この記事のポイント（結論を先に）
- IPAは「利用者IDや権限の削除は、雇用終了直後に速やかに実施することが肝要」としています。翌月の棚卸しでは遅い、という意味です。
- 残るのは社内システムではありません。部署が個別に契約したクラウドサービスと、外部サービスのオーナー権限（Googleビジネスプロフィール、SNS、ドメイン）です。
- 個人情報保護法では、アクセス制御とアクセス者の識別・認証は「講じなければならない措置」です。放置されたIDは、この措置が機能していない状態そのものになります。
退職手続きのチェックリストに「PC返却」「入館証返却」と並んで、「アカウント削除」の1行を入れている会社は多いはずですが、実は問題はその1行が指す対象が、会社の実態からするとまったく足りていないことにあります。
ここではIPAのガイドラインと個人情報保護法のガイドラインに何が書かれているかを確認したうえで、中小企業の現場で実際に見落とされている項目をお伝えしますね。
退職者は、統計上いちばん大きな漏えい経路
IPAの「組織における内部不正防止ガイドライン」第5版は、背景の説明で営業秘密の漏えい経路の調査結果を引用しています。中途退職者（役員・正規社員）による漏えいが36.3%で最も多く、現職従業員等の誤操作・誤認等による漏えいが21.2%、ルール不徹底による漏えいが19.5%と続きます。
外部からの攻撃に目が向きがちですが、営業秘密という切り口で見たとき、最大の経路は退職者です。
（数値の出典はIPA「企業における営業秘密管理に関する実態調査2020」。同ガイドライン第5版が引用しているものです）
IPAが求めていること
ガイドラインは「（２４）雇用終了及び契約終了による情報資産等の返却」で、対策のポイントを列挙しています。IDについての記述は以下のとおりです。
情報システムから元役職員の利用者ID や権限が削除されたことを確認することが必要です。これには、テレワークを行うために元役職員に付与した権限も含みます。利用者ID や権限の削除は、雇用終了直後に速やかに実施することが肝要です。
IPA「組織における内部不正防止ガイドライン」第5版（2022年4月6日公開）（出典）
注目したいのは「削除されたことを確認する」という書き方です。削除の依頼を出したことではなく、消えている事実を確かめるところまでが対策になっています。そして「テレワークを行うために付与した権限も含む」とわざわざ書かれているのは、そこが抜けるからです。
もう1点、同じ項に見落としやすい記述があります。
雇用終了間際に情報の持ち出し等の内部不正が発生しやすいことから、雇用終了前の一定期間から、PC 等をシステム管理部門等の管理下に置くことが望まれます（例：アクセス範囲の限定、USB メモリの利用制限、モニタリングの強化等）。
IPA「組織における内部不正防止ガイドライン」第5版（出典）
つまり対策の始点は退職日ではなく、退職の申し出があった時点だということです。
法令の面から見ると
個人情報を扱っている会社であれば、これは努力目標ではありません。個人情報保護委員会のガイドライン（通則編）は、技術的安全管理措置として次を「講じなければならない措置」と定めています。
（1）アクセス制御 担当者及び取り扱う個人情報データベース等の範囲を限定するために、適切なアクセス制御を行わなければならない。（2）アクセス者の識別と認証 個人データを取り扱う情報システムを使用する従業者が正当なアクセス権を有する者であることを、識別した結果に基づき認証しなければならない。
個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン（通則編）」令和8年6月一部改正（出典）
退職者のIDが生きているということは、すでに従業者でない人がアクセス権を持っているということです。「担当者の範囲を限定する」も「正当なアクセス権を有する者であることを認証する」も、成立しなくなります。
なお同ガイドラインは、中小規模事業者向けにより現実的な手法も示しています。アクセス制御については「個人データを取り扱うことのできる機器及び当該機器を取り扱う従業者を明確化し、個人データへの不要なアクセスを防止する」、識別と認証については「機器に標準装備されているユーザー制御機能（ユーザーアカウント制御）により…従業者を識別・認証する」と例示しています。高価な仕組みを入れなくても始められる、という趣旨です。
実際に消し忘れるのは、この7か所
ここからは当社が中小企業のIT環境を確認したときに、実際に「残っていた」項目です。上から2つは大半の会社が対処できています。抜けるのは3番目から下の項目です。
| 項目 | 具体例 | 見落とす理由 |
|---|---|---|
| 1. 業務PCのアカウント | Windowsのローカルアカウント、管理者権限 | PCが手元に戻ってくるので後回しにされる |
| 2. メール・グループウェア | Microsoft 365、Google Workspace | 止めると取引先からのメールが宙に浮くため保留される |
| 3. 部署が個別に契約したクラウド | 会計、勤怠、名刺管理、チャット、デザインツール、ファイル転送 | 情シスや総務の台帳に載っていない。契約者本人が退職者のこともある |
| 4. 外部サービスのオーナー権限 | Googleビジネスプロフィール、SNSアカウント、ドメイン登録、レンタルサーバ、広告アカウント | 「アカウント」と認識されていない。担当者の個人Googleアカウントに紐づいている |
| 5. リモート接続の権限 | VPN、リモートデスクトップ、社外からの共有フォルダ接続 | テレワークのときに臨時で付けたまま棚卸しされていない |
| 6. 共有アカウント | 部署共用のID、代表メールアドレス、店舗共通のログイン | 本人のIDを消しても、共有IDのパスワードを覚えたまま退職する |
| 7. 多要素認証の登録端末 | 認証アプリ、SMSの受信番号 | 本人の私物スマホが会社アカウントの認証器のまま残る |
実は4番は特に厄介です。
担当者が自分のGoogleアカウントで店舗のビジネスプロフィールを作っていた場合、その人が辞めるとオーナーが社外の個人になります。取り戻す手順はGoogleビジネスプロフィールを代理店に握られたときの取り戻し方と同じで、Googleの申請に乗せることになり、時間がかかります。
6番については、そもそも共有アカウントをどう減らしていくかという話になります。MFAとあわせた進め方は中小企業のパスワード管理と多要素認証（MFA）にまとめています。
台帳がない会社が、使っているサービスを洗い出す方法
「何を契約しているか分からない」という状態から始める場合、現実的なのはお金の流れから辿る方法です。
- 法人カードの明細を12か月分並べる。毎月・毎年の定額課金が、そのまま使用中のサービス一覧になります。
- 経理の支払記録を突き合わせる。銀行振込や口座振替のものはカード明細に出ません。
- 代表メールと総務のメールを「請求」「invoice」「更新」で検索する。無料プランのサービスはお金の流れに出ないため、通知メールから拾います。
- 拾ったサービスごとに、管理者が誰かを確認する。管理者が退職者本人だったものが、いちばん危険なものです。
従業員のPCやブラウザに保存されたパスワード一覧を見て回る、という方法は取りません。在職中の私的な情報まで見えてしまい、別の問題を生みます。会社として辿るなら、契約と請求からです。
順番の型：申し出・当日・翌日
対策の始点が退職日ではないことを、時間軸に置くと分かりやすくなります。
「削除」ではなくまず「無効化」にするのは、引き継ぎ漏れが出たときに戻せるようにするためです。ただし無効化のまま何年も放置するのは、削除漏れと変わりません。一定期間の後に消すところまでを手順に書きましょう。
IPAは人事面についても、「（２３）雇用終了の際の人事手続き」で、退職後の元役職員による漏えい等が発生しないよう、必要に応じて秘密保持義務を課す誓約書の提出を求めなければならない、としています。個人情報保護委員会のガイドラインも、人的安全管理措置の手法の例として「個人データについての秘密保持に関する事項を就業規則等に盛り込む」を挙げています。技術面と書面の両方が揃って対策になります。
自社の状態を確かめるところから
この手順は、専任のIT担当がいなくても回せる形にしてあります。ただし、いま何が残っているかの把握には棚卸しの手間がかかります。社内にIT担当がいない会社の進め方は社内にIT担当者がいない会社が今すぐすべきこと、外部に任せる場合の費用感は情シス代行とは？費用相場・対応範囲・選び方にまとめています。全体像は中小企業のIT・DX完全ガイドから辿れます。
外側から見える範囲であれば、すぐに確認できます。自社サイトのドメインを入れるだけで、公開されている設定の弱点を無料で点検できるツールを公開しています。
参考・出典
参考・出典:
・IPA「組織における内部不正防止ガイドライン」第5版（2022年4月6日公開／2025年5月19日最終更新）：https://www.ipa.go.jp/security/guide/insider.html
・IPA「企業における営業秘密管理に関する実態調査2020」（上記ガイドライン第5版が引用する漏えい経路の数値の出典）：https://www.ipa.go.jp/files/000089192.pdf
・個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン（通則編）」令和8年6月一部改正：https://www.ppc.go.jp/personalinfo/legal/guidelines_tsusoku/
・（いずれも2026年8月14日閲覧）
この記事に関連するよくある質問
退職者のアカウントは、いつ止めればよいですか？
IPA「組織における内部不正防止ガイドライン」第5版（2022年）は「利用者ID や権限の削除は、雇用終了直後に速やかに実施することが肝要です」としています。翌月の棚卸しにまとめるのでは遅い、という意味です。同ガイドラインは、雇用終了間際に情報の持ち出しが起きやすいことも指摘しています。そのうえで、雇用終了前の一定期間はPCなどをシステム管理部門の管理下に置き、アクセス範囲を限定することが望ましいとしています（出典：IPA「組織における内部不正防止ガイドライン」第5版 2022年4月）。
社内システムのアカウントを消せば十分ですか？
足りないことが多いです。実際に残るのは、部署が個別に契約したクラウドサービス、外部サービスのオーナー権限（Googleビジネスプロフィール・SNS・ドメイン）、リモート接続の権限、共有アカウントのパスワード、多要素認証の登録端末です。台帳に載っていないものほど残ります。
契約しているサービスの一覧がありません。どうやって洗い出しますか？
お金の流れから辿るのが現実的です。法人カードの明細を12か月分並べ、経理の支払記録と突き合わせ、代表メールを「請求」「invoice」「更新」で検索します。そのうえで、管理者が誰かを確認します。管理者が退職者本人になっているものが最も危険です。
アカウントは削除と無効化のどちらがよいですか？
まず無効化をおすすめします。引き継ぎ漏れが出たときに戻せるためです。ただし無効化のまま放置するのは削除漏れと変わりません。一定期間の後に削除するところまでを手順に書いてください。