従業員が少ない会社でも、メール、会計、勤怠、ファイル共有、SNS運用など複数のクラウドアカウントが存在します。管理者権限を持つ人が誰か、共用IDが残っていないかを定期的に確認しないと、退職や異動後も設定変更やデータ削除が可能なままになることがあります。
IPAの中小企業向けガイドライン第4.0版でも、アクセス権限の管理は基本項目です。IPA第4.0でつくる最初の行動計画で全体像を掴んだうえで、権限に特化して見直すイメージです。
一覧を作る
- 利用中のクラウド・SaaS名と契約管理者
- 各サービスの管理者ロールを持つ従業員
- 部門共用メールやSNSログインの有無
- 外部委託先に渡している管理権限
不要な権限を下げる
日常業務に管理者権限が不要な人には、一般ユーザーへ変更してください。設定変更履歴が取れるサービスでは、過去の変更者も確認します。
ASMや診断との関係
外部から見える資産の把握は、ASMの記事や5分診断と補完関係にあります。内部の権限棚卸しは、外部スキャンでは見えないリスクを減らします。