# オンボーディング・オフボーディング(アカウントの観点)とは

アカウントの観点では、オンボーディングは入社・応援の開始に合わせて本人の ID と権限を発行し、共有アカウントを使える人に加えること。オフボーディングは退職・終了に合わせてそれらを止め、共有のパスワードを変えることです。

更新日: 2026-09-18

オンボーディング・オフボーディングとは、一般には入社後の受け入れと、退職時の手続きの全体を指す言葉です。アカウントの観点では、入社・異動・応援の開始に合わせて発行するものと、退職・終了に合わせて止めるものを指します。人事・採用の現場では、採用媒体や人事系サービスの共有アカウントを使う許可も、この発行と停止に含まれます。

## オンボーディングで何を発行するか

IPA の「組織における内部不正防止ガイドライン」(第 5 版)の対策 5 は、利用者 ID とアクセス権の登録・変更・削除の手順を定めて運用するよう求めています。対策 7 は、共有 ID や共有のパスワードを使わず、利用者ごとの ID を個別のパスワード等で認証するよう求めています。対策 7 は、他の利用者に ID とパスワードを貸すことの禁止も挙げています。

発行するのは 4 つです。

- 本人ごとの ID。利用者ごとに ID を発行し、パスワード等で本人を確かめます(対策 7)
- 必要な範囲の権限。決めた手順で登録し、担当する業務に要る範囲に限ります(対策 5)
- 共有アカウントの利用許可。本人ごとに分けられないアカウントは、使ってよい人の一覧に加えます(通則編 別添 組織的安全管理措置(3)の例示「アクセス権を有する者」)
- 秘密保持の誓約書と教育。入社時にも誓約書を受け取り、個人データの扱いを教育します。派遣社員は、派遣元に出した誓約書の写しの提出を派遣の条件にします(対策 26、対策 23 の対策ポイント 4、派遣は対策 22、通則編 別添 人的安全管理措置)

誓約書の提出を適切な機会に要請しなければならない、としているのは対策 26 です。退職時だけでなく入社時や異動時にも受け取る理由は、対策 23 の対策ポイント 4 にあります。退職時には提出を拒まれることがあるためです。IPA の「中小企業の情報セキュリティ対策ガイドライン」(第 4.0 版)も、機密性の高い情報を扱う役職員(社外要員は除く)に守秘義務の誓約書を提出させることを勧めています。書面の保管・更新・回収も、計画的に管理するとしています。

## オフボーディングで何を止めるか

内部不正防止ガイドラインの対策 5 は、異動や退職で不要になった利用者 ID とアクセス権をただちに削除するよう求めています。対策 24 は、雇用終了時に情報資産(会社の情報や機器)を返却または完全消去させ、与えていた利用者 ID や権限を削除するよう求めています。削除は雇用終了直後に速やかに行い、テレワークのために与えた権限も含める、としています。

止めるのは 4 つです。

- 本人の ID とアクセス権。停止・削除します。ID を消すと利用の記録も消えるシステムでは、ロックして記録を残します(対策 5 とその脚注、対策 24)
- 共有アカウントの利用。使ってよい人の一覧から外し、パスワードを変えて残る人に配り直します(通則編 別添 技術的安全管理措置(1)(2))
- 情報・機器・鍵。返却させるか完全に消去し、チェックリストや記録で実行状況を見えるようにします(対策 24、IPA 中小企業ガイドライン)
- 秘密保持の誓約書。雇用終了の際に、必要に応じて提出を求めます(対策 23)

共有アカウントの根拠は、通則編の別添が求めるアクセス制御(担当者の範囲を限ること)と、使う従業者の識別と認証です。辞めた人がパスワードを知ったままでは、この限定から外れると読めます。配り直しの手間と抜け漏れは[退職者が出るたびにパスワードを変える運用の限界](/guides/shared-accounts/password-change-on-every-departure)にまとめています。

## なぜ人事の手続きと結びつけるのか

対策 5 は、利用者 ID とアクセス権の手続きを人事異動に関連する人事手続きと連携させ、人事異動の時期に一斉に見直すことを挙げています。対策 24 は、雇用終了の間際に情報の持ち出しが起きやすいとしています。雇用終了前の一定期間から、PC 等をシステム管理部門等の管理下に置くこと(アクセス範囲の限定、監視の強化など)が望ましい、という書き方です。どちらも、入社・異動・退職の日付を最初に知る人事部門が起点になります。

対象は正社員に限りません。通則編の従業者には契約社員、パート社員、アルバイト社員、派遣社員も含まれるので、繁忙期の応援要員の開始と終了も同じ手続きで扱います。全体像は[人事・採用のアカウント管理](/guides/hr-access)にまとめています。


## よくある質問

**オンボーディングとアカウントの発行は同じ意味ですか**

一般のオンボーディングは、受け入れの手続きや教育を含む入社後の全体を指します。この記事は、そのうち ID・権限・共有アカウントの利用許可という、アカウントに関わる部分だけを扱います。

**退職者の ID は削除と停止のどちらがよいですか**

IPA の内部不正防止ガイドラインは削除を求めつつ、ID を消すと利用の記録も消えるシステムでは、ID をロックして記録を残すとしています。そのシステムで記録がどう残るかを確かめて決めます。

**派遣社員やアルバイトの終了も同じ手続きですか**

同じです。通則編の従業者には派遣社員、パート社員、アルバイト社員が含まれます。IPA の中小企業ガイドラインも、派遣社員等の契約満了時に ID や機器を回収するよう勧めています。

**共有アカウントのオフボーディングは何をしますか**

使ってよい人の一覧からその人を外し、パスワードを変えて残る人に配り直します。ID を止める操作がないため、変更しない限り、辞めた人は知っているパスワードで入れます。

## 参考資料

- [IPA「組織における内部不正防止ガイドライン」第 5 版(2022 年 4 月)](https://www.ipa.go.jp/security/guide/hjuojm00000055l0-att/ps6vr7000000jvcb.pdf)
- [IPA「中小企業の情報セキュリティ対策ガイドライン」第 4.0 版(2026 年 3 月)](https://www.ipa.go.jp/security/guide/sme/ug65p90000019cbk-att/sme_guideline_v4.0.pdf)
- [個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン(通則編)」(令和 8 年 6 月一部改正)](https://www.ppc.go.jp/files/pdf/260614_guidelines01.pdf)

## Junify の場合

**人手で続けると** 採用媒体や人事システムのアカウントを担当者ごとに分け、応援要員や採用代行の出入りのたびに発行と停止を行い、応募者の情報に誰が触れたかを残し続けることになります。

**Junify なら** Junify では、オンボーディングは管理者が本人を登録してアカウントを割り当てるだけ、オフボーディングは割り当てを外すだけです。パスワードは本人に渡していないので、退職後に変えて配り直す作業はありません。誰が・いつ・どのアカウントを使ったかは本人ごとに残ります。

Junify は、パスワードを渡さずに社内外の担当者へ仕事を任せるためのアクセス管理サービスです。担当者はスマホで本人認証し、カードをクリックするだけで必要なアカウントにログインできます。パスワードは開示されず、誰がいつどのアカウントを使ったかは個人単位で記録されます。

- [登録不要の体験デモを見る](https://www.junify.jp/bpo/try)
- [30 分デモを予約する](https://www.junify.jp/bpo/demo)

## 同じテーマの記事

- [採用代行(RPO)に媒体アカウントを渡すときの整理](/guides/hr-access/handing-job-board-accounts-to-rpo): 渡し方は 3 つです。媒体の委託先向けの手続きを使う、委託先の担当者に ID を発行する、共有 ID を渡す。応募者情報を扱わせるなら個人情報保護法 25 条の委託先の監督が要り、契約、記録、終了時の回収を決めます。
- [人事システム・給与システムの共有 ID の問題](/guides/hr-access/hr-payroll-system-shared-ids): 給与・マイナンバー・評価を扱うシステムの管理者アカウントを共有すると、個人情報保護法と番号法が求める使う人の識別と認証、利用の記録、担当者の明確化を ID の単位で満たせず、内部統制でも誰が操作したかを示せません。
- [採用媒体のアカウントを複数人で使うときの権限と共有 ID](/guides/hr-access/job-board-account-roles-and-shared-ids): 担当者ごとの ID を発行できるかは媒体で分かれます。発行できる媒体には権限の種類があり、1 つの ID を全員で使う媒体もあります。退職時に何を操作するかも媒体ごとに違います。