機器の管理権限

この状態なら読む

次のような会社を対象にします。

• ルーター、Wi-Fi、NAS、VPN、UTM等をPC業者・保守会社が設定した
• 機器の管理画面や管理者IDを自社では把握していない
• 障害が起きると業者へ電話し、遠隔操作で直してもらっている
• 遠隔保守に何のソフトや接続方式を使っているか分からない
• 業者変更や契約終了時に、自社だけでは設定を引き継げない

専門業者へ保守を委託すること自体は不自然ではありません。

問題は、何を管理してもらっているか、どこから遠隔接続されるか、どの権限を誰が持つかを自社が説明できない状態です。

このページでは、業者による運用を維持したまま、自社側に最低限の可視性と停止権限を持たせる方法を整理します。

最初に機器と管理経路を一覧にする

最初から設定変更を始める必要はありません。

まず、何が存在するかを一覧にします。

ここで重要なのは、IPアドレスや細かい設定値を最初から全部理解することではありません。

「何という機器・サービスを、誰が、どこから管理しているか」が分かれば、次の確認へ進めます。

自社用管理者と業者用アカウントを分ける

管理画面に複数アカウントを作れる場合は、自社用と業者用を分けます。

NCSCは、第三者の遠隔アクセスについて、最小権限にし、認証済み利用者が必要なシステムだけへ到達できるよう制約することを推奨しています。

小規模事業者でも、考え方は同じです。

たとえば、

• 自社用の管理者アカウントを保持する
• 業者には業者専用アカウントを発行する
• NAS保守担当にルーター全体の管理権限まで与えない
• 閲覧だけで足りる作業なら変更権限を付けない
• 契約終了時は業者アカウントだけ停止できるようにする

といった分け方です。

機器によっては複数アカウントを作れない場合があります。その場合は、機器の制約として記録し、パスワード保管や変更手順を別途決めます。

共通の管理者パスワードを電話やメールで渡し合わない

「業者も社内も同じadminアカウントを使う」状態では、後から誰が操作したか分かりにくくなります。

NCSCは、遠隔保守担当者にMFAを使わせ、資格情報を共有しないことを推奨しています。

可能なら、

• 個別アカウント
• 個別MFA
• 業者専用の権限

を使います。

難しい機器では、少なくとも、

• 共通資格情報をどこで保管しているか
• 誰が知っているか
• 業者変更時に誰が変更するか
• 変更すると何へ影響するか

を記録します。

遠隔保守経路を「あるかないか」で終わらせない

遠隔保守にはさまざまな形があります。

たとえば、

• VPN経由で社内ネットワークへ接続する
• ルーターやUTMのクラウド管理画面へ接続する
• PCへ遠隔操作ソフトを常駐させる
• NASメーカーの中継サービスを使う
• 業者の管理サーバーから複数顧客を一括管理する

といった形です。

自社では、最低限次を確認します。

• 何のサービスを使うか
• 常時接続か、必要時だけか
• 誰のアカウントで接続するか
• MFAがあるか
• どの機器・ネットワークまで到達できるか
• 接続履歴を確認できるか
• 自社側で停止する方法があるか

「遠隔で見てもらえます」だけでは、管理経路を把握したことにはなりません。

常時開けておく必要がない経路は必要時だけ使う

NCSCは、第三者の遠隔管理について、対応中のサポート作業に関連する場合だけ有効化する必要時管理を検討するよう推奨しています。

すべての会社で毎回手動接続にする必要はありません。

ただし、使用頻度の低い保守経路が常時有効な場合は、次を検討します。

• 普段は無効化できるか
• サポート依頼時だけ有効化できるか
• 有効化したまま戻し忘れない仕組みがあるか
• 契約終了時に一括で停止できるか

一方、監視や自動更新等のため常時接続が必要な場合は、その理由と管理主体を記録します。

「業者しかログインできない」状態を減らす

障害対応を業者へ任せる場合でも、自社がすべての設定を変更できる必要はありません。

ただし、少なくとも次のどれかは確保します。

• 自社用管理者アカウント
• 緊急時に管理権限を回復できる手順
• メーカー・サービスへの自社契約情報
• 設定のバックアップ
• 契約終了時に管理権限を移管する条項・手順

「業者の担当者が知っているから大丈夫」だけにしないことが重要です。

設定情報は全部を平文で保管しなくてよい

引継ぎのために、すべての管理者パスワードをExcelへ並べる必要はありません。

一覧には、

• 機器名
• 型番
• 設置場所
• 管理方法
• 管理者アカウントの所在
• 資格情報の保管場所
• 遠隔保守経路
• 契約先
• 問い合わせ先
• 設定バックアップの所在

を記録します。

秘密情報そのものは、別の安全な保管方法を使います。

NASは「ファイル置き場」と「管理対象」を分けて見る

NASは共有フォルダとして日常利用していても、裏側では管理対象の機器です。

確認したいのは、

• 管理者は誰か
• ファームウェア更新を誰が行うか
• 外部から接続できるか
• バックアップ先はどこか
• ディスク故障時の復旧手順
• 設定バックアップがあるか
• 業者しか知らない共有・管理設定がないか

です。

データのバックアップと、NAS機器自体の管理権限は別問題として扱います。

Wi-FiもSSIDとパスワードだけでは足りない

Wi-Fiについては、利用者が知っている接続パスワードと、機器を設定する管理者資格情報を分けます。

確認したいのは、

• 誰がSSIDを変更できるか
• 誰が管理者パスワードを変更できるか
• 来客用ネットワーク等の分離があるか
• クラウド管理の場合、契約主体は誰か
• 古い業者アカウントが残っていないか

です。

契約終了時の手順を平常時に決める

業者変更時に必要な作業を、契約終了後に初めて考えると止まりやすくなります。

平常時に次を確認します。

• 業者アカウントの停止
• 遠隔保守ソフトの無効化・削除
• VPN資格情報の失効
• 管理者パスワードの変更
• クラウド管理者の移管
• 設定バックアップの受領
• 機器一覧・構成図の受領
• ライセンス・保守契約の名義確認

業者を疑うためではなく、担当者交代や契約変更でも継続できるようにするための通常手順として用意します。

障害時に必要な最低情報を残す

ネットワークが止まったとき、最初に必要なのは高度な設計書ではなく、誰へ何を伝えるかです。

最低限、

• 回線事業者
• ルーター・UTMの型番
• NASの型番
• 保守会社の連絡先
• 契約番号や顧客番号の所在
• 管理画面の場所
• 設定バックアップの場所
• 直近の構成変更

を確認できるようにします。

会社側で持つべき最低ライン

小規模な会社でも、少なくとも次が説明できる状態を目指します。

• 何の機器・サービスがあるか
• 誰が管理者か
• 業者はどの経路から遠隔接続するか
• 業者の権限はどこまでか
• 自社側の管理者または回復経路は何か
• 遠隔保守を停止する方法は何か
• 契約終了時に何を失効・削除・受領するか

専門業者へ運用を任せることと、自社が管理責任の所在を把握することは両立します。

自社で全部設定できることではなく、外部業者の管理経路と権限を把握し、必要なら止めて引き継げることを最低ラインにします。