パスワード変更だけで終えない。セッションの扱いを確認する

新しいログインを止めることと、すでに開いているアプリの利用を終えることを分けて考える。

変えたパスワードと、開いたままの画面

パスワードを変えれば、どのアプリでも直ちに利用が終わるとは限りません。Microsoftの公式資料は、アプリが発行したセッションの終了を、そのアプリ自身の管理と区別しています。SONAEは、侵害が疑われる場合や退職時に、新しい認証、既存の利用状態、アプリ側のアカウントを別の行で確認する方法を提案します。ここでいうセッションは、ログイン後の利用状態です。画面を閉じたことだけを、組織によるアクセス終了の確認にしないようにしましょう。

管理者に、対象のアプリまで伝える

「アカウントを止めてください」という依頼には、会社の認証基盤の名前だけでなく、利用するメール、資料、業務アプリを添えます。本人の記憶だけで一覧が完成するとは限らないため、管理台帳や利用部署の情報も照合します。対象の利用者、終了させる理由、判断した責任者、希望する時刻を確認します。不正利用が疑われるときは、通常の退職手続きの順番をそのまま当てはめず、組織の対応責任者へ緊急性を伝えます。

一つの操作で、すべて終了したと扱わない

製品ごとに、ログインの停止、セッションの取り消し、アプリの利用資格の終了などの操作を確認します。反映の条件も異なるため、画面に成功と出た時刻と、アクセスが終わる条件を分けて記録します。SONAEの確認表では、操作した対象、実施者、確認結果、まだ判断できないアプリを並べます。具体的なコマンドの一括実行を勧める表ではありません。必要な権限と業務影響を確かめ、正式な製品手順に沿って対応します。

端末に残った資料は、別の確認になる

オンラインの利用を終えたことと、すでに保存されたファイルを回収できたことは違います。端末の管理、コピーの扱い、必要な証拠の保全は、組織の方針と状況に沿って担当が判断します。利用停止の確認のために、本人の端末を無断で初期化したり、履歴を消したりしないようにします。台帳には「オンラインのアクセス」「端末や別の場所にある情報」を分けて残すと、終了という言葉の範囲が曖昧になりません。

架空の三つのアプリで、終了条件を比べる

架空の会社で、メール、会計、設計資料の三つを使っているとします。メールは管理者の手順が確認できた一方、会計のセッション終了方法は事業者へ確認中、設計資料は別アカウントを使っていた、という表を作ります。これは実測の結果ではなく、抜けを見つけるための演習例です。分からない欄を完了にせず、問い合わせ担当と次の確認時刻を付けます。全アプリで同じ待ち時間が適用される、と決めつけないことが大切です。

終了の報告に、残る状態を含める

報告には、実施済みの操作、確認できた利用終了、未確認のアプリ、端末やデータの残課題を載せます。再び利用を認める場合も、その判断と復帰の手順を別に残します。完了の目安は、関係するアプリの担当が、どのアクセスをどう終了し、何が残っているかを責任者へ説明できることです。パスワード変更の一行だけで案件を閉じず、対象と条件を記録することで、次の担当も判断を引き継げるようにします。

相談前の確認表

• 対象の業務アプリを一覧にした
• 新しい認証と既存の利用状態を分けた
• 操作の成功と終了条件を区別した
• 未確認と端末上の情報を引き継いだ

参考資料（確認日：2026年10月23日）：Microsoft Learn：Revoke user access in an emergency ↗

一般的な説明とSONAEの運用提案です。製品の公式条件と自社の管理責任者の判断を確認してください。