# 誤投稿・誤設定のあとに原因を追える運用と追えない運用

報告に要るのは「誰が・いつ・何を」の 3 つです。共有 ID では媒体の記録が ID 単位で担当者まで絞れず、権限付与かアクセス管理ツールなら人単位で残ります。記録がなければ作業記録から推定するほかありません。

更新日: 2026-09-17

誤投稿や誤設定が起きたあと、クライアントへの報告で問われるのは、何が起きたかに加えて、誰がいつ操作したかです。これに答えられるかどうかは、預かり方で事前に決まっています。預かり方の全体像は[運用代行のクライアントアカウント管理](/guides/agency-accounts)にまとめています。

## 報告に必要な 3 つの情報

クライアントへの報告に要るのは、誰が・いつ・何を、の 3 つです。「何を」は事故の内容そのもので、投稿の削除や設定の戻しに要ります。「いつ」は影響の範囲を決めます。投稿が公開されていた時間や、誤った予算で配信された期間です。「誰が」は、再発防止策を原因の種類に向けるために要ります。

個人データの漏えい(外部への流出)を伴う事案では、この 3 つはガイドラインが定める手順と重なります。個人情報保護委員会のガイドライン(通則編)3-5-2 は、漏えい等事案(情報漏れなどの事故)が発覚した場合に行うべき 5 つの措置を定めています。そのうち (2) 事実関係の調査及び原因の究明(何が起きたかを調べ、原因を突き止める)、(3) 影響範囲の特定、(4) 再発防止策の検討及び実施が、この 3 つの情報に対応します。漏えいの事例としては、個人データを含むメールを第三者に誤送信した場合が挙げられています。設定ミスで、インターネット上で個人データを閲覧できる状態になっていた場合も同じです(3-5-1-2)。誤投稿・誤設定のように個人データを伴わない事故でも、報告の組み立ては同じです。

## 共有 ID では担当者まで絞れない理由

共有 ID で担当者を絞れないのは、媒体の記録がログインしたユーザーの単位で残るためです。媒体は「どのユーザーがログインし、何を変更したか」を記録します。しかし、ここでいうユーザーは ID のことで、その ID を使っている人ではありません。3 人が同じ ID で入っていれば、媒体の記録上は操作者は 1 人です。記録からは、3 人のうち誰かとしか言えません。

時刻や接続元(どこから入ったかの情報)が残る媒体もあります。しかし、同じオフィスから同じ時間帯に働く担当者を、これで分けることはできません。在宅勤務で接続元が分かれていても、それは本人を特定する記録ではなく、状況証拠にとどまります。媒体が何をどの期間残すかは媒体ごとに違い、この記事では扱いません。

## 権限付与とアクセス管理ツールで残るもの

預かり方ごとに、3 つの情報のどこまでが記録として残るかを並べます。

| 預かり方 | 誰が | いつ | 何を |
| --- | --- | --- | --- |
| 権限付与 | 招待された担当者のユーザー単位で媒体に残る | 媒体のログイン・変更の履歴に残る | 媒体が変更履歴を残す範囲 |
| ID とパスワードの共有 | 共有した ID 1 つとしてしか残らない | 時刻は残るが、誰の操作か分からない | 媒体が変更履歴を残す範囲 |
| アクセス管理ツール | ツールにログインした担当者単位で、いつどのアカウントを開いたかが残る | ツール側の記録に残る | 媒体が変更履歴を残す範囲 |

権限付与では、記録を残すのは媒体側です。担当者ごとの招待が成立している限り、「誰が」は媒体に残ります。[権限付与(アカウントを共有しないアクセス)とは](/guides/agency-accounts/what-is-delegated-permission)で述べた「担当者ごとに招待を受ける」が守られず、1 つのユーザーを複数人で使っていれば、記録の残り方は共有 ID と変わりません。

アクセス管理ツールでは、媒体の記録は共有 ID のまま(ID 単位)です。しかし、その前段でツールが「誰がいつどのアカウントを開いたか」を担当者単位で残します。媒体側の変更履歴と、ツール側の「そのとき誰が開いていたか」を時刻で突き合わせると、担当者まで絞れます。同じ時刻に同じアカウントを複数人が開いていた場合には、この突き合わせでも 1 人に絞れません。

## 記録がないときの代わりの方法と限界

共有 ID で人単位の記録がない場合、代わりになるのは、作業記録(投稿カレンダー、入稿依頼のやり取りの記録、承認の履歴)、勤務時間、本人への聞き取りです。誤投稿の時刻に投稿の担当だった人と、その時間に勤務していた人を照らし合わせ、本人に確認します。

この方法には 3 つの限界があります。第一に、結果は推定であり、本人が心当たりを否定すれば確定できません。第二に、同じ時間帯に複数人が同じアカウントで作業していれば、勤務時間では絞れません。第三に、聞き取りは記憶に頼るので、事故から日が経つほど確かさが落ちます。クライアントへ報告するときは、推定であること、確定できない範囲を明記します。推定を確定のように報告し、後で覆ると、事故そのものより報告の信頼が失われます。

## 再発防止で記録が果たす役割

記録が再発防止に要るのは、原因の種類を分けるためです。誤設定の原因は、担当者の見落としか、確認の手順がなかったことか、その担当者に本来要らない操作の権限があったことかで、対策が違います。見落としなら二重確認、手順の抜けなら承認の追加、権限の広さなら権限の絞り込みです。

誰が操作したかが分からないと、この区別ができません。原因が分からないままの対策は、向ける先を決められず、全員への注意喚起にとどまります。事故を生んだ条件はそのまま残ります。記録は、対策をどの原因に向けるかを決めるために要ります。

事故が起きたあとに記録を増やすことはできません。であれば、預かる時点で、アカウントごとに「誰が」がどこに残るかを、預かっているアカウントの一覧に書いておきます。それが、原因を追える運用の出発点になります。


## よくある質問

**共有 ID でも媒体の記録を見れば誰が操作したか分かりますか**

分かりません。媒体はログインしたユーザーを見分けて記録するので、同じ ID で入った複数人は記録上 1 人です。時刻や接続元が残っても、同じ場所から同じ時間帯に働く人は絞れません。

**記録がないとき、報告はどう書きますか**

作業記録・勤務時間・本人への聞き取りから推定した結果を、推定であると明記して報告します。確定できない範囲を隠さないほうが、後で覆ったときの信頼の損失が小さくなります。

**権限付与にすれば操作内容まで分かりますか**

誰がいつ入ったかは人単位で残りますが、何をしたかは媒体が変更履歴を残す範囲に限られます。媒体ごとに違うので、預かる前に確認します。

**記録は再発防止にどう関係しますか**

原因が人の誤りか、手順の抜けか、権限の広さかを分けるのに要ります。分けられないと、対策は全員への注意喚起にとどまり、同じ条件が残ります。

## 参考資料

- [個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン(通則編)」(令和 8 年 6 月一部改正)](https://www.ppc.go.jp/files/pdf/260614_guidelines01.pdf)

## Junify の場合

**人手で続けると** クライアントごとに渡し方を決め、担当替えのたびに権限を付け外しし、どの担当者がどのクライアントのアカウントを使ったかを媒体ごとに追い続けることになります。

**Junify なら** Junify では、共有 ID のままでも担当者はパスワードを見ずにログインし、誰がいつどのアカウントを開いたかが担当者ごとに残ります。誤投稿の報告に要る「誰が・いつ」を、開いていた人が一人なら、勤務時間からの推定ではなく記録で示せます。

Junify は、パスワードを渡さずに社内外の担当者へ仕事を任せるためのアクセス管理サービスです。担当者はスマホで本人認証し、カードをクリックするだけで必要なアカウントにログインできます。パスワードは開示されず、誰がいつどのアカウントを使ったかは個人単位で記録されます。

- [登録不要の体験デモを見る](https://www.junify.jp/bpo/try)
- [30 分デモを予約する](https://www.junify.jp/bpo/demo)

## 同じテーマの記事

- [クライアントのセキュリティチェックシートへの、運用代行会社の答え方](/guides/agency-accounts/answering-security-questionnaires): 設問は個人情報保護委員会ガイドライン(通則編)別添の安全管理措置の項目に対応しています。現状をそのまま書き、共有 ID は管理方法まで書き、対応予定には期限と担当を添えます。
- [楽天 RMS・Yahoo! ショッピングの店舗管理を代行するときのアカウント](/guides/agency-accounts/ec-mall-store-admin-access): 楽天は担当者ごとの楽天 ID を店舗の管理者が承認し、Yahoo! はビジネスマネージャーでツール管理者が従業員のビジネス ID を登録します。どちらも担当者ごとに ID を持つ仕組みです。
- [「御社にアカウントを預けて大丈夫か」に商談で答えるための説明の型](/guides/agency-accounts/explaining-account-handling-in-sales): 預かり方(権限付与・共有・アクセス管理ツール)ごとに、担当者はパスワードを知るか、誰が使ったかは残るか、担当交代で何が起きるか、の 3 問に答えます。根拠は預かっているアカウントの一覧に置きます。