情報システム担当者の間でよく聞かれるのが、次の3つの声です。

  • 退職者のIDが消えずに残っていた
  • 異動した社員が、以前の権限を持ったままだった
  • 現場が勝手に使い始めたSaaSを誰も把握していなかった

これらは特別な会社の話ではなく、多くの企業で起きている
「見えないリスク」です。前回、退職者を起点とした
漏えいが依然として一定の割合を占めていることをご紹介しましたが、
実態はそれだけにとどまりません。ここでは代表的な3つの落とし穴を
整理します。

01

退職者IDの残存

退職手続きの中でID削除が漏れ、気づかないまま
長期間アクセス可能な状態が続いてしまうケース。

中途退職者による漏えい 17.8%（IPA調査）

02

過剰な権限

異動や兼務のたびに権限が「足される」一方で、
「外す」対応が後回しになり積み重なっていくケース。
権限の棚卸しをしない限り、担当者自身も
全体像を把握できません。

03

シャドーIT

現場が情報システム部門を通さずSaaSを契約・利用し、
全社管理の外に置かれてしまうケース。契約自体が
見えていないため、退職・異動時のID削除対象にも
なりません。

3つに共通するのは、「事故ではなく、日々の運用の隙間から
少しずつ生まれる」という点です。これが、見えないリスクが
見えないリスクのまま放置されやすい理由でもあります。

POINT ― なぜ気づけないのか

「異常」ではなく「日常」の中に隠れているから

退職者ID・過剰権限・シャドーITは、いずれも不正アクセスのように
一度に検知できる事象ではありません。入社・異動・退職という
ごく通常の業務プロセスの副産物として、少しずつ蓄積していきます。

そのため、多くの企業では「事故が起きて初めて」その存在に
気づきます。定期的な棚卸しの仕組みがなければ、リスクは
気づかれないまま静かに積み重なり続けます。

まずは自社にこの3つのリスクがどの程度存在するのか、
客観的に洗い出すことが第一歩です。次回は、これらのリスクを
踏まえた上で「何から着手すべきか」を具体的に解説します。