自社で使っているSaaS・クラウドサービスのアカウント管理

このカテゴリでは、パスワードマネージャーの選び方や多要素認証アプリの選び方を通じて、アカウントを安全に管理する方法を見てきました。これらの考え方は、サイトの管理画面だけに使うものではありません。この教材では、会社が日常的に使っている他のツールのアカウントにも同じ考え方を広げていきます。

サイトの管理画面以外にも、守るべきアカウントがある

小さな会社であっても、実際にはサイトのCMS管理画面以外に、Google WorkspaceやMicrosoft 365、Google DriveやDropboxなどのクラウドストレージ、会計ソフト、SlackやChatworkのようなチャットツールなど、複数のサービスを日常的に使っていることがほとんどです。これらのアカウントが乗っ取られた場合、顧客情報や取引先とのやり取り、会計情報が流出する可能性があり、サイトの管理画面と同じくらい重要な守るべき対象です。

まず「何を使っているか」を書き出す

多くの小さな会社は、自社がどのSaaSツールを使っていて、誰がどのアカウントのログイン情報を持っているかを、一度も整理したことがありません。使っているサービス名、ログインしている人、重要度（顧客情報を扱うかどうかなど）を、簡単な一覧にしてみることが最初の一歩です。

見えない「合鍵」を増やさない

把握されていないSaaSのログイン情報は、いわば誰が持っているか分からない「合鍵」のようなものです。退職した人のアカウントがそのまま残っていたり、個人のメールアドレスで契約したサービスが会社の情報と混ざっていたりすると、気づかないうちに合鍵が増え続けてしまいます。一覧を作ることは、この見えない合鍵を可視化する作業でもあります。

同じ対策を、他のツールにも広げる

教材「パスワードマネージャーの選び方」や「多要素認証アプリの選び方」で紹介した考え方――それぞれのサービスで使い回さない強いパスワードを設定し、対応していれば多要素認証を設定する――は、サイトの管理画面だけでなく、一覧に書き出したすべてのSaaSツールに当てはめるべきものです。

退職時のチェックリストも、サイト関連だけで終わらせない

教材「従業員の退職時に必要なアカウント整理」では、退職時のアカウント整理の重要性を解説しました。この整理の対象は、サイトに関連するアカウントだけではありません。退職者が使っていたSaaSツールすべてのアカウントを無効化・パスワード変更する対象として、チェックリストに明示的に含めておきましょう。

今日からできること

1. 会社で使っているSaaS・クラウドサービスを一度すべて書き出し、誰がログインしているかを確認する
2. パスワードマネージャーと多要素認証を、サイトの管理画面だけでなく、一覧に挙げたすべてのツールに適用する
3. 退職時のチェックリストに、サイト関連以外のSaaSアカウントも含める

この教材は、これまでの教材で紹介したアカウント管理の考え方を、サイトの管理画面以外のツールにも広げてまとめたものです。個別の会社に合った運用は、使用しているサービスの数や業務内容に応じて調整してください。