外部委託の権限回収

この状態なら読む

次のような会社を対象にします。

• 制作会社や保守会社へWebサイト、クラウド、サーバー等の権限を渡している
• 外部委託者や派遣者へSaaSや共有フォルダを使わせている
• 外部業者へVPN、リモート接続、管理画面の権限を渡している
• 契約終了や担当変更に合わせて、その外部者だけを外したい

社員の通常退職だけを扱う場合や、外部業者だけが唯一の管理者で自社に管理権限がないこと自体が主問題の場合は、別の整理が必要です。

このページでは、外部者へ渡したアクセスを契約単位・個人単位・接続経路単位で把握し、不要になった時点で自社側から回収できる状態を目標にします。

社員退職と同じ一覧だけでは足りない

外部委託では、会社の外にある人・端末・システムからアクセスされることがあります。

また、権限を持つ主体も一種類ではありません。

• 委託先の担当者個人
• 委託先の共通アカウント
• 委託先のシステム
• APIや自動処理
• VPNや遠隔保守用の接続
• 共有リンク
• 委託先へ渡した秘密情報

NCSCは、供給者の人やシステムへ与えたアクセスを限定・制御・監視し、定期的に見直して不要になったアクセスを削除するよう示しています。

契約終了時は、この「不要になったアクセス」を人のIDだけでなく、システムや接続経路まで含めて探します。

最初に「会社」「人」「機械」を分ける

契約終了前に、誰へ何を渡したかを3層に分けます。

1. 委託先の会社・組織

例:

• 制作会社A
• 保守会社B
• 会計事務所C
• 派遣会社D

契約先そのものを記録します。

2. 実際に作業する人

同じ委託先でも担当者は変わります。

• 担当者名
• 個別ID
• メールアドレス
• 担当範囲
• 権限
• 利用開始日

を確認します。

「制作会社Aに権限を渡している」だけでは、旧担当者が残っているか判断できません。

3. 人ではないアクセス

次も別に記録します。

• API鍵
• アクセストークン
• サービスアカウント
• SSH鍵
• 証明書
• VPN設定
• 自動連携
• 監視・バックアップ用接続

担当者のアカウントを消しても、これらが残れば接続が継続することがあります。

契約終了前に一覧へ出す

終了当日に探し始めないよう、停止対象を先に一覧にします。

各行について、少なくとも「誰が止めるか」と「いつ止めるか」を決めます。

契約単位と担当者単位を分ける

同じ会社との契約が続いていても、担当者だけ交代することがあります。

この場合に「会社との契約は継続中だから」と旧担当者を残すと、利用者が増え続けます。

担当変更時には次を確認します。

1. 旧担当者の個別IDを外す
2. 新担当者へ必要な権限だけ付ける
3. 共有リンクや共通秘密を旧担当者も知っていないか確認する
4. 管理者ロールを引き継ぐ必要があるか確認する
5. 担当者一覧を更新する

契約先の会社名だけでなく、実際にアクセスする人を確認できる状態にします。

契約終了前: 自社側の管理者を確認する

外部業者の権限を止める前に、自社側だけで管理を継続できるか確認します。

特に次を確認します。

• 自社の管理者アカウントが有効か
• 自社が請求・契約情報へアクセスできるか
• ドメインやDNSを自社で管理できるか
• Webサイトやクラウドの管理者が自社にもいるか
• バックアップや監視の設定を自社で確認できるか
• MFAや復旧先が委託先だけになっていないか
• サービス提供者との連絡先が自社にもあるか

外部業者を外した後で管理画面へ入れなくなる状態は避けます。

契約終了日: 個別IDを止める

利用者別IDを発行している場合は、対象者を明確にして停止します。

確認対象は次です。

• SaaSアカウント
• ゲストアカウント
• 管理者ロール
• グループ所属
• 共有フォルダ
• メールやチャットの参加権限
• クラウド管理権限
• ソースコード管理
• チケット管理
• VPNや遠隔接続

単にログインを止めるだけでなく、管理者ロールや共有先も確認します。

個別IDを発行していなかった場合

外部者が共通IDや共通パスワードを使っていた場合、一人だけ失効できません。

契約終了時には次を確認します。

• 共通資格情報を誰が知っているか
• 残る利用者は誰か
• パスワードや秘密情報を変更できるか
• 既存セッションを終了できるか
• 新しい資格情報を誰へ配るか

変更する場合は、契約終了者へ新しい資格情報が届かない運用にします。

共有状態を今後も続ける必要がなければ、個別IDへ移せるかも確認します。

VPN・遠隔保守経路を別項目にする

SaaSのアカウント一覧だけでは、遠隔保守経路を見落とすことがあります。

• VPNアカウント
• 固定IP許可
• リモートデスクトップ
• リモート保守ソフト
• 踏み台端末
• SSH接続
• ルーターや機器の保守アカウント

を確認します。

「普段使っていないから大丈夫」ではなく、現在接続可能かを基準に見ます。

API鍵・トークン・サービスアカウントを確認する

制作会社や保守会社が自動処理を作った場合、人のアカウント以外に資格情報が残ることがあります。

確認する例:

• API鍵
• OAuth等のトークン
• Webhook用秘密
• サービスアカウント
• SSH鍵
• 証明書
• CI/CD用秘密

すぐ無効化すると業務が止まる場合があるため、何に使われているかを先に確認します。

必要な自動処理が残るなら、自社管理の資格情報へ切り替えた後で旧資格情報を失効させます。

管理者権限は通常作業と分けて確認する

外部業者へ作業上必要な権限を渡していても、契約終了後に管理者権限を残す理由は通常ありません。

次を個別に確認します。

• 組織全体管理者
• サイト管理者
• クラウド管理者
• ドメイン・DNS管理
• 請求管理
• セキュリティ設定
• バックアップ管理
• 端末管理

一般利用権限を外しただけで管理ロールが残っていないかを確認します。

貸与した端末・媒体を回収する

自社から貸与しているものがあれば資産一覧と照合します。

• PC
• スマートフォン
• タブレット
• USBや外付け媒体
• セキュリティキー
• ICカード
• 物理鍵
• 書類

端末回収とアカウント停止は別作業として両方確認します。

委託先側にあるデータ複製を確認する

委託作業のため、委託先の端末や環境にデータを複製している場合があります。

例:

• 顧客データ
• 写真や図面
• データベースのコピー
• ログ
• 設定ファイル
• バックアップ
• 開発用データ

自社から直接消去できない環境では、「消したはず」と推測せず、契約や運用で定めた返却・削除・保持方法を確認します。

必要に応じて、どのデータを渡したか、返却・削除の確認を誰が行ったかを記録します。

このページでは個別契約について法的な結論を出すものではありません。契約条件や保持義務がある場合は、その条件に従って確認します。

共有リンクも回収対象にする

外部共有リンクは、個別アカウントを停止しても別に残る場合があります。

• 委託先向けに作ったリンク
• URLを知っている人が使えるリンク
• 一時的に公開したファイル
• 外部共有フォルダ

を確認します。

必要がなくなったリンクは無効化し、継続共有が必要なら新しい共有先や権限へ切り替えます。

契約終了後: 残存アクセスを確認する

終了処理を実施した後に、もう一度一覧を見ます。

確認例:

• 旧担当者が利用者一覧に残っていないか
• 外部ゲストが残っていないか
• 管理者ロールが残っていないか
• VPNアカウントが残っていないか
• API鍵やサービスアカウントが残っていないか
• 共有リンクが残っていないか
• 自社だけで管理を継続できるか

「作業した」ではなく、「残っていないことを確認した」までを終了手順に含めます。

ログがある場合は終了前後を確認する

利用サービスでログを確認できる場合は、契約終了前後の記録を確認できるようにします。

目的は外部業者を疑うことではなく、停止時刻や最終利用を後から確認できる状態を作ることです。

• 最終ログイン
• 管理設定変更
• ファイル操作
• VPN接続
• 管理画面へのアクセス

等、利用できるログの範囲を確認します。

定期棚卸しへつなげる

契約終了時だけ確認すると、担当変更や短期作業で追加された権限が長期間残ることがあります。

定期的に次を一覧化します。

不要なものを契約終了まで待たずに外せる状態にします。

次回から記録しておく最小項目

外部者へ新しく権限を渡すときは、少なくとも次を残します。

• 委託先会社名
• 実際の利用者
• 付与したID
• 対象サービス
• 権限範囲
• 遠隔接続の有無
• API鍵等の有無
• 利用開始日
• 契約または作業の終了予定
• 自社側責任者
• 回収方法

「誰に何を渡したか」が分かれば、契約終了時の探索作業が減ります。

最小の終了手順

時間が限られている場合は、次の順序で確認します。

1. 委託先の会社・担当者・機械アクセスを一覧にする
2. 自社側の管理者が残っていることを確認する
3. 個別ID・ゲスト・管理者権限を止める
4. VPN・遠隔保守経路を止める
5. API鍵・トークン等を切り替え、不要なものを失効する
6. 共有リンクと外部共有を見直す
7. 貸与物を回収する
8. 委託先側のデータ複製の扱いを確認する
9. 終了後に残存アクセスを再確認する
10. 次回の棚卸し対象へ記録を残す

この状態を目標にする

契約終了後は、次の状態を目標にします。

• 終了した委託先・担当者が自社システムへ入れない
• 不要な遠隔接続が残っていない
• 不要なAPI鍵・秘密情報が残っていない
• 自社だけで必要な管理を継続できる
• 共有先を自社側で確認できる
• 誰へ何を渡したか記録が残っている
• 担当変更時も旧担当者だけを外せる

外部委託を避けることが目的ではありません。必要な期間だけ必要なアクセスを渡し、不要になった時点で自社側から回収できる運用にすることが目的です。