Advangeで中小企業のお客さまとIT運用についてお話しするなかで、アカウントや共有権限を見直す担当者と、作業記録の残し方が話題になりました。Microsoft 365のセキュリティを確認しようにも、誰が設定したのか、今は誰に聞けばよいのかが分からず、現状を調べるところから時間がかかる場合があります。
専任のIT管理者がいない企業では、設定の不足だけでなく、「誰が確認し、誰が判断するか」が決まっていないことで、対応が抜けやすくなります。
今回は、アカウント、MFA、共有権限に絞って、確認したい点を整理します。取引先への説明やSCS評価制度への準備も見据え、作業後に残しておきたい記録についても取り上げます。
最初に、利用者一覧と在籍者を照らし合わせる
Microsoft 365のセキュリティ点検では、まず利用者一覧と在籍者を照らし合わせます。退職者のアカウントが残っている場合は、本人が引き続きアクセスできる状態になっていないかを確認し、サインインのブロックや既存セッションの失効など、アクセスを遮断する対応が済んでいるかを調べます。一方、アカウントの削除は、メールやOneDriveのデータの引き継ぎ、必要な保存を確認してから判断します。後任者が業務に必要な情報を、まだ取り出していないかもしれません。
Microsoftの案内でも、アクセスの遮断、データの保存・引き継ぎ、ライセンスの削除は、それぞれ別の作業として整理されています。
利用者一覧と在籍者を照らし合わせながら、次の点を確認します。
- 退職日に合わせてアクセスを遮断できるか
- メールやファイルの引き継ぎ先が決まっているか
- 管理者権限を持つ人と、その権限が必要な理由を把握しているか
ここで一緒に決めておきたいのが、退職時の連絡先です。総務から誰へ連絡し、誰が停止作業を行い、誰が完了を確認するのか。設定を直しても、次の退職時に連絡が届かなければ、同じところで処理が抜けてしまいます。
MFAは、登録した人の数だけで判断しない
Microsoft 365のセキュリティを確認する際、多要素認証（MFA）は、認証アプリの登録人数だけでは判断できません。どの利用者に、どのような条件でMFAを求める設定になっているか、実際の適用状況まで確認します。Microsoftの「セキュリティの既定値群」は、基本的な保護を適用するための選択肢の一つです。ただし、有効化する前に、現在の認証設定と、業務で使っている接続への影響を確認する必要があります。旧式の認証をブロックするため、その方式に依存するメールソフトやメール送信機器などがあれば、接続できなくなる可能性があります。
確認したいのは、次の点です。
- MFAの対象と実際の適用状況が分かるか
- 対象外になっているアカウントがあれば、その理由を説明できるか
- 認証設定の変更によって影響を受ける業務や機器がないか
既に別の方法でMFAを管理している場合もあるため、現在の設定を把握してから変更方法を決めます。影響がある接続は、利用部門と切り替え方法や日程を調整します。
設定後につながらなくなってから調べるよりも、事前に対象を洗い出しておくほうが、業務への影響を見通しやすくなります。
取引が終わった後も、資料を開ける状態になっていないか
Microsoft 365のセキュリティでは、社外に共有した資料のアクセス権も確認対象です。OneDriveやSharePointで共有した見積書や顧客資料は、取引終了後に共有を続ける必要があるかを見直します。共有した担当者が異動していると、アクセス権が残っていても気づきにくくなります。管理画面では、誰に閲覧・編集の権限があるかを確認できます。ただ、その相手に今も資料を見てもらう必要があるかは、権限の一覧だけでは判断できません。取引を担当する部署への確認が必要です。
ここでは、業務担当者と設定を変更する担当者の役割を分けて考えます。業務担当者が共有を継続する必要性を判断し、その結果に基づいて、権限を持つ管理担当者が設定を変更します。
全社分を一度に調べるのが難しければ、まずは顧客資料や契約書など、機密性の高い情報の保存先から確認します。
- 社外の誰がアクセスできるか
- 共有リンクや直接付与した権限が残っていないか
- 共有を継続する必要があるか
- 継続する場合、誰が次回の見直しを担当するか
確認した結果と変更点を残しておけば、次の担当者も判断の経緯を追いやすくなります。
変更内容だけでなく、保留の理由も残す
アカウントを停止したり、共有権限を変更したりしたら、対象、作業日、実施者、変更内容を記録します。業務部門の判断を受けて変更した場合は、その確認先も分かるようにしておきます。取引先から対策状況を聞かれたとき、作業した本人を探さなくても、記録から実施内容を確認できる状態が望ましいと考えています。
私が運用報告書で確認したいのは、完了した作業だけではありません。保留の理由、判断を待っている相手、次に対応する担当者まで分かるかを見ています。
例えば「共有権限を確認中」とだけ書かれていても、何を待っているのかは分かりません。「営業部に共有継続の要否を確認中。回答後に管理担当者が権限を変更する」とあれば、次の動きが明確になります。回答を確認する予定日もあれば、対応が止まったままになることを防ぎやすくなります。
| 記録する内容 | 残しておきたい情報 |
| 完了した作業 | 対象、作業日、実施者、変更内容、必要に応じた確認結果 |
| 判断待ちの作業 | 保留の理由、確認先、次の対応者、確認予定日 |
| 継続する例外 | 例外とする理由、承認者、見直し時期 |
社内で判断することと、外部に任せる作業を整理する
専任のIT管理者がいなくても、確認や設定変更をすべて社内だけで抱える必要はありません。一方で、退職者のデータを誰に引き継ぐか、取引先との共有を続けるかといった判断には、社内の事情を把握している人の関与が欠かせません。まずは、今回取り上げたアカウント、MFA、共有権限について、現在の状態を確認する担当者と、変更の要否を判断する人を決めることから始めます。外部に作業を任せる場合も、依頼先、承認方法、完了報告の受け取り方まで決めておくと、対応を継続しやすくなります。
まずは、今回取り上げたアカウント、MFA、共有権限の3点について、現在の状態を確認する担当者と、変更の要否を判断する人を決めるところから始めてみてください。取引先の確認票や現在の運用報告書があれば、Advangeがその整理をお手伝いします。設定の見直しが必要な箇所、社内で判断する事項、外部に任せたい作業を一緒に切り分けます。
参考資料
Microsoft 退職者のアクセス停止とデータの引き継ぎMicrosoft セキュリティの既定値群
Microsoft SharePointとOneDriveの共有設定
参照日 2026年10月26日
