであるため、不正利用に気付きにくい点が問題です。
退職後に受信した注文や問い合わせが放置され、営業機会を失うことも考えられます。
3．共有リンクからデータへアクセスできる
クラウドストレージでは、アカウントを停止しても、個人用メールアドレスへ共有したリンクや「リンクを知っている人は誰でも閲覧可能」という設定が残っている場合があります。
アカウントだけでなく、ファイルやフォルダーの共有設定も確認する必要があります。
4．共通パスワードが使い続けられる
複数の社員で同じIDとパスワードを使用している場合、退職者の個別アカウントを停止しても不正利用を防げません。
Wi-Fi、NAS、複合機、ルーター、Webサイト、SNSなどの共通パスワードを退職者が知っている場合は、必要に応じて変更しましょう。
5．業務データを引き継げなくなる
セキュリティを急ぐあまり、退職者のアカウントをすぐ削除してしまうことにも注意が必要です。
メール、クラウド上のファイル、予定表、顧客とのやり取りなどが、そのアカウントに保存されている可能性があります。
必要なデータを引き継ぐ前に削除すると、業務上重要な情報を失ってしまうことがあります。
6．不要な利用料金を払い続けてしまう
退職者のアカウントを残していると、Microsoft 365、Google Workspace、チャット、会計ソフト、顧客管理システムなどの利用料金が発生し続けることがあります。
アカウント管理は、セキュリティだけでなく経費削減の面でも重要です。
退職時に確認したいITサービス
会社によって利用環境は異なりますが、少なくとも次の項目を確認しましょう。
- パソコンのWindowsアカウント
- メールアカウント
- Microsoft 365やGoogle Workspace
- クラウドストレージ
- NASや社内サーバー
- VPNやリモート接続
- チャット・Web会議サービス
- 会計・給与・販売管理システム
- 顧客管理・営業管理システム
- クラウドPBXや法人携帯
- 会社のSNSアカウント
- Webサイトやレンタルサーバー
- ドメイン管理サービス
- インターネットバンキング
- 複合機のアドレス帳やスキャン保存先
- Wi-Fi、ルーター、UTMの管理画面
- 外部のファイル共有リンク
アカウントを一覧化していない会社では、本人や担当者しか存在を知らないサービスが残っている場合があります。
退職時に行うべき7つの対策
1．利用中のアカウントを退職前に一覧化する
退職日を迎える前に、本人が使用しているサービスやシステムを確認します。
会社で正式に契約しているサービスだけでなく、業務のために個人で登録した無料サービスがないかも確認しましょう。
2．業務データを引き継ぐ
メール、クラウドストレージ、顧客情報、予定表など、後任者が必要とするデータを整理します。
ファイルの所有者が退職者本人になっている場合は、後任者や管理者へ所有権を移します。
メールについても、保存する必要がある内容や、退職後に届く問い合わせの転送先を決めておきましょう。
3．退職日にログインを停止する
アカウントの停止は、最終出勤後または退職日当日に行うのが基本です。
単にパスワードを変更するだけでなく、すでにログインしているパソコンやスマートフォンのセッションも終了させます。
多要素認証に登録されている個人のスマートフォンや電話番号も削除しましょう。
4．貸与機器を回収する
次のような会社所有物を回収します。
- パソコン
- スマートフォン
- タブレット
- USBメモリー
- 社員証・入館証
- 鍵
- SIMカード
- モバイルルーター
回収したパソコンやスマートフォンは、そのまま別の社員へ渡さず、データをバックアップしたうえで初期化や再設定を行います。
5．共通パスワードを変更する
退職者が知っている共通パスワードがある場合は、必要に応じて変更します。
特に注意したいのは、次のような設備やサービスです。
- Wi-Fi
- NAS
- 複合機
- ルーター
- UTM
- Webサイト
- SNS
- オンラインバンキング
- 代表メール
本来は共通IDを避け、社員ごとに個別アカウントを発行する方が、利用状況を把握しやすくなります。
6．メールとデータの保存方法を決める
退職者宛てに届くメールを後任者へ転送する、共有メールボックスへ変更する、必要なクラウドデータを後任者へ移すなど、業務を止めないための設定を行います。
Microsoft 365でも、退職者のサインイン停止、メールやOneDriveデータの保存、モバイル端末のブロック、メール転送、ライセンス削除などが段階的な手順として案内されています。
アカウントをすぐ削除するのではなく、必要なデータを保存してから削除することが大切です。
7．チェックリストを残す
退職時の対応を担当者の記憶だけに頼ると、作業漏れが発生します。
「誰が・いつ・何を停止したか」をチェックリストに記録し、人事担当者とIT担当者の両方で確認できるようにしましょう。
複合機やNASも忘れずに確認
退職者のアカウント管理というと、メールやクラウドサービスだけに目が向きがちですが、複合機やNASにも確認が必要な場合があります。
例えば、複合機からスキャンしたデータを、退職者のパソコン内にある共有フォルダーへ保存しているケースです。
パソコンを撤去すると、スキャンが突然できなくなることがあります。
また、NASへ保存するためのユーザー名とパスワードが退職者個人のものになっている場合も、後任者用の設定へ変更しなければなりません。
複合機のアドレス帳、メール送信設定、スキャン保存先なども引き継ぎ項目に入れておきましょう。
入社時から退職を想定した管理を
退職時のアカウント整理を簡単にするには、入社時から会社側でアカウントを管理しておくことが重要です。
- 業務で個人のメールアドレスを使用しない
- 社員ごとに個別のアカウントを発行する
- 管理者が利用サービスを把握する
- 多要素認証を設定する
- アクセス権は必要最小限にする
- アカウントと貸与機器の台帳を作成する
- 入社・異動・退職時の手順を決める
社員が少ない会社でも、最初に簡単な一覧表とチェックリストを作っておけば、担当者が変わっても同じ手順で対応できます。
まとめ
退職者のアカウントを放置すると、情報漏えい、不正アクセス、取引先対応の遅れ、不要な利用料金など、さまざまな問題につながります。
一方で、必要なデータを引き継がずにアカウントを削除すると、メールや顧客情報を失う可能性があります。
退職時には、次の順番で対応することが大切です。
- 利用サービスを確認する
- メールやデータを引き継ぐ
- ログインを停止する
- 貸与機器を回収する
- 共通パスワードを変更する
- 不要なライセンスとアカウントを削除する
- 実施内容を記録する
フレンドネットワークスでは、パソコン、NAS、複合機、UTM、ネットワークなど、オフィスのIT環境をまとめてご相談いただけます。
