退職・異動した人のアカウントをその日のうちに止める手順

残ったアカウントで起きること

小さな会社で、辞めた人のアカウントがそのまま残っている例は珍しくありません。メールは転送設定が生きたまま、クラウドストレージの共有リンクは有効なまま、会計ソフトにはログインできるまま、ということが普通にあります。

困るのは、悪意のある元社員だけではありません。退職した人がパスワードを他のサービスで使い回していて、そちらから漏れれば、第三者が会社のアカウントに入れます。本人も退職後はそのアカウントを気にかけないので、乗っ取られても誰も気づきません。

止める作業そのものは、1件ずつなら数分で終わります。時間がかかるのは「その人が何のアカウントを持っていたか」を思い出す部分です。だから一覧は、退職が決まる前から持っておきます。

棚卸し表を作る

表計算ソフトで、次の列を持つ表を1枚作ります。

行に入れるものを思い出すには、次の順に見ていくと漏れが減ります。

• 毎月の請求書とクレジットカードの明細(お金を払っているサービスは必ずここに出ます)
• 会社のメールボックスで「ようこそ」「アカウント登録」「パスワードの再設定」を検索した結果
• Google Workspace や Microsoft 365 の管理画面にある、外部アプリの連携一覧
• 社員に「業務で使っているサービスを全部書いて」と聞いた回答

最後の項目は面倒がられますが、無料の SaaS や、個人のメールアドレスで登録された業務用アカウントは、ここでしか見つかりません。個人アドレスで業務用のアカウントを作るのは、この機会にやめてもらいます。会社が止められないアカウントになるからです。

表は、新しいサービスを契約したときと、人が入ったときに更新します。半年に1回、請求明細と突き合わせて古い行を消します。

アカウントの種類ごとの止め方

会社のメールとクラウド

Google Workspace や Microsoft 365 の個人アカウントは、最初は削除せずに停止(Google では「ユーザーの停止」、Microsoft 365 では「サインインのブロック」)にします。削除すると、その人の持っていたファイルやメールまで消える場合があるためです。

停止と同時に、次の作業を行います。

• ログイン中のセッションを強制的に終了させる(Microsoft 365 では、サインインをブロックしても、発行済みのアクセストークンが切れるまでの1時間前後は使える場合があります。Google Workspace は停止するとログインの Cookie がリセットされますが、パソコン版の Google ドライブなど一部のアプリは別に確認します)
• アプリパスワードと、外部アプリへのアクセス許可を取り消す
• マイドライブや OneDrive のファイルの所有者を後任者に移す
• メールボックスは、後任者に共有するか、一定期間保管してから削除するかを決める

メールの転送設定

見落としやすいのが、本人が自分で設定した自動転送です。個人の Gmail などに全メールを転送する設定が残っていると、アカウントを停止するまでの間、取引先からのメールがすべて外に流れます。転送ルールは管理画面から確認できるので、退職の数日前に一度見ておきます。

退職後、その人宛てのメールをどうするかも決めておきます。後任者に届くようにするか、「担当が変わりました」という自動返信を一定期間出すかのどちらかです。退職者本人の個人アドレスへ転送するのはやめてください。

共有アカウント

公式 SNS、通販サイトの管理画面、ドメインやサーバーの管理画面、社内 Wi-Fi、複合機の管理画面など、複数人で1つの ID とパスワードを使っているものは、パスワードを変えるしか止める方法がありません。退職者が知っていたものは全部変えます。

共有アカウントの二要素認証で、退職者のスマホに認証アプリやSMSが届く設定になっていないかも確認します。そのままだと、パスワードを変えても、次のログインのときに退職者のスマホが必要になり、会社が締め出されます。

共有アカウントが多い会社ほど退職時の作業が重くなります。可能なサービスでは、1人1アカウントに分けて、管理者が個別に止められる形に変えてください。

SaaS と外部サービス

会計、給与、勤怠、顧客管理、チャット、Web 会議、ファイル転送、デザインツールなど、棚卸し表に載っているものを上から止めます。有料のものは、ライセンスを後任者に付け替えるか、解約して費用を止めます。

Google や Microsoft のアカウントでログインする方式(シングルサインオン)のサービスは、元のアカウントを停止すれば入れなくなります。ただし、メールアドレスとパスワードで別に登録したサービスは、元のアカウントを止めても使えたままです。棚卸し表の「止め方」列に、どちらの方式かを書いておくと判断が速くなります。

VPN とリモートアクセス

VPN のユーザーを削除し、証明書方式ならその証明書を失効させます。リモートデスクトップのツールで、退職者の私物パソコンから会社のパソコンに入れる設定があれば、それも外します。共有の VPN パスワードを使っている場合は変更します。

個人スマホと貸与端末

貸与したパソコンとスマホは、最終出社日に回収します。回収前に、本人に会社のアカウントからログアウトしてもらい、回収後は初期化します。

私物スマホで会社のメールやチャットを使わせていた場合、そのスマホには会社のデータが残っています。管理ツールで端末を登録していれば、会社のアカウントとデータだけを消す操作ができます。登録していない場合は、最終出社日に本人の目の前で、会社のアカウントをアプリから削除してもらいます。これは後から確かめようがないので、私物スマホを業務に使わせるかどうかは、入社時に決めておく問題です。

異動のとき

異動は退職と違って人がいなくなりませんが、前の部署の権限が残り続けるという問題があります。経理から営業に移った人が、会計ソフトに入れたままになっている状態です。異動の辞令が出たら、棚卸し表のその人の行を見て、新しい部署で必要のない権限を外します。

最終出社日のチェックリスト

退職が決まった日に、棚卸し表からその人の行を抜き出し、次の項目ごとに担当者と終えた日時を記録します。

退職が決まったら

• 棚卸し表から本人が使っていたアカウントを抜き出す
• 共有アカウントのうち本人が知っているものを洗い出す
• メールの自動転送ルールを確認する
• ファイルの引き継ぎ先を決める

最終出社日(本人が帰った後すぐ)

• 会社のメールとクラウドのアカウントを停止し、セッションを終了させる
• SaaS の個人アカウントを停止する
• 共有アカウントのパスワードを変更し、二要素認証の登録先を確認する
• VPN とリモートアクセスを止める
• 貸与端末を回収する
• 入館カードや鍵を回収する

1か月後

• 停止したアカウントで不審なログインの試みがないか確認する
• メールボックスとファイルの保管か削除を実行する
• 棚卸し表を更新する

「本人が帰った後すぐ」と書いたのは、翌日に回すと、その夜の間アカウントが生きているからです。トラブルを抱えた退職の場合は、本人に退職を伝える面談の最中に止める会社もあります。

自社の状態を確かめる

退職者のアカウント管理は、外から見えない部分です。組織の自己診断では、アカウントの管理や退職時の手順を含めた設問で、自社の弱いところを確認できます。顧客情報を扱うサービスの権限については、顧客データの自己診断もあわせて使ってください。

確認に使えるツール

• 組織の自己診断: アカウント管理や退職時の手順を設問で点検します
• 顧客データの自己診断: 顧客情報にアクセスできる人と権限を点検します
• パスワード生成: 共有アカウントの変更後のパスワードを作ります