ISMSのアクセス権限を棚卸しするには？確認項目・頻度・記録の残し方
利用者一覧を見たところ、在籍している社員ばかりだった。けれど、異動前の部署の資料を編集できる権限や、終了した案件の共有先は残っている。ISMSのアクセス権限の棚卸しでは、アカウントの有無に加え、今の仕事でその権限が必要かを確かめます。
確認した一覧に丸を付けるだけでは、不要な権限を外す作業が残ったままになることもあります。対象の決め方から判断、変更後の確認、記録の残し方まで、担当者が一続きで進められる方法を紹介します。
▼目次
1. ISMSのアクセス権限の棚卸しは、今の業務とのずれを確認する作業
アクセス権限とは、システムや保存された情報に対して、閲覧・編集・削除・設定変更などを行える範囲のことです。同じサービスを利用していても、一般利用者と管理者では、操作できる内容が異なります。棚卸しでは、その範囲が現在の職務や担当案件に合っているかを見直します。
ISO/IEC 27001は、組織が扱う情報のリスクを管理するための規格です。権限の見直しも、認証審査へ一覧を提出することだけを目的にせず、必要な人が必要な範囲で情報を扱える状態を保つために行います。
頻度は、情報の重要性と権限の変わり方から決める
年1回・半年ごとといった間隔を先に当てはめず、扱う情報の重要性、管理者権限を悪用された場合の影響、人や案件の入れ替わりの多さを確認します。そのうえで対象ごとの間隔、実施月、責任者を決め、自社の規程や取引先との約束にも合わせます。影響が大きい権限や変更の多い領域は、より短い間隔で確かめることを検討します。
異動・退職時の変更は、定期棚卸しを待たずに行う
定期棚卸しとは別に、異動、退職、委託契約や案件の終了をきっかけとした権限変更を日常の手続きへ組み込みます。定期の確認は、こうした手続きの漏れや、業務の変化で過剰になった権限を見つける機会として使います。
2. 対象一覧には、サービス・共有領域・権限の種類をそろえる
最初に、対象とするシステムやクラウドサービス、共有フォルダを整理します。既存の情報資産台帳や利用サービス一覧を使い、管理する部署、確認する責任者、一覧を取得する担当者を結び付けましょう。サービス名だけでは、どの契約・拠点・共有領域まで確認したのか分からないため、範囲も記載します。
次に、各管理画面などから現在の利用者と権限を取得します。手元の申請台帳だけを見直すと、申請後に直接追加された設定を見落とす場合があります。取得日と取得範囲を残し、申請・承認された内容と実際の設定を比べます。
正社員の一覧だけで確認を終えず、業務委託先、派遣社員、取引先のゲストなど、自社の管理対象に含まれる利用者も照合します。共有IDやシステム連携用のアカウントがある場合は、利用目的、管理責任者、必要な権限を別途確認します。人事名簿にないことだけで、不要と判断しないようにします。
共有フォルダでは、本人に直接付いた権限のほか、所属グループや上位フォルダから受け継いだ権限で開けることもあります。確認対象に応じて、グループの構成や共有リンクも調べます。パスワードやAPIキーの秘密値を、棚卸し表に書き集める必要はありません。
3. 確認項目は「利用者・業務上の必要性・操作できる範囲」で考える
システム担当者は設定を把握できても、現在の担当案件でどこまで操作が必要かは、利用部署への確認が必要です。部署の責任者や情報の管理責任者が業務上の必要性を判断し、システム担当者が権限の意味や変更方法を説明する形にすると、確認を進めやすくなります。
確認者へは、権限名だけを渡さないことが大切です。「管理者」「編集者」といった名称に、設定変更、他の利用者の追加、ファイル削除など、実際にできる操作の説明を添えます。自分の権限も確認対象に含め、可能な範囲で別の責任者が判断する体制を整えます。
確認① 利用者と担当は現在の情報に合っているか
在籍・契約の状況、所属、担当案件、共有を続ける理由を照合します。異動前の部署や終了した案件の権限が残っていないかを確認します。
確認② 閲覧・編集・削除・管理の範囲は必要か
閲覧だけで足りる人に編集権限が付いていないか、一般業務に管理者権限を使っていないかを見ます。役職が高いことだけで、すべての情報へのアクセスが必要になるわけではありません。
確認③ 一時的な権限や外部共有は終了してよいか
引き継ぎや臨時対応で付けた権限、委託先への共有について、用途と期限を確認します。継続が必要なら、その理由と次に見直す時期を決めます。
4. 不要な権限は、変更を依頼してから反映確認まで追う
判断結果は「継続」「権限変更」「利用停止などの処置」「確認中」のように分け、変更が必要なものには担当者と期限を付けます。回答がない項目を継続承認済みにせず、未回答のまま管理して責任者へ確認します。
長期間ログインしていないことは、利用状況を調べる手掛かりになります。ただし、特定時期だけ使う業務やシステム連携もあるため、その情報だけで削除せず、用途と管理責任者を確認します。不要な権限を外す場合も、データの所有者や自動処理などへの影響を調べ、必要な引き継ぎを行います。
変更後は、管理画面や取得し直した一覧などで、判断した範囲になっているかを確かめます。グループ経由など、別の経路から同じ権限が残っていないかも対象に応じて確認します。Microsoftのアクセスレビューでも、結果の判断と適用は別の段階として扱われ、グループの種類などによっては追加の対応が必要です。
すぐに変更できない場合は、理由、承認者、対応期限、その間の管理方法を残します。確認中や例外の項目を、次の棚卸しまで放置しないようにします。不審な利用や情報流出の疑いが見つかった場合は、通常の整理から社内のインシデント対応へ引き継ぎます。
5. 棚卸し記録は、判断と変更後の状態をたどれる形で残す
記録には、実施期間、対象と範囲、一覧の取得日、確認した権限、判断者・判断日・理由、変更担当者・実施日、変更後の確認結果を残します。確認前の一覧、回答、作業記録を関連付けると、誰が何を見て判断し、どこまで対応したのかを説明できます。
Excelや既存の管理表を使う場合も、担当者別の回答が別々のファイルに埋もれないよう、集約先と版の扱いを決めます。権限情報そのものも社内情報なので、記録を閲覧・更新できる人と保存場所を設定します。保存期間は、適用される条件と自社の記録管理ルールに合わせて決めます。
「変更なし」も、何を確認したか分かるようにする
問題が見つからなかった場合も、対象の一覧と確認者、実施日、継続する理由が分かる記録を残します。削除件数を増やすことが目的ではないため、変更がゼロだったことだけで棚卸しが機能していないとは判断できません。未回答・未実施の項目がないかも併せて確かめます。
説明用の記入例：異動した社員の旧部署フォルダの権限を変更する
対象は「営業部共有フォルダ」、確認時の権限は「旧部署グループ経由の編集」。現所属の責任者とフォルダの管理責任者が「旧部署の業務を担当していないため削除」と判断し、システム担当者がグループから外します。最後に、変更後のグループ構成と共有設定を確認し、判断者、作業者、各確認日と参照した一覧を記録します。これは手順を説明するための例であり、実際のお客様の作業記録ではありません。
6. ISOトラストの支援経験：見直す対象とルールの整備から始めた
ISOトラストがISMS取得を支援した従業員約20名のIT企業では、顧客情報、開発用PC、ソースコードは管理対象として認識されていました。一方、ヒアリングにより、開発環境への接続情報、クラウドサービスの管理者アカウント、委託先と共有する開発関連データの一部が管理対象から漏れていることを確認しました。
このお客様には、情報資産台帳への追加とリスク評価を支援し、退職・担当変更時のアカウントや権限の扱い、外部共有時の確認、クラウドサービスのアクセス権限を定期的に見直すルールを整理しました。既存の対策を生かし、管理作業を必要以上に増やさないように配慮した支援です。
ISOトラストは業務の聞き取りや台帳・関連規程の整備を担当し、お客様は内容の確認・承認、社内での運用や周知を担当しました。管理対象と定期見直しのルールを外部が整理し、実際の判断と運用は社内で担う役割分担です。
自社で棚卸しを始める際も、まず管理対象の一覧と、権限の必要性を判断する人がそろっているかを確認してみてください。ISOトラストでは、既存の台帳や規程を確認し、日常の変更手続きと定期的な見直しを続けられる形に整理する支援を行っています。
著者情報
金光壮太 (ISOコンサルタント)
大手商社にて営業を経験した後、ISOコンサルティングに従事。ISO9001、14001、27001を中心に、各業界の課題や特性に応じたシステム構築や運用支援を行い、企業の業務効率化や信頼性向上に貢献。製造業や建設業など、多岐にわたる業界での豊富な経験を活かし、お客様のニーズに応じた柔軟なソリューションの提案を得意としている。
コメント