全員が管理者になっていませんか？業務に必要な権限の見直し方

権限を減らす前に、誰が何のために使っているかを確かめる。

人の役職と、システムの権限を分ける

NISTの中小企業向けガイドでは、業務に必要な人へ情報のアクセスを制限する観点が示されています。ここからはSONAEの見直し案です。社内の役職が高いから、あるいは以前に設定を手伝ったからという理由だけで、広い管理権限を残していないかを確認します。まず重要なサービスについて、管理する人、役割、対象の操作、付与した理由を一覧にします。

管理者でなければできない作業を挙げる

アカウントの追加、請求管理、設定変更、監査記録の確認など、実際の作業を聞きます。製品によって細かい役割を分けられる場合も、契約による制限がある場合もあります。利用中の公式資料を確認し、必要な作業が可能な権限を検討してください。役割の名前だけで、アクセスできる範囲を推測しないことが大切です。

変更前に、日常業務と緊急時の影響を見る

架空の会社では、総務担当が利用者の登録だけを行い、重要な設定変更は委託先と責任者が確認する案にします。権限を変更するときは、承認する人、作業時期、変更後に試す操作、戻す条件を決めます。管理できる人が誰も残らない状態にならないよう、製品の推奨手順に沿って計画します。このページから実際のアカウントへ変更を行うことはありません。

期限のある仕事には、終了の確認を付ける

導入や移行の間だけ必要な権限もあります。付与時に終了する時期、確認する担当、残す記録を決めます。緊急用の権限を設ける場合も、利用方法と記録の確認を含めて管理します。複数人で同じIDを使っていると誰の操作か分かりにくくなるため、個別のアカウントで役割を割り当てられるかも確認してください。

見直しの後は、残った理由を記録する

管理者を減らした人数だけを成果にせず、必要な操作が続けられるか、広い権限を残した理由は何かを記録します。異動、退職、委託先変更の際にも一覧を確認します。完了条件は、対象の権限に業務上の理由と責任者が付き、変更後の動作と残課題を確認したことです。判断できない役割は未確認のまま担当へ引き継ぎます。

一時的な権限を終了する、記録の例

架空の移行作業で、担当者二名に期間を区切った管理権限を付与したとします。作業前には対象、必要な操作、承認者、終了予定日を記録します。終了後は、管理担当が付与した役割を見直し、通常業務に必要な操作ができるか確認します。作業の遅れで延長が必要なら、期限を消すのではなく、延長の理由と次の終了日を承認する人へ示します。自動で期限が切れる製品でも、実際の設定と結果を確認する計画を残します。一方で、この記事の例がすべての製品で期限付き付与に対応するという意味ではありません。実装できない場合は、担当による終了確認を含めた別の運用を検討します。

相談前の確認表

• 管理者と付与理由が一覧になっている
• 必要な作業と製品の役割を照合した
• 変更時の影響と復旧方法を計画した
• 期限付き権限と残課題を確認した

参考資料（確認日：2026年10月23日）：NIST SP 1300：Small Business Quick-Start Guide ↗

一般的な説明とSONAEの運用提案です。製品の公式条件と自社の管理責任者の判断を確認してください。