お問い合わせ
SECURITY NOTE — 059

情シスが設計するSaaSアカウント棚卸しの全体像：GWS起点で退職・業務委託・ISMSを網羅

PUBLISHED2026.05.02
READ10 分
CATEGORYSECURITY

企業で利用するSaaSアカウントの増加に伴い、その管理は複雑化しています。特に退職者や業務委託スタッフのアカウントは、削除漏れによるセキュリティリスクやISMS準拠の課題となりがちです。

この記事を読んだほうが良い人

  • 100名規模の企業で情シスを担当している
  • Google Workspaceを中心に複数SaaSを運用している
  • 退職者や業務委託スタッフのアカウント削除漏れに課題を感じている
  • ISMS審査に向けたSaaSアカウント棚卸しの準備を進めたい

SaaSアカウント管理の現状と課題

近年、クラウドサービスの普及により、企業内で利用されるSaaSの数は爆発的に増加しています。グループウェア、チャットツール、人事労務、経費精算、営業支援など、業務のあらゆる場面でSaaSが活用され、その結果、情シス担当者が管理すべきアカウントの数も比例して増えています。

このアカウント数の増加は、管理の複雑化と新たな課題を生み出します。特に問題となるのが、退職者や契約終了した業務委託スタッフのアカウント削除漏れです。削除漏れが発生すると、以下のようなリスクに直面する可能性があります。

  • セキュリティリスク: 不正アクセスの足がかりとなる。退職者が過去の権限を悪用し、社内情報にアクセスする恐れがある。
  • コンプライアンス違反: ISMS（情報セキュリティマネジメントシステム）などの認証基準で求められるアクセス管理要件を満たせない。
  • コスト増: 利用していないアカウントに対してもSaaSの利用料を支払い続けることになる。
  • データ漏洩リスク: 退職者のアカウントが残存し、そのアカウントに紐づくデータが適切に処理されないことで、情報漏洩につながる。

情シスとしては、これらのリスクを未然に防ぎ、「削除漏れゼロ」の状態を目指すアカウント管理の全体設計が求められています。

全体設計の鍵：IT資産台帳を中心としたライフサイクル管理

SaaSアカウント管理において最も重要なのは、IT資産台帳を中心としたアカウントのライフサイクル管理を確立することです。アカウントのライフサイクルは大きく分けて「入社・新規発行」「異動・役割変更」「退職・契約終了」「アカウント廃棄・棚卸し」の4つのフェーズで構成されます。それぞれのフェーズで、アカウントの状態を正確に把握し、適切なアクションを実行する仕組みが必要です。

このライフサイクル管理の起点として、多くの企業で利用されているGoogle Workspace（GWS）を活用する方法が有効です。GWSは従業員のID管理基盤として機能し、Admin SDK（Google Workspaceが提供するAPIの集まりで、Google Apps ScriptやPythonなどのスクリプトから呼び出せる）を通じてユーザーアカウントの作成、更新、無効化、削除といった操作をプログラムから実行できます。これをハブとして、他のSaaSアカウントの管理と連携させることで、効率的かつ確実なアカウント管理が可能になります。

IT資産台帳の具体的な設計と項目

IT資産台帳は、すべてのSaaSアカウント情報を一元的に管理するための基盤です。スプレッドシートで作成する場合でも、以下の項目を網羅することで、実用的な台帳として機能します。

必須項目

  • アカウントID: 各SaaSにおけるユーザーID（メールアドレス、ユーザー名など）
  • サービス名: 利用しているSaaSの名称（例: Google Workspace, Slack, ジョブカン勤怠管理, SmartHR, Salesforceなど）
  • サービスURL: 各SaaSのログインURL
  • ユーザー名: アカウントに紐づく従業員氏名
  • 従業員ID: 人事システムと連携するための従業員番号
  • 所属部署: ユーザーが所属する部署名
  • 役職: ユーザーの役職
  • アカウントステータス: 有効、無効、削除済み、一時停止など
  • 最終ログイン日: 各SaaSでの最終ログイン日時（可能な範囲でAPI連携などにより自動取得）
  • アカウント発行日: アカウントが作成された日付
  • アカウント削除予定日: 退職・契約終了に伴う削除予定日
  • 担当者: そのSaaSの管理責任者（部署名または個人名）
  • 備考: 特記事項、連携状況など
  • 監査証跡URL: アカウント削除や権限変更のログが確認できるURL（Google Workspaceの監査ログなど）

業務委託スタッフ向け追加項目

業務委託スタッフのアカウントは、正社員と異なり人事システムとの連携が難しいケースが多いため、以下の項目を追加することで管理精度を高めます。

  • 契約先企業名: 業務委託スタッフが所属する企業名
  • 契約担当者: 社内の契約担当者
  • 契約開始日: 業務委託契約の開始日
  • 契約終了日: 業務委託契約の終了日
  • 契約書URL: 契約書の保管場所URL

これらの項目を適切に設定し、定期的に更新することで、アカウントの利用状況を可視化し、削除漏れのリスクを大幅に軽減できます。

各フェーズにおけるアカウント管理の落とし穴と対策

入社・新規アカウント発行時

  • 落とし穴:
    • 必要なSaaSアカウントの発行漏れ
    • 入社時に過剰な権限を付与してしまう
    • IT資産台帳への記載漏れ
  • 対策:
    • 入社フローにSaaSアカウント発行の標準手順とチェックリストを組み込む。
    • 部署や役職に応じた最小権限の付与ルールを明確にする。
    • アカウント発行と同時にIT資産台帳へ登録することを必須とする。

異動・役割変更時

  • 落とし穴:
    • 異動後の業務に必要なSaaS権限への変更忘れ
    • 異動前の部署で利用していたSaaS権限の剥奪漏れ
    • SaaS側のロール更新忘れ
  • 対策:
    • 異動申請と連動して、情シスへSaaS権限変更依頼が自動で上がる仕組みを構築する。
    • 定期的に部署とSaaSアカウントの紐付けを棚卸しし、乖離がないか確認する。

退職・契約終了時

このフェーズは最もセキュリティリスクが高く、特に注意が必要です。

  • 落とし穴:
    • 退職日を過ぎてもアカウントが残存している
    • アカウントに紐づくデータ（Google Drive、SlackのDM履歴など）の移行・バックアップ忘れ
    • 業務委託スタッフの場合、人事DBに登録がないため、契約終了日の把握が遅れる
  • 対策:
    • チェックリスト運用: 退職・契約終了時には、対象SaaSの一覧と確認項目をまとめたチェックリストを必ず利用する。
    • Google Workspace Admin SDKの活用: GWSユーザーはAdmin SDKを利用して、退職日以降にアカウントを自動で無効化したり、指定した日付で削除したりするスクリプトを組むことが可能です。これにより、削除漏れのリスクを大幅に削減できます。
    • 他SaaSとの連携: 可能であれば、人事システムやGWSを起点として、他のSaaS（SmartHR, ジョブカンなど）とSCIM連携（System for Cross-domain Identity Managementに基づくユーザー情報の自動同期プロトコル。対応SaaSであればGWSでのアカウント変更を連動させられる）やAPI連携（各SaaSが公開するAPIを直接呼び出してアカウント操作を行う方式）を行い、アカウントの自動無効化・削除を実現する。
    • 業務委託スタッフ管理の強化:
      • 契約書管理部門（法務や総務）と情シスの連携を密にし、契約終了日を情シスが確実に把握できるフローを確立する。
      • IT資産台帳の業務委託スタッフ向け項目（契約終了日、契約担当者など）を常に最新に保つ。

アカウント廃棄・棚卸し時

  • 落とし穴:
    • 長期間利用されていないアカウントが放置され、セキュリティホールとなる
    • 不要なアカウントが残り続け、コストが発生する
  • 対策:
    • 定期的な棚卸し: 半年に一度など、定期的にIT資産台帳とSaaSの実際のアカウント状況を照合する。
    • 最終ログイン日での判断: 各SaaSの最終ログイン日情報をIT資産台帳に集約し、一定期間（例: 90日）ログインがないアカウントは棚卸しの対象とする。
    • 利用状況の確認: 利用頻度の低いSaaSやアカウントについて、本当に必要か、継続利用する価値があるかを部門責任者と確認する。

自動化導入における制約と注意点

Admin SDKやSCIM連携を使った自動化は、アカウント管理の精度を大きく高められます。ただし、導入すれば完結するわけではなく、いくつかの現実的な制約を把握した上で設計に臨む必要があります。

Admin SDKスクリプトの保守コスト

Admin SDKを使って退職日にアカウントを自動無効化するスクリプトを組む場合、初期構築だけでなく継続的な保守が伴います。Google Workspace APIの仕様変更やプランの変更によって、スクリプトが想定通りに動かなくなるケースがあります。スクリプトを書ける担当者が在籍しているか、異動・退職時にナレッジを引き継げる体制が整っているかを、導入前に確認することが重要です。

SCIM非対応SaaSへの対応

SCIM連携はSaaS側の実装が前提です。中小規模のSaaSや国内特化ツールはSCIMに未対応のものも多く、その場合は各サービスのAPIを個別に呼び出すカスタム連携か、手動対応に切り替えることになります。「すべてのSaaSを自動化できる」という前提で設計すると、SCIM非対応のツールが管理の穴になります。棚卸し対象SaaSごとにSCIM対応状況を事前に確認し、自動化の範囲を現実的に設定することが大切です。

組織的な運用の限界

技術的な自動化が整っていても、情シスが退職日や契約終了日を適切なタイミングで把握できなければ機能しません。人事部門・法務・総務とのデータ連携が確立されていない組織では、IT資産台帳の更新が後追いになりがちです。ツールの整備と並行して、情シスが情報を受け取るフローを業務プロセスとして定着させることが、実質的な削除漏れゼロへの近道です。

ISMS準拠のためのSaaSアカウント棚卸し

ISMS（ISO/IEC 27001）の認証取得・維持において、SaaSアカウントの適切な管理は重要な要件です。特に以下の管理策がSaaSアカウント棚卸しに関連します。

  • A.8.1.1 資産の目録: 組織内のすべての情報資産（SaaSアカウントも含む）を明確にし、目録を作成する。
  • A.9.2.1 利用者アクセスの登録及び登録解除: すべての利用者について、利用を許可された情報システム及びサービスへのアクセスを登録し、利用を許可されなくなった場合にはその登録を解除する手順を確立する。
  • A.9.2.2 利用者アクセス権のプロビジョニング: すべての利用者について、業務上の正当な必要性に基づいてアクセス権を付与する。
  • A.7.3.2 退職者の責任: 退職する従業員及び契約を終了する契約者の情報セキュリティの責任を明確にし、その責任を終了させる。

これらの要件を満たすためには、IT資産台帳の整備と、それを活用した定期的な棚卸しが不可欠です。

ISMS準拠のための棚卸し手順例

ISMSの監査で証跡として提出できる棚卸し手順の流れは以下の通りです。

  1. 対象範囲の明確化: 棚卸しの対象となるSaaSとアカウントの範囲を定義する。
  2. IT資産台帳の準備: 最新のIT資産台帳を用意する。
  3. 実態の照合: 各SaaSの管理画面やAPIを通じて、実際のアカウントリストとIT資産台帳を突き合わせる。
  4. 差異分析: 台帳と実態の間に不一致がないかを確認し、不一致箇所を特定する。
    • 台帳にはあるが、SaaSにはない（削除済み）
    • SaaSにはあるが、台帳にはない（登録漏れ）
    • ステータス（有効/無効）が異なる
    • 権限レベルが異なる
  5. 是正措置: 差異が発見された場合、その原因を特定し、適切な是正措置（アカウント削除、台帳更新、権限変更など）を実行する。
  6. 記録と証跡: 棚卸しの実施記録、差異の内容、是正措置、完了日などを文書化し、監査証跡として保管する。Google Workspaceの監査ログなども活用し、アカウントのライフサイクルに関する証跡を確保します。

この手順を定期的に繰り返すことで、ISMSの要求事項を満たし、情報セキュリティ体制の維持・向上につながります。

まとめ：削除漏れゼロを目指す継続的な改善

SaaSアカウントの適切な管理は、現代の情シスにとって避けて通れない重要な業務です。退職者や業務委託スタッフのアカウント削除漏れは、セキュリティ、コンプライアンス、コストの面で大きなリスクをはらんでいます。

この課題に対処するためには、Google Workspaceを管理の起点とし、IT資産台帳を中心としたアカウントのライフサイクル管理を設計することが有効です。入社から退職、そしてアカウント廃棄に至るまでの各フェーズで、具体的な落とし穴を把握し、適切な対策を講じる必要があります。特に、業務委託スタッフの管理やISMS準拠のための棚卸しは、実務レベルで細やかな対応が求められます。

一方で、Admin SDKによる自動化やSCIM連携には保守コストやSaaS側の対応状況という制約があります。また、技術的な仕組みだけでなく、人事・法務・総務との情報連携フローを業務プロセスとして定着させることが、仕組み全体を機能させる前提です。一度構築すれば終わりではなく、SaaSの利用状況や組織体制の変化に合わせてIT資産台帳の項目や運用フローを継続的に見直す姿勢が、持続可能なアカウント管理体制を支えます。

コーポレートITのご相談はお気軽に

この記事で書いたような業務改善・自動化の設計から実装まで、DRASENASではコーポレートITの現場に寄り添った支援を行っています。 「まず相談だけ」でも大歓迎です。DRASENAS 公式サイトからお気軽にどうぞ。

CONTACT

御社の IT 部門、ここにあります。

「ITのことはあまりわからない」── そのような状態からで、まったく問題ございません。まずはお気軽にご相談ください。

無料相談を予約する → サービス詳細を見る
一社ずつ、一から。