退職者・委託先のアカウントを止められる？リモートアクセスの権限管理

リモートアクセスを導入すると、社外からでも社内のシステムへつなげて便利になります。その裏で見落とされがちなのが、**「使わなくなったアカウントを、ちゃんと止められているか」**です。退職・異動・委託の終了のたびにアカウントを止め忘れると、社外から入れる入口がそのまま残り続けます。

退職者のメールアカウントは止めたのに、VPNやリモートデスクトップの接続権限だけが残っている。こうした状態は、中小企業でも起こりがちです。IPA「情報セキュリティ10大脅威 2026」でも、組織向け脅威として「サプライチェーンや委託先を狙った攻撃」と「内部不正による情報漏えい」が、いずれも長年上位に挙げられ続けています。狙われるのは大企業だけではありません。むしろ専任の担当者がいない中小企業ほど、止め忘れや権限の渡しすぎが起きやすいといえます。

この記事でわかること

• 「止め忘れ」がなぜ危ないのか
• 自社の権限管理セルフチェック
• 退職者・委託先のアカウントを管理する基本

なぜ「止め忘れ」が危ないのか

1. 退職者のIDが残り続ける

退職した人のアカウントが消えずに残っていると、本人や、その認証情報を手に入れた第三者が、社外からそのまま入れてしまいます。IPA「組織における内部不正防止ガイドライン」でも、雇用終了時の対策（アカウントの停止・権限の見直し）の重要性が示されています。

2. 委託先のアカウントが管理から漏れる

保守や開発を委託すると、委託先にもアクセス権を渡すことがあります。契約が終わっても権限が残ったままだと、自社の管理が及ばない場所に「開いたままの扉」を作ることになります。

3. 共有IDで「誰が使っているか」が分からない

複数人で同じIDを使い回していると、退職・交代のたびに止める判断ができず、結局そのまま使い続けてしまいます。誰が・いつ・どこへ接続したかも追えません。用語の整理は用語集でも行っています。

自社の権限管理セルフチェック

まずは自社の状態を点検してみてください。

3つ以上当てはまる場合は、目安として、権限管理の手順づくりを優先的に検討してください。

退職者・委託先のアカウントを管理する基本

1. 最小権限：必要な人に、必要な範囲だけ

「全員が同じ範囲に入れる」状態をやめ、利用者ごとに必要な宛先だけを許可します。渡す権限が小さいほど、止め忘れや乗っ取りが起きたときの被害も小さくなります。設計面の考え方はセキュリティのページでも解説しています。

2. 即時停止：止めるタイミングと担当を決めておく

退職・異動・委託終了のときに、誰が・いつアカウントを止めるかを、あらかじめ手続きに組み込みます。IPA「中小企業の情報セキュリティ対策ガイドライン」でも、まずこうした基本のルールを一つずつ整えることが勧められています。「気づいた人がやる」ではなく、入退社・契約のフローに組み込むのが続けるコツです。

3. 利用者ごとに分ける：共有IDをやめる

アカウントは利用者ごとに発行します。共有IDをやめると、退職・交代時に「その人の分だけ」止められ、ログから誰の操作かもたどれます。

4. 定期棚卸しとログ確認

「今あるアカウントが、今も必要か」を定期的に見直します。あわせて接続ログを確認し、使われていないIDや見覚えのない接続に早く気づける状態にします。なお、管理者権限や一時的な作業権限は、必要な期間だけ付与する考え方もありますが、中小企業ではまず常時残る権限を減らすことが優先です。

退職・委託終了時に「止めるべきもの」

メールアカウントだけ止めても、社外から入れる経路が残っていては不十分です。退職・委託終了のときは、次をまとめて確認します。

• リモートアクセスのユーザーID
• VPN・リモートデスクトップ・専用クライアントの接続権限
• 社内サーバー・NAS・業務PCへの到達権限
• 端末・証明書・接続用の鍵・設定ファイル
• 共有フォルダ、業務クラウド、VPN機器やリモートアクセス製品の管理画面のアカウント

「メールは止めたが接続権限が残っていた」を防ぐには、これらを一覧にしておくことが近道です。

止め忘れを防ぐ運用フロー

「気づいた人がやる」では、いつか抜けます。入退社・契約のフローに、次のステップを組み込んでおきます。

1. 退職・委託終了日が決まったら、止める対象を台帳で確認する
2. 最終勤務日または契約終了時刻に、リモートアクセスを停止する
3. 端末・鍵・設定ファイル・貸与物を回収する
4. 接続ログを確認し、終了後の接続がないかを見る
5. 月1回または四半期ごとに、利用者一覧を棚卸しする

台帳には、最低限こうした項目を持たせておくと管理しやすくなります。

利用者名／所属または委託先名／利用目的／接続先／権限範囲／開始日／終了予定日／承認者／停止担当／回収物／最終確認日

委託先のアカウントは「監督」が前提

委託先の管理は、自社のルールづくりだけでは完結しません。個人データの取り扱いを委託する場合、個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン（通則編）」では、委託先に対する必要かつ適切な監督が求められています（従業者に対しても同様です）。ここでは個別の法的判断ではなく、リモートアクセスの運用で確認しやすい項目として、範囲・期間・記録の3点に整理します。

• 範囲：委託先に渡すアクセス権を、作業に必要な範囲だけに限定する
• 期間：契約終了時のアカウント削除・データ返却（または破棄）を取り決めておく
• 記録：誰に・どの権限を・いつ渡したかを一覧で管理する

リモートアクセス製品選びで見るべきポイント

権限管理をムリなく続けるには、仕組み側で「止めやすさ」を備えていることが大切です。製品を選ぶときは、次の点を確認すると失敗しにくくなります。

たとえばForceLinkは、利用者ごとに接続権限を発行・停止し、許可した社内リソースだけに接続先を絞るリモートアクセス構成の一例です。VPN接続後に社内LAN全体を開放しない設計ですが、現時点で多要素認証（MFA）には未対応です。仕組みの詳細は製品ページで解説しています。MFAを必須要件とする場合は、要件に合う構成を別途ご確認ください。

まとめ：まず確認すべき3点

1. 退職・異動・委託終了で、アカウントを止める担当とタイミングが決まっているか
2. 共有IDをやめ、利用者ごとに発行・停止できているか
3. 利用者ごとに接続先を絞り、定期的に棚卸しできているか

権限管理は、特別な技術よりも「止める手順を決めて続ける」ことが要です。退職者・委託先の管理は、サプライチェーン経由の侵入を防ぐ点で、ランサムウェア対策の一部でもあります（→中小企業のランサムウェア対策）。協力会社の出入りが多い建設・不動産のテレワーク、退職者・委託先が顧客情報に触れる会計事務所・法律事務所のテレワーク、SaaSと社内システムの権限を分けて管理するハイブリッド環境の記事も、あわせてご覧ください。関連して、アクセスを渡す前の範囲設計は協力会社・外部委託先に社内システムを使わせる時の注意点、共用IDをやめる進め方はVPNアカウントの共有・共用IDはなぜ危ない？、役割ごとに宛先を絞る設計はリモートアクセスの権限設計で詳しく扱っています。自社での進め方は、製品ページで仕組みを確認しつつ、あわせて料金ページとFAQで確認してください。

参考・出典

• IPA「情報セキュリティ10大脅威 2026」
• IPA「組織における内部不正防止ガイドライン」（第5版）
• IPA「中小企業の情報セキュリティ対策ガイドライン」（第4.0版）
• 個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン（通則編）」