全員が管理者、をやめる。最小権限の考え方と役割ごとの分け方

結論

全員に管理者権限を渡すのをやめてください。理由は、社員を疑うからではありません。誰か1人の端末やアカウントで問題が起きたとき、届く範囲がそのまま被害の範囲になるからです。

最小権限とは、「その人が担当する仕事に必要な範囲だけを渡す」という考え方です。運用は難しくありません。役割を4つか5つ決め、新しく入る人をそのどれかに当てはめ、変わったときに付け替える。これだけです。

全員が管理者だと何が起きるか

管理者権限があるアカウントは、ソフトを入れられ、設定を変えられ、他の人のデータを見られ、消せます。便利ですが、その便利さは本人以外にも働きます。

不正なプログラムが動いたとき、一般利用者の権限なら、その人が触れるファイルまでで止まります。管理者権限なら、共有フォルダ全体や、他の端末の設定にまで届きます。同じ出来事でも、後始末の規模がまったく変わります。

日常の事故も増えます。設定を触れる人が多いほど、「誰がいつ何を変えたか」が分からなくなります。ある日プリンタが動かなくなり、原因を探しても、変更した本人にも心当たりがない。小さな会社でよく起きる話です。

退職時にも効いてきます。管理者だった人が辞めると、その人が作った設定、その人しか知らない共有アカウント、その人の権限で動いていた自動処理が残ります。渡す範囲を絞っておくほど、引き継ぎは軽くなります。

最小権限の原則とは

必要な人に、必要な範囲を、必要な期間だけ渡す。これが原則です。3つの要素があります。

• 誰に。役職ではなく、担当している仕事で決めます
• どこまで。見るだけでよいのか、直す必要があるのか、消す必要があるのかを分けます
• いつまで。期間限定の仕事なら、終わったら外します

3つ目を入れると運用が続きます。「決算のあいだだけ会計データを見られるようにする」「案件が終わるまで、この共有フォルダに入れる」という形にしておくと、権限が自然に減っていきます。

役割ごとの分け方

まず4つか5つの役割を決めます。人数が10人程度の会社なら、次の分け方で足ります。

経理と人事を分けているのは、扱う情報の性質が違うからです。給与は人事の情報でもあり経理の情報でもありますが、評価や健康に関する記録まで経理が見られる必要はありません。逆に、取引先ごとの売上や粗利を人事が見る必要もありません。

「閲覧のみ」は使いどころが多い役割です。パートやアルバイト、短期の応援、監査や税理士など社外の人、そして「一応見えていたほうが便利」と言われる場面に当てます。見えるだけで足りる場面は、思っているより多くあります。

管理者権限の持ち方

管理者は、人数を絞ったうえで、次の2つを守ります。

1. 管理者アカウントで日常業務をしない。メールもブラウザも一般利用者の権限で使い、設定変更のときだけ管理者になる
2. 管理者は2人以上にする。1人だけだと、その人が休んだ日に何もできず、辞めた日に誰も入れなくなる

2番は、最小権限と矛盾するように見えますが、そうではありません。権限の広さを絞ることと、持つ人を1人にすることは別の話です。1人に集中させると、退職や病気のときに会社が止まります。

管理者アカウントには、例外なく多要素認証を設定する運用にします。あわせて、誰が管理者かを書いた一覧を作り、半年に1回見直してください。

実務ではこうなる

5人の会社

全員が何役もこなすので、役割は3つで足ります。管理者2人、一般利用者、閲覧のみです。そのうえで、会計データと給与データの2つだけ、見られる人を名指しで限定します。

パスワードを共有している業務システムがあるなら、まずそこから個別のアカウントに分けます。共有アカウントのままだと、誰が何をしたかが残らず、退職のたびに全員のパスワードを変えることになります。

20人の会社

部署ごとに一般利用者の範囲を分けます。営業は顧客と受注、製造は図面と在庫、事務は請求と経費、という形です。共有フォルダの権限も、この区切りに合わせます。

このくらいの規模になると、「例外」が増えます。営業だが経費の確認もする、事務だが図面を印刷する。例外はどの会社でも出るので、その都度の口約束にせず、「誰に、どこまで、いつまで」を一覧に足してください。一覧が1枚あるだけで、半年後に説明できます。

勤怠や人事のデータ

勤怠の記録は、本人と、承認する上長と、集計する担当だけが見られれば足ります。他の部署の出退勤を全員が見られる設定は、便利さよりも気まずさを生みます。勤怠の仕組みを入れるときは、誰がどこまで見られるかを最初に決めてください。

入社・異動・退職の手順

権限の事故は、変更のときに起きます。手順を決めておいてください。

1. 入社時。役割を1つ選び、その役割の権限だけを渡す。「とりあえず全部」を作らない
2. 異動時。新しい権限を足す前に、古い権限を外す。足す作業は覚えていても、外す作業は忘れられます
3. 退職時。当日にアカウントを止める。本人が知っていた共有アカウントのパスワードを変える
4. 委託先や短期の応援。終了日を決めてから渡す。終了日に外す

3番は、「最終出社日」や「退職日のあたり」とあいまいにせず、アクセスを止める日を日付で決めてください。「もう来ないから大丈夫」で残したアカウントは、誰も見ていない状態で生き続けます。

注意点

絞りすぎると業務が止まります。権限がないせいで作業が進まず、結局「管理者に頼む」が常態化すると、管理者の仕事が増えるだけで安全にもなりません。3か月に1回、現場に「足りない権限はないか」を聞く場を作ってください。

もう1つ、権限を分けたつもりで分かれていない例があります。共有フォルダの権限は分けたが、そのフォルダの中身をコピーしたファイルが誰でも見える場所に置かれている、という状態です。権限は、置き場所を含めて考える必要があります。

承認者が1人だけ、という状態も見直してください。その人が休むと業務が止まり、急いでいるときに権限を一時的に広げる、という運用が生まれます。一時的に広げた権限は、たいてい戻されません。

まとめ

役割を4つか5つ決め、新しく入る人をそのどれかに当てはめます。管理者は人数を絞り、日常業務には使わず、多要素認証を設定し、2人以上にします。経理と人事は扱う情報が違うので分けます。閲覧のみを積極的に使います。そして、渡すときより外すときのほうが大事です。異動と退職の手順を、先に決めてください。