SONAE KNOWLEDGE / 会社の備え

退職した社員のアカウント、どこまで確認していますか?

AI技術確認日:2026-10-23/編集確認は未了

AIを用いて初稿を作成し、技術確認もCodex(AI)が実施しています。一次資料との対応、記述とひな型の整合性を確認しました。専門家による監修ではありません。運営者の判断で先行公開しています。本人による編集確認は未了です。確認範囲は運営と編集のページをご覧ください。

メールを止めるだけで終わらせず、業務データの引き継ぎとアクセスの終了を分けて考える。

退職対応は、アクセス終了と業務の引継ぎを分ける

退職者が使えない状態にすることと、会社が必要な情報を使い続けられることは、別の確認です。Microsoft 365の公式案内も、アクセスの停止とメールやOneDriveの情報の確保を説明しています。SONAEは、退職日、利用サービス、業務の所有者、実施担当、結果の確認を一つの表へ対応させる方法を提案します。アカウント削除の操作を最初の目的にせず、何を止め、何を残し、誰へ渡すかを決めましょう。

SONAE KNOWLEDGE / 図解 01

退職対応は、二つの仕事を並行して。

  1. アクセスを終える

    サインイン・セッション・個別の権限

    製品ごとの手順で停止を計画し、反映を確認する。

  2. 業務を引き継ぐ

    メール・ファイル・所有者・管理担当

    必要なデータと引継ぎ先を決め、保全条件を確認する。

データの保全条件を確認する前に、アカウントの削除を先行させないようにします。

会社の共通ログイン以外の利用先も探す

メール、共有、チャット、経費精算、AI、外部アプリなど、本人が使っていたサービスを一覧にします。共通の認証へ接続していない利用先や、個別に許可したアプリ、APIキー、共有された情報も確認します。本人の申告だけに頼らず、契約や管理表と管理者が見られる記録を照合します。調べられない利用先は未確認として残し、担当を決めます。個人の秘密を一覧へ集めて引き継ぐ方法は避け、会社が管理する正規の入口を使います。

SONAE KNOWLEDGE / 図解 02

アクセスの終了と、業務の引き継ぎ。

  1. 利用先を整理

    メール、共有、個別サービスと管理担当を洗い出す。

  2. 引き継ぎと停止を計画

    必要なデータの保全と、アクセス終了を分けて決める。

  3. 記録で確かめる

    実施日・担当・確認方法・残った作業を残す。

記事の確認手順を整理した概念図です。作業の実施や安全性を証明するものではありません。

残す情報と、所有者を先に合意する

業務上必要なメール、ファイル、予定、管理の役割について、何を誰が引き継ぐかを決めます。保存する理由と期間、参照できる担当、契約や関係する手続きの条件は適切な責任者へ確認します。製品によって削除後の回復やライセンスの条件は異なります。架空の営業担当の交代では、案件資料の原本と次の所有者を確認してから、不要なアクセスを整理する計画にします。単に別の人へ全データを見せることを引継ぎの完了にしません。

停止する時刻と、操作する役割を決める

退職日、最終の業務、本人と会社の合意に沿って、必要な承認と作業の時間を確認します。サインイン、利用中のセッション、端末、外部連携、共有された個別権限は、それぞれ確認する対象です。パスワードの変更だけで全サービスから直ちに締め出せるとは限りません。製品の公式手順と影響を管理者が確認します。緊急の侵害対応が必要な場合は通常の予定を待たず、正規の事故対応の窓口へ判断を上げる経路も用意します。

操作が終わったことと、反映の確認を分ける

対象、実施日、担当、操作、確認した記録、結果を残します。共有の終了とデータの所有変更は同じ操作ではないため、双方を照合します。確認できなかったセッションや外部サービスを、完了の件数へ入れません。実際の認証を試す場合も、許可された担当と方法で行い、退職者の秘密を使って無断でログインする方法にはしません。使えないはずの経路を見つけたら、何が残っているかを管理担当へ伝え、必要な追加の対応につなげます。

引継ぎ先の受入と、残課題まで確認する

完了の目安は、不要なアクセスの終了と、必要な仕事の引継ぎを別の根拠で説明できることです。次の担当が正規の権限で資料を使え、通知や承認が退職者だけへ届かないことを確認します。契約、所有者、端末、自動処理に残る課題には担当と期限を付けます。退職者のデータをすべて削除する、すべて永久に残す、という一律の判断にしません。新しいサービスの追加や担当の変更があれば、同じ一覧と終了手順を更新しましょう。

退職日が決まったら、止める時刻を先に合意する

架空の社員Aは、メール、共有、経費サービス、個別に契約した制作ツールを使っていたとします。人事が業務終了時刻を確定し、管理担当が各サービスの停止を計画、部門担当が引継ぎ先を決めます。データを残す必要があることを理由に、本人のアクセスをいつまでも残す計画にはしません。停止と保全を両立する方法を管理者が製品の手順で確認します。不審な利用がある場合は、通常の退職日程を待つ扱いにせず、会社の事故対応窓口が判断します。

削除の前に、引継ぎ先で使えることを確かめる

引継ぎ先の名前を書いただけでは完了ではありません。必要な資料を許可された人が参照できること、共有の所有や予定処理の担当が移ったことを確認します。メールの保持、転送、ライセンスと削除の影響は別の条件として管理者へ聞きます。Microsoft 365の案内も、サインイン停止、データ確保、引継ぎ、ライセンスとアカウント削除を分けています。契約や保持の必要性を確認せずに、他製品へ同じ日数や操作順を当てはめないでください。

CASES / 2026年10月23日確認

実際の事例から、備えを考える。

以下は公表資料をもとにした要約です。SONAEの診断実績ではありません。自社への適用は、下の問いと分けて考えます。

被害企業の調査結果

Klue:連携サービスの認証情報が影響

公表・更新
2026年7月1日
発生・観測
不正コードの投入:2026年6月11日。翌12日に通知と対応。

Klueは、侵害済みのGitHubトークンが連携サービスへの不正コード投入に使われ、外部連携の認証情報が取得されたと公表しています。

確認範囲:公表要約では、最初にGitHubトークンを取得された方法は特定されていません。

自社で確かめたいこと / SONAEの整理

外部サービスに渡したトークンの保管・権限・失効と、連携先への影響を確認できますか。

一次資料:Klue(CrowdStrikeによる調査の公表要約) ↗

事業者の脅威調査

SaaS連携の信頼関係を悪用する活動

公表・更新
2026年7月13日
発生・観測
観測されたキャンペーン:2025年半ば〜2026年半ば。

Microsoftは、電話による誘導や外部連携を介し、OAuthのアクセス権がデータ窃取に悪用された活動を報告しています。

確認範囲:Salesforce基盤自体の脆弱性による事案として報告されたものではありません。AIが使われたとの断定もしていません。

自社で確かめたいこと / SONAEの整理

人のログインだけでなく、連携アプリの権限・承認者・解除方法も管理していますか。

一次資料:Microsoft Security ↗

WORKSHEET / 03

退職者アカウント対応・引継ぎ票

まずは記入例を読み、自社で決める欄を確認してください。以下はSONAEの運用提案・架空例で、技術確認はAIが実施しています。専門家による監修ではありません。

UTF-8テキスト。メモ帳や文書アプリで編集できます。保存したファイルへの記入内容をサイトへ送る機能はありません。

記入済みの架空例を見る
対象・予定・承認
架空の社員A/業務終了時刻は人事が確定/責任者B
サービス・所有者
架空メール、共有、経費、制作ツール/各管理担当を併記
停止の計画
サービス別にサインイン・セッション・個別権限の終了方法と実施時刻
データ保全・保持の判断
業務資料と必要なメール/保存の根拠と期限は責任者が判断
引継ぎ先と確認方法
担当Cが必要な資料を参照できることを管理者と確認
関連する共有・連携
グループ、外部共有、予定処理、アプリ連携の担当を再確認
端末・認証手段
貸与端末とキーの返却/秘密の値は票へ記入しない
削除・ライセンス
保持と引継ぎ確認後、公式手順と承認に沿って判断
実施記録・未完了
実施者・時刻・根拠の保管場所/制作ツールは管理者確認待ち
別の担当者の確認
責任者Bが未完了と次の期限を確認/全件完了とは扱わない

このひな型の受入チェック

  • 業務終了時の停止を、引継ぎ待ちのまま放置しない計画になっている
  • 必要なデータの引継ぎと保持を、権限のある担当が確認した
  • 未確認サービスを完了へ数えず、担当と次の期限がある

記事とひな型の一覧へ →

公式資料の対応:Microsoft Learn「Remove a former employee」のサインイン停止、データ保全、引継ぎ、ライセンス・削除の区分を参照。実際の契約・保持・同期方式は公式の対象条件を確認します。この票の担当割りはSONAEの例です。

相談前の確認表

  • 本人が利用していたサービス一覧がある
  • サインイン・セッション・個別権限の扱いを確認した
  • 業務データの保存と引き継ぎ担当が決まった
  • 実施記録と未対応事項を別の人が確認できる

参考資料(確認日:2026年10月23日):Microsoft Learn:Remove a former employee ↗

一般的な説明とSONAEの運用提案です。製品の公式条件と自社の管理責任者の判断を確認してください。

アカウントと権限の点検内容を見る →