退職時に会社へ返すべきデジタル資産チェックリスト
退職手続きというと、社員証や鍵、貸与パソコンの返却を思い浮かべます。物理的なものは目に見えるので忘れません。問題は、目に見えないデジタル資産のほうです。
退職者のアカウントが生きたまま放置され、数年後に不正アクセスの入口になる——実際に起きている事故です。今日は、退職時に確実に回収・停止すべき項目をチェックリストにまとめます。
なぜ放置されるのか
悪意があって残るわけではありません。単に一覧がないからです。
- 誰がどのサービスのアカウントを持っているか、把握されていない
- 部署ごとに勝手にSaaSを契約している（シャドーIT）
- 「使っていないから大丈夫」と判断して放置される
特に3つ目が危険です。使われていないアカウントは誰も見ていないので、乗っ取られても気づかれません。
退職時チェックリスト
アカウント停止（退職日当日に実施）
- [ ] 社内メールアカウント（削除ではなく、まず無効化。取引先からの連絡を取りこぼさないため）
- [ ] 業務チャット（Slack / Teams / Chatwork 等）
- [ ] グループウェア・勤怠システム
- [ ] クラウドストレージ（Google Drive / OneDrive / Dropbox）
- [ ] 会計・請求システム
- [ ] 顧客管理・営業支援システム
- [ ] VPN・リモートデスクトップ
- [ ] 自社サイトのCMS（WordPressの管理者アカウントは特に忘れられがち）
共有アカウントのパスワード変更
個人アカウントではなく、部署で共有していたIDは全部変更します。退職者が知っている以上、そのままでは残ります。
- [ ] SNSの企業アカウント
- [ ] ドメイン管理・レンタルサーバー
- [ ] 各種オンラインサービスの管理者ID
端末・デバイス
- [ ] 貸与パソコン（返却時にディスク暗号化の解除確認）
- [ ] 貸与スマホ（MDMからの登録解除、遠隔ワイプの実施）
- [ ] USBメモリ・外付けHDD
- [ ] 認証用のセキュリティキー・ワンタイムパスワード生成端末
データの引き継ぎ
- [ ] 個人フォルダ内の業務データを共有領域へ移す
- [ ] メールの転送設定（一定期間、後任者へ）
- [ ] 本人しか知らない手順・取引先の連絡先を文書化
特に忘れられやすい3つ
実際の現場でよく残っているのがこれらです。
1. WordPressの管理者アカウント 制作を担当していた社員のアカウントが、退職後も管理者権限のまま残っているケースは非常に多いです。サイト改ざんの直接的な入口になります。 2. 個人のクラウドに置かれた業務ファイル 「一時的に」個人のDropboxに置いたファイルは、退職と同時に回収不能になります。在職中から、業務データを個人領域に置かせない運用が必要です。 3. 二要素認証の登録端末 退職者のスマホが認証端末として登録されたままだと、パスワードを変えても本人が突破できてしまう場合があります。
退職前にやっておくと楽になること
- 入社時にアカウント一覧を作り、増えたら追記する運用にする
- SaaSの契約を情報システム側で一元管理する（部署の勝手契約を減らす）
- 年1回、全アカウントの棚卸しをする（退職者以外の不要アカウントも見つかります）
棚卸しは面倒に思えますが、一度やると「こんなに残っていたのか」と驚くことがほとんどです。
棚卸しからご相談いただけます
「どこから手をつければいいか分からない」「そもそも何のアカウントがあるか把握できていない」という段階でも構いません。BULLCOM Security では、アカウントの棚卸しと、退職時フローの整備をご支援しています。
WordPressやサーバーの管理者権限の見直しもあわせて承ります。まずは現状をお聞かせください。LINEまたはお問い合わせフォームからお気軽にご連絡ください。