# ISMS の担当者が代わるときのアカウントと権限の引き継ぎ

経営者が後任を任命し直し、管理者権限を後任に付けてから、共有パスワードを変え、前任者の権限を外します。審査では、任命と後任の力量の記録、交代前後の権限の一覧、外した記録を示します。

更新日: 2026-10-13

ISMS の管理責任者や事務局が代わるときの作業は、3 つに分かれます。1 つ目は、経営者が後任に役割を割り当て直し、社内に伝えることです。2 つ目は、後任に管理者権限を付け、前任者が知っている共有パスワードを変えてから、前任者の権限を外すことです。3 つ目は、その経過を記録に残すことです。審査では、規格が文書で残すよう明記している記録と、アカウントの管理の記録をあわせて示します。ISMS の仕組みそのものは [ISMS とは](/guides/compliance/what-is-isms)にまとめています。

## 担当の交代は規格のどこに関わるか

ISMS の規格の日本語版は、ISO/IEC 27001:2022 を訳した JIS Q 27001:2023 です(2025 年に追補 1 が出て、いまは JIS Q 27001:2025)。その 5.3 は、トップマネジメント(組織をいちばん上で指揮する経営者)に、役割ごとの責任と権限を割り当てて社内に伝えるよう求めています。

JIPDEC の ISMS ユーザーズガイドによれば、5.3 の a) と b) は、割り当てる役割として次の 2 つを挙げています。1 つは「ISMS が，この規格の要求事項に適合することを確実にする」ことで、規格どおりに ISMS が動くようにする役です。もう 1 つは「ISMS のパフォーマンスをトップマネジメントに報告する」ことで、ISMS がうまく働いているかを経営者に報告する役です。管理責任者や事務局にこの 2 つを任せている組織では、担当の交代は担当者どうしの引き継ぎでは終わりません。経営者が割り当てをやり直す手続きになります。

6.3(変更の計画策定)は、ISMS を変える必要があると決めたときは計画的に変えるよう求めています。ユーザーズガイドは、組織の内部で起きる変化の例として「情報を取り扱う人員の変更」を挙げています。何を、いつまでに、誰から誰へ移すかを先に決めてから進めれば、この箇条に沿った進め方になります。

7.2(力量)は、役割を担う人に必要な力量(知識や技能)を決め、その証拠を文書で残すよう求めています。後任が受けた教育や、持っている資格の記録がこれにあたります。

## 前任者が持っているものを書き出す

引き継ぎは、前任者が持っているものの一覧から始めます。事務局の担当者が、ISMS の文書を置く場所や社内のサービスの管理者権限を持ち、共有アカウントのパスワードも知っている運用は珍しくないでしょう。一覧がなければ、外し忘れに気づく手段がありません。

日本規格協会が公開している JIS Q 27002:2024 の目次の名称から読むと、書き出すものは次の管理策(規格の末尾の附属書 A に並ぶ対策の項目)に関わります。管理策ごとの読み替えと、規格の本文が有料であることは [ISO/IEC 27001:2022 のアクセス制御の管理策を SaaS に当てはめる](/guides/compliance/iso27001-access-control-for-saas)に書きました。

- 社内のサービスや ISMS の文書置き場の管理者権限は、8.2 特権的アクセス権に関わります。
- 個々のサービスを使う権限は、5.18 アクセス権に関わります。
- 前任者が知っているパスワードと、二段階認証の登録先は、5.17 認証情報に関わります。
- 資産の一覧で前任者が管理する人として書かれている箇所は、5.9 情報及びその他の関連資産の目録に関わります。
- 役割と担当者の一覧は、5.2 情報セキュリティの役割及び責任に関わります。

## 移す順番

順番を誤ると、管理者がいないサービスや、辞めた人が入れるサービスが残ります。次の順で進めます。

1. 経営者が後任を任命し、社内に知らせます。5.3 の割り当てと伝達にあたる手続きで、ここが交代の起点になります。
2. 前任者が持っているものの一覧を作り、前任者に確かめてもらいます。前任者しか知らないアカウントは、本人に聞かないと一覧に出てこないからです。
3. 後任に管理者権限を付けます。前任者の権限を先に外すと、設定を変えられる人がいないサービスが残るからです。
4. 前任者が知っている共有パスワードを変え、二段階認証のコードの送り先を後任に替えます。権限を外しても、パスワードを知っていれば共有アカウントには入れるからです。この作業が人の出入りのたびに重なる問題は、[退職者が出るたびにパスワードを変える運用の限界](/guides/shared-accounts/password-change-on-every-departure)で扱っています。
5. 前任者の管理者権限とアクセス権を外します。IPA の内部不正防止ガイドライン(第 5 版)は、異動や退職で要らなくなった利用者 ID とアクセス権を「ただちに削除しなければならない」としています。同じ項の注では、ID を消すと操作の記録まで消える場合は、ID を使えない状態にして記録を残すよう求めています。
6. 役割と担当者の一覧、資産の一覧、社内外の連絡先を書き換えます。一覧が古いままだと、次の交代のときに同じ書き出しを最初からやり直すことになるからです。

前任者が別の部署へ移るだけの場合も、5 は省けません。上に引いた IPA の項は、削除の対象に退職だけでなく異動も挙げています。規格の管理策では、異動した人の権限は 5.18 アクセス権に関わります。

管理者権限を 1 人に集めない工夫も、交代の機会に検討できます。IPA のガイドラインは、システム管理者を複数任命して互いの作業を確かめられるようにすることが望ましいとしています。管理者が 2 人いれば、どちらかが代わっても管理者がいない期間は生まれません。管理者権限の考え方は[特権 ID とは](/guides/privileged-access/what-is-privileged-id)にあります。

## 審査で示すもの

JIPDEC のユーザーズガイドは、規格が「文書化した情報」を明記している箇所を一覧にしています。交代に関わる記録を、その一覧に入っているかどうかで分けると次のようになります。

| 示すもの | 関わる箇条 | 規格が文書で残すよう明記しているか |
| --- | --- | --- |
| 後任の任命と、社内に伝えた記録 | 5.3 | 明記なし |
| 後任の力量の証拠(教育や資格の記録) | 7.2 | 明記あり |
| 交代の計画と、計画どおりに進めた記録 | 6.3、8.1 | 6.3 は明記なし、8.1 は明記あり |
| 交代前後の権限の一覧と、外した記録 | 附属書 A の 5.18、8.2 | 管理策の本文で確かめる |
| 経営者による見直し(マネジメントレビュー)の結果 | 9.3 | 明記あり |

明記がない項目も、組織が必要と決めた記録は ISMS の文書に含まれます(7.5.1)。任命の記録を残しておけば、5.3 の割り当てと伝達をしたことを、審査員に書面で示せます。

マネジメントレビューは、経営者が ISMS を定期的に見直す場です。そこでは、ISMS に関わる内部の課題の変化を扱います。ユーザーズガイドは、その例として組織の変化を含めています。交代を次のレビューで報告すれば、交代の事実と経営者の判断が、9.3 の記録の中に残ります。

担当者の交代を認証機関に知らせる必要があるかは、認証機関との契約で確かめます。交代が決まった時点で契約と規程を見て、分からなければ認証機関に問い合わせます。JIPDEC の FAQ は、会社名や組織名の単純な変更なら登録内容の変更手続きで認証が引き継がれるとしています。そのうえで、合併や組織の変更で運営の体制や適用範囲(ISMS の対象にした部署や業務)が大きく変わる場合は臨時の審査がありうるので、認証機関に問い合わせるよう書いています。届け出の要否は、認証機関との契約と規程で確かめます。


## よくある質問

**管理責任者の交代は認証機関に届け出ますか**

知らせる必要があるかは、認証機関との契約と規程で確かめます。組織の変更で運営の体制や適用範囲が大きく変わると臨時の審査もありうるので、交代が決まった時点で問い合わせます。

**前任者が社内に残る場合も権限を外しますか**

外します。IPA の内部不正防止ガイドラインは、異動で要らなくなった ID とアクセス権も、ただちに削除するよう求めています。ID を消すと記録も消えるサービスでは、ID を止めて記録を残します。

**後任について何を記録に残しますか**

規格の 7.2 は、役割に必要な力量(知識や技能)を決め、その証拠を文書で残すよう求めています。後任が受けた ISMS の教育や、関係する資格の記録がこれにあたります。

**共有パスワードも交代のたびに変えますか**

変えます。前任者が知っているパスワードは、権限を外しても使えるからです。二段階認証のコードが前任者のスマホに届く設定なら、送り先も後任に替えます。

## 参考資料

- [JIPDEC「ISMS ユーザーズガイド」(JIP-ISMS111-4.0、2025 年 3 月)](https://www.jipdec.or.jp/archives/publications/JIP-ISMS111-4.0.pdf)
- [日本規格協会「JIS Q 27002:2024 情報セキュリティ，サイバーセキュリティ及びプライバシー保護―情報セキュリティ管理策」プレビュー(目次。2024 年 6 月 20 日改正)](https://webdesk.jsa.or.jp/preview/pre_jis_q_27002_000_000_2024_j_ed10_ch.pdf)
- [IPA「組織における内部不正防止ガイドライン」第 5 版(2022 年 4 月)](https://www.ipa.go.jp/security/guide/hjuojm00000055l0-att/ps6vr7000000jvcb.pdf)
- [JIPDEC「FAQ2:認証取得条件」](https://www.jipdec.or.jp/project/smpo/FAQ2.html)

## Junify の場合

**人手で続けると** 求められている措置を自社の運用に読み替え、アカウントの一覧・権限・記録を監査で出せる形で保ち、指針が改定されるたびに読み直すことになります。

**Junify なら** Junify に登録した共有アカウントなら、事務局の交代は、前任者を使える人から外して後任を加えるだけで済みます。導入時にパスワードを変えて Junify だけが持つので、後任と関係者にパスワードを配り直すことはありません。誰がいつどのアカウントを使ったかも一人ひとり残ります。前任者がパスワードを登録した本人なら、その分だけは交代時に変えて登録し直します。

Junify は、パスワードを渡さずに社内外の担当者へ仕事を任せるためのアクセス管理サービスです。担当者はスマホで本人認証し、カードをクリックするだけで必要なアカウントにログインできます。パスワードは開示されず、誰がいつどのアカウントを使ったかは個人単位で記録されます。

- [登録不要の体験デモを見る](https://www.junify.jp/bpo/try)
- [30 分デモを予約する](https://www.junify.jp/bpo/demo)

## 同じテーマの記事

- [CIS Controls v8.1 の Control 5(アカウント管理)と Control 6(アクセス制御管理)は何を求めるか](/guides/compliance/cis-controls-account-access-management): Control 5 は全アカウントの一覧、使われていないアカウントの停止、管理者専用アカウントを求めます。Control 6 は権限を与える・外す手順と、社外向けサービスと管理者の多要素認証を求めます。どれも IG1(最初の段階)です。
- [漏えい等の報告で、アクセスの記録(ログ)から示すこと](/guides/compliance/data-breach-report-access-logs): 報告の 9 項目のうち、アクセスの記録で裏づけるのは概要の経過、個人データの項目、本人の数、原因の 4 つです。見られていないことを記録で確かめられなければ、その範囲は漏えいかそのおそれに当たり得ます。
- [政府の統一基準が求める ID の管理と委託先の対策](/guides/compliance/government-unified-standards-accounts): 統一基準は、ID を適切に管理し、不要になれば速やかに止め、権限を必要最小限にするよう求めます。ガイドラインは 1 人 1 つの ID を原則とし、共用は使った人を特定できる仕組みを条件に認めます。委託先には情報を守る対策を契約で求めます。