共有アカウントの棚卸しの手順と台帳の項目

共有アカウントの棚卸し(何があるか一覧にすること)とは、社内で複数人が使っているアカウントを洗い出し、サービスごとに「誰がパスワードを知っていて、誰が使えるか」を一覧にする作業です。共有アカウントでは、サービス側の記録に操作した人が残りません(共有アカウントとは)。そのため、この一覧が使う人を特定する出発点になります。

棚卸しの目的

目的は、3 つの判断の材料をそろえることです。個人アカウントに分けられるか、残すなら誰がどう使うか、廃止できるか。どれも、誰が知っていて誰が使っているかが分からなければ決められません。Microsoft Entra ID の公式ドキュメントは、ID とパスワードを配る従来の共有の欠点を挙げています。誰がアクセスできるか分からない、誰がアクセスしたか分からない、アクセスを外すには ID とパスワードを変えて配り直すしかない、などです。棚卸しは、このうち「誰がアクセスできるか」に台帳で答える作業です。

IPA の「中小企業の情報セキュリティ対策ガイドライン」第 4.0 版(2026 年 3 月)には、コラム「IT 資産管理について」があります。IT 資産管理を、クラウドサービスも含めて「何の機器やソフトウェアが、どこで、誰によって使われているかの把握」から始まる活動としています。一覧表や管理台帳の作成から始めて、定期的な見直しを習慣にするよう求めています。同じガイドラインは、共有 ID はなるべく使わず、やむを得ず使うなら利用したユーザーを特定できる仕組みを整えるよう求めています。共有アカウントの台帳は、この 2 つの要求への記録です。

共有アカウントの見つけ方

台帳を作る前に、どこに共有アカウントがあるかを探します。管理者の記憶だけでは、部門が自分で契約したサービスが抜けます。

手がかりは 5 つあり、それぞれ見落とすものも決まっています。

1. 請求書・経費精算・法人カードの明細から、有料のサービスと契約者が分かります。個人のカードで立て替えているものと、無料プランは出てきません。
2. ID 管理サービス(Okta、Microsoft Entra ID など)に載っていないログインを探すと、ID 管理サービスとつなげないサービスや、その外で作られた ID が見つかります。部門が直接 ID とパスワードでログインしているものは、この方法では出てきません。
3. 会社アドレス宛のメール(通知・パスワード再設定)からは、代表アドレスや部門アドレスで登録したサービスが分かります。個人のアドレスで登録したものは出てきません。
4. ブラウザーのパスワード保存と、パスワードマネージャーの共有用の保管場所には、実際に使われている ID とパスワードがあります。私物端末のブラウザーに保存されたものは見えません。
5. 部門への聞き取りでは、用途、使っている人、引き継ぎの経緯が分かります。「自分しか使っていない」と思われている共有 ID は、それでも出てきにくいものです。

聞き取りでは、「共有アカウントはありますか」より「担当者が休んだ日は誰がどうログインしますか」と聞くほうが、実際の共有が出てきやすいでしょう。共有を問題と受け取った人も、業務の続け方なら答えやすいからです。

台帳の項目

項目は、判定と退職時の作業に使うものに絞ります。共有アカウントの管理 の「何から始めるか」にある最小の 7 項目を含む、全項目の一覧です。

1. サービス名 — サービス名とログイン画面の URL を書きます。同名のサービスや、同じサービスに会社ごとの環境が複数ある場合の取り違えを防げます。
2. アカウントの ID — ログイン ID(メールアドレスやユーザー名)を書きます。1 つのサービスに複数ある場合を分けられます。
3. 用途 — 何の業務に使うかを書きます。廃止する・まとめる判断の根拠になります。
4. 管理者 — 責任を持つ部門と、設定を変えられる人を書きます。変更・廃止・退職時に誰が動くかが決まります。
5. パスワードを知っている人 — 現に知っている人を書き、過去に知っていた人は別の欄に移します。退職時にパスワードを変える必要があるかの判断材料になります。
6. 使っている人 — 業務でそのアカウントを使うことになっている人を書きます。「パスワードを知っている人」との差が、配り過ぎの度合いを示します。
7. 二段階認証の受け取り先 — 方式と、コードを受け取る端末・番号、バックアップコードの保管場所を書きます。不在時と退職時に何を変えるかが決まります。
8. パスワードの保管場所 — 紙・ファイル・パスワードマネージャーなどの別を書きます。IPA は、保管方法の違いを踏まえた管理ルールを求めています。
9. 最終変更日 — パスワードと二段階認証を最後に変えた日を書きます。退職者が出た後に変えていないアカウントが分かります。
10. 最後に確認した日 — この行の内容を最後に点検した日を書きます。見直しから漏れている行が分かります。
11. 記録の有無 — 誰が使ったかを残す手段があるかを書きます(サービスの利用記録、持ち出し記録、代理入力(パスワードを代わりに入力する仕組み)の記録)。残してよいかの条件になります。
12. 分けられるか — 個人アカウントに分けられるか、分けられない理由を書きます。次の判定の材料になります。

IPA の付録 6「資産管理台帳(サンプル)」は、情報資産と、関連する機器・ソフトウェアを一覧にするためのものです。上の 12 項目は、それとは別に、アカウントを 1 行ずつ管理するためのものです。

判定

台帳が埋まると、アカウントごとに次の 3 つから決められます。

1. 個人アカウントに分ける — サービスが複数のユーザーを持て、費用と手間を受け入れられる場合です。個人アカウントを発行し、共有アカウントは削除するか、パスワードを変えて使えなくします。
2. 共有のまま残す — 分けられない理由があり、使う人を特定する手段を用意できる場合です。使える人を最小にし、記録の手段と退職時の手順を決めます。
3. 廃止する — 用途がない、または最後に使った日が分からない場合です。解約・削除し、台帳に廃止日を残します。

「使う人を特定する手段」は台帳とは別です。台帳は使える人を示すだけで、ある日の操作を誰がしたかは示しません。残すものの管理方法は 共有アカウントの管理 で扱います。

更新の頻度ときっかけ

台帳は作った日から古くなります。IPA のガイドラインは、異動や退職に伴う権限の変更・削除漏れを防ぐルールを定め、誰にどの権限を与えているかを管理するよう求めています。退職・任期満了時には、情報や機器・ID・鍵などを回収し、チェックリストや記録で、行ったことを見えるようにすることも求めています。共有アカウントの台帳では、次のきっかけで行います。

• 入社や異動で使う人が増えたら、「使っている人」「パスワードを知っている人」に追加し、二段階認証の受け取り先を確認します。
• 退職や異動で使う人が減ったら、パスワードと二段階認証を変えて最終変更日を更新し、その人を「過去に知っていた人」に移します。
• 契約更新・解約のときは、用途と所有部門を確認し、解約なら廃止日を記録します。
• 定期の見直しでは、全項目を確認して「最後に確認した日」を入れ、最後に使った日が分からないものを廃止候補にします。

定期の周期は、IPA のガイドラインでは特定の期間を定めておらず、「定期的な見直しを習慣化」とだけあります。