セキュリティ入門 09｜退職当日にまずやること：パソコンの回収より先にアカウントを止める

同僚の最終出社日、夕方五時半。総務が退職手続きの書類に沿って会社貸与のノートパソコン、入館カード、オフィスの鍵を回収し、みんな笑顔で見送ります。引き継ぎは万全に終わったように見えます——ところがその日の夜九時、彼が自宅のパソコンでブラウザを開けば、会社サイトの管理画面、顧客管理システム、さらにはクラウドサーバーやソースコードのリポジトリにまで、そのままログインできます。

クラウドの時代になって、会社の資産はもうオフィスの引き出しやあの実機のノートパソコンに入っているのではなく、一つひとつのオンラインアカウントとアクセスキーに結びついているからです。セキュリティ入門の第 9 回であり、第二部「アカウントとパスワード」の一本目です。セキュリティ入門 01｜公告が出た日：自分のシステムが該当するかどう見分けるかとそれに続く数回でシステム資産と責任の境界を把握したのに続き、本稿は退職当日にとても順序を逆にしやすい一点を扱います。先にアカウントを止め、パソコンは後で回収する。

パソコンを回収しても権限を回収したことにならない理由

以前は会社のファイルがオフィスの社内ネットワークか個人のパソコンのハードディスクに置かれていたので、人が外に出てパソコンが返ってくれば、会社のデータには触れられませんでした。しかし今は業務システム、サイトの管理画面、クラウドストレージ、連絡用のグループがすべてネット上にあり、ネットにつながる携帯や自宅のパソコンなら、アカウントとパスワードを入れるだけで入れます。

さらに注意が必要なのは、会社のメールアドレスを停止しても、彼の手元にある他のシステムのアカウントが自動で無効になるわけではないという点です。

• それぞれ独立した管理画面のアカウント：サイトの管理画面、EC システム、広告の出稿アカウント。それぞれ別のパスワードでログインしているなら、会社のメールを止めても彼がそれらに入り続けることには影響しません。
• ログイン状態のまま残った携帯と自宅のブラウザ：一度ログインすると、その状態がしばらく保たれるシステムもあります。パスワードを変えても、ログイン済みの端末を強制的に追い出す仕組みがなければ、彼の携帯には最新のデータが見えたままかもしれません。
• エンジニアのパソコンの中にある接続キーと通行証：退職するのが技術者の場合、サーバーに入ったりコードを取得したりするのに使っているのはアカウントとパスワードではなく、個人の環境に置かれた接続キーや外部サービスの通行証であることがあります。

パソコンを渡す前に、所有権を移して閉じておくべき理由

アカウントの停止と所有権の移管をパソコンの回収や本人の退出より前に置くのは、不正を防ぐためだけではありません。会社自身が外に締め出されないためです。

英国のナショナル・サイバー・セキュリティ・センター（NCSC）は『サイバーセキュリティの 10 のステップ：アイデンティティとアクセス管理』（10 Steps to Cyber Security: Identity and access management）の指針で明確に勧めています。組織のアカウント管理の手順には「入社・異動・退職」（joiners, movers and leavers）の完全な方針が含まれていなければならず、人員が離れるか職務が変わったときに不要になったアクセス権を直ちに取り消せるようにすること。そして方針の範囲は組織が自分で管理する内部システムだけでは足りず、従業員が会社の身分で登録またはログインした各種の外部オンラインサービスまで含めて、退職時に権限をまとめて回収できるようにしなければなりません。

順序が逆だと——パソコンを回収して初期化し、本人もすでに会社を離れたあとで、あるクラウドのプラットフォームかドメインのアカウントがもともと彼の携帯の SMS 認証に結びついていたと気づく——このとき元従業員に戻って認証コードを受け取ってもらう必要が出てきます。気まずいうえに、相手の都合に左右されます。本人がまだその場にいて、パソコンも開いているうちに、目の前で所有権を会社のアカウントへ移し、会社が入れることを確認し、続けてその場で個人のアクセス権を停止して、最後にパソコンを回収する。これが本当に確かな順序です。

一枚の表：退職当日に閉じる四つの権限の層

職務が違えば、手にしている鍵も違います。エンジニアが退職、システムはまだ動いている：先に取り戻すべき 12 項目が整理した棚卸しの枠組みを使えば、退職当日に確認するアカウントをこの四つの層に分けられます。

平時の一覧があれば、退職当日に取りこぼさない

従業員の退職時にきれいに閉じられない会社が多いのは、人事や経営者が閉じるのを忘れたからではなく、その同僚が在職中にどのシステムの権限を開いたのか誰も知らないからです。人が辞めるたびに、使っていた管理画面を記憶で推測し始め、思い出せなかったものはそのまま残ります。

解決の方法はごく単純です。従業員が入社するか新しい権限を申請するたび、開いたシステムを同じ一枚の表に記録する。退職当日は同じ表を上から順に一つずつ消していく。そしてシステムを担当するエンジニアや外部の事業者が引き継ぐ場合は、個人アカウントを止めるだけでなく、エンジニアが退職、システムはまだ動いている：先に取り戻すべき 12 項目が念を押しているとおり「取り戻して最初にやることは、すべてのパスワードとキーを変えること」です——元従業員を信用しないからではなく、それらの通行キーがどこに保存されていたか確認できないからです。

恩梯科技（Nerd Technic）はカスタム開発出身のシステムソフトウェア会社で、今やっているのは AI システムの長期保守です。エンジニアが退職、システムはまだ動いている：先に取り戻すべき 12 項目で触れたとおり、エンジニアの退職後のシステムの引き取りと棚卸しは、私たちが Helper CTO の役割でよく扱う仕事です。引き取るときにやるのは、すべてのアカウント、書類、記録をきれいに会社名義へ整理し直すことで、誰か一人が離れたせいでシステムが宙に浮くことはありません。今あるシステムに退職者や旧事業者のアカウントとキーがどれだけ残っているか分からない場合は、システム健康診断から始められます：システム健康診断を予約する