退職者のセキュリティ管理が不十分だと、企業の情報漏えい事故につながる可能性があります
企業のセキュリティ事故というと、外部からのハッキングやランサムウェアを真っ先に思い浮かべる方も多いのではないでしょうか。しかし、実際の企業環境では、正規の権限を持つ内部関係者による情報漏えいも、重要なセキュリティリスクとして管理する必要があります。
社内の従業員は、業務を遂行するために、顧客情報や営業資料、プロジェクト文書などの重要情報にアクセスできます。そのため、アクセス権限の管理が適切に行われていなかったり、退職後も従来の権限が残っていたりすると、予期せぬ情報漏えいにつながるおそれがあります。
そのため、情報資産を取り扱っていた従業員や、主要なシステムへのアクセス権限を持っていた従業員、外部関係者、協力会社の社員などが退職または契約終了となる場合には、既存の権限や会社の資料が残らないよう、適切なセキュリティ管理手順を整備する必要があります。退職者のセキュリティ管理は、単にアカウントを削除するだけで完了するものではありません。使用していた情報資産の回収、アクセス権限の削除、会社の資料が外部に持ち出されていないかの確認など、一連のプロセスを含めて管理する必要があります。
本記事では、退職者が発生した際に確認すべきセキュリティ管理の手順と点検項目を、退職者向けセキュリティチェックリストとともに解説します。
退職者が発生した際に必ず確認すべきセキュリティ管理チェックリストとは？
退職者のセキュリティ管理とは、退職後に発生する可能性のある情報漏えいや不正アクセスを防ぐための手続きです。特に、重要情報にアクセスしていた従業員や外部人材については、退職のタイミングに合わせて情報資産とアクセス権限を体系的に管理する必要があります。
（1）アクセス権限を削除するタイミングと対象の確認
退職者が発生した場合、まずは対象者がどのシステムや情報にアクセスできる状態だったのかを確認する必要があります。
管理対象は、従業員の退職や休職だけでなく、外部関係者や臨時スタッフの契約終了、協力会社の社員の退職や担当者変更なども含まれます。特に、顧客情報や営業資料、社内文書などの重要情報にアクセスできるユーザーが退職する場合は、退職日が確定した段階からアクセス権限の削除計画を立てることが重要です。
例えば、営業部長が退職する予定であるにもかかわらず、メールやグループウェア、顧客管理システムのアクセス権限がそのまま残っていると、退職前に顧客情報や営業資料を閲覧したり、別の場所に保存したりする可能性があります。また、退職後もアカウントが有効な状態であれば、会社が把握していないうちに資料を閲覧・ダウンロードされるおそれもあります。
そのため、退職時には対象者がどのシステムにアクセスできたのかを確認し、退職のタイミングに合わせて不要なアクセス権限を削除する手順を整備する必要があります。
（2）情報資産の回収
退職または契約終了時には、使用していた情報資産を回収する必要があります。情報資産には、入館証（IDカード）、PC、ノートPC、外部記憶媒体、重要書類、重要ファイルなどが含まれます。
特に、業務用PCやノートPCを回収したとしても、退職者が事前に重要ファイルを個人の記憶媒体や外部環境に移動していた場合、会社側でそのデータの所在を把握することは困難です。
そのため、物理的な機器の返却状況を確認するだけでなく、退職前後のファイル持ち出し履歴や外部ストレージへのデータ移動の有無も確認する必要があります。また、個人の記憶媒体やクラウドストレージなどに会社の資料が保存されている場合は、削除や返却が適切に行われたかを確認することが重要です。
（3）物理的なアクセス権限の削除
退職時には、情報システムのアカウントだけでなく、社内施設への物理的なアクセス権限も併せて削除する必要があります。
オフィスやセキュリティエリアへの入室に使用するアカウントやアクセス権限が残っていると、退職後も制限区域に立ち入られる可能性があります。
特に、重要施設やセキュリティエリアへのアクセス権限は、企業内部の資産保護に直結するため、退職のタイミングに合わせて必ず確認し、適切に削除することが重要です。
（4）情報システムへのアクセス権限の削除
退職者の情報システムへのアクセス権限も、必ず削除する必要があります。
管理対象となるのは、サーバー、データベース、Webサービス、メール、ネットワーク機器、VPNなどに登録されているアカウントです。アクセス権限を削除する際には、使用していたアカウントを削除または無効化し、必要に応じてアカウントのパスワードを変更する方法で管理できます。
例えば、退職者が管理者権限を持っていたにもかかわらず、そのアカウントが残っていたり、共有アカウントのパスワードが変更されていなかったりすると、退職後もシステムにアクセスされる可能性があります。
そのため、一般ユーザーのアカウントだけでなく、管理者権限を持つアカウントや共有アカウントについても併せて点検することが重要です。
（5）退職時のセキュリティ誓約書の作成
セキュリティ誓約書とは、情報資産を取り扱う、またはアクセス権限を付与されるユーザーが、企業のセキュリティポリシーや情報保護に関する義務を明確に認識するための文書です。
セキュリティ誓約書には、会社の重要情報の保護、秘密保持義務、セキュリティポリシーの遵守事項、違反した場合の責任などを盛り込む必要があります。また、従業員だけでなく、臨時スタッフ、外部関係者、協力会社の社員など、情報資産にアクセスする可能性のある対象者にも、セキュリティ上の義務を周知することが重要です。
特に、従業員の退職や、臨時スタッフ・外部関係者・協力会社の社員などの契約終了時には、既存のセキュリティ誓約の内容を改めて確認し、退職後も会社の情報を保護する義務が継続することを明確に伝える必要があります。
退職時のセキュリティ誓約書には、顧客情報、営業資料、契約資料、プロジェクト資料、技術資料などの重要情報を外部に公開したり、私的な目的で利用したりしないことに加え、個人のメール、個人用クラウドストレージ、個人の記憶媒体などに保存された会社の資料を削除・返却することも盛り込むとよいでしょう。
退職者による情報漏えいリスクを、オールインワンPCセキュリティサービス「EXOセキュリティ」で防止！
退職者のセキュリティ管理では、アクセス権限の削除、情報資産の返却、セキュリティ誓約などの管理面での対策に加え、実際に業務用PCでどのようなデータ移動が発生したのかを確認できる技術的な管理体制も必要です。
EXOセキュリティは、アンチウイルス、情報漏えい防止（DLP）、アプリケーションアクセス制御機能を統合した、SaaS型のオールインワンPCセキュリティサービスです。
企業の業務用PCのセキュリティ管理に加え、ファイルの持ち出し履歴やデータの移動経路を確認できるよう支援します。特に、退職者のセキュリティ管理においては、社内IT資産の管理、ファイル持ち出しのモニタリング、持ち出しファイルのバックアップ、持ち出し経路の分析を通じて、退職前後に発生する可能性のある情報漏えいリスクの管理に役立ちます。
（1）IT資産の管理による退職者の資産回収体制の構築
退職者のセキュリティ管理では、アクセス権限の削除だけでなく、退職者が使用していた業務用PCやノートPCなどの情報資産を把握し、回収する手順も必要です。
しかし、管理対象となる業務用PCの台数が増えるほど、誰がどの機器を使用しているのかを把握することが難しくなり、退職者が発生した際に回収対象の資産を迅速に特定できない場合があります。
EXOセキュリティは、IT運用最適化機能を通じて、社内の業務用PCやハードウェアの状況を確認し、管理対象となる資産情報を把握できるよう支援します。
これにより、退職者が使用していたPCやノートPCなどの情報資産を確認し、退職時に必要な機器の回収や社内資産の管理手順に活用できます。
（2）ファイル持ち出しのモニタリングとデータ移動経路の分析
退職者のセキュリティ管理において重要なのは、退職時に会社の資料が外部へ持ち出されていないかを確認することです。アカウントを削除したり、PCを回収したりするだけでは、退職前に発生したデータ移動の有無まで確認することは困難です。
EXOセキュリティは、企業のPCで発生するファイルの移動や持ち出し行為をモニタリングし、USB、メッセンジャー、メールクライアント、クラウドストレージなど、さまざまな経路を通じたデータ送信履歴を確認できるよう支援します。
管理者は、退職予定者や退職者のファイル持ち出し履歴をもとに、どのような資料がどの経路で移動したのかを確認し、情報漏えいの可能性がある状況に対応できます。
管理者ページでは、「ダッシュボード → データセキュリティ → 情報漏えい防止履歴」から、ファイル持ち出しに多く使用されたアプリケーションの情報を確認できます。
また、「ログ照会 → 情報漏えい防止 → アプリケーション制御履歴 → ファイル持ち出し制御履歴」から、詳細な記録の確認やCSVのダウンロードを行い、データの持ち出し経路を確認できます。
これにより、個人用メッセンジャーやWebブラウザなど、どのような経路でデータが移動したのかを分析し、追加の点検が必要な領域を把握できます。
（3）持ち出しファイルのバックアップと退職後の事後対応
退職者のセキュリティ点検では、退職直前の記録だけでなく、それ以前のデータ移動履歴も併せて確認することが重要です。
EXOセキュリティの管理者ページでは、標準で直近3ヶ月分のデータを照会できます。さらに過去のデータを確認する必要がある場合は、サービス利用開始日から現在までの全データをリクエストできます。
また、別途リクエストすることで、「持ち出しファイルのバックアップ」機能を利用し、持ち出されたファイルを自動的にバックアップして、元のデータを保全することも可能です。
これにより、退職後に発生する可能性のあるデータの紛失や紛争などの状況においても、持ち出し履歴やファイル情報をもとに、監査・追跡・対応に活用できます。
退職者のセキュリティ管理には、情報資産の回収、アクセス権限の削除、退職手続きの運用、セキュリティ誓約、データ持ち出しの確認まで、包括的な管理体制が必要です。
特に、重要情報にアクセスしていた従業員については、管理面でのセキュリティポリシーと、実際のデータ移動を確認できる技術的な環境を併せて整備することで、社内情報の漏えいリスクを効果的に低減できます。
退職者が発生した際のセキュリティ管理チェックリスト
退職者が発生した際に、対応漏れを防ぐため、以下の項目を確認しましょう。
情報資産の回収：業務用PC、ノートPC、スマートフォン、USBメモリ、社員証などを回収したか
物理的なアクセス権限の停止：入退室カードなどの利用を停止したか
システムのアクセス権限の削除：メール、グループウェア、SaaS、VPNなどのアカウントを停止・削除したか
共有・管理者アカウントの確認：必要に応じてパスワードを変更し、権限を見直したか
会社情報の確認：個人端末や外部ストレージ、クラウドサービスなどに会社の情報が残っていないか確認したか
セキュリティ誓約の確認：退職後の機密情報の取り扱いについて確認したか
ファイル持ち出し履歴の確認：退職前後に不審なファイル操作やデータの持ち出しが発生していないか確認したか
必要なログ・記録の保全：調査が必要な場合に備え、関連するログや記録を保全したか
これらの項目を確認するとともに、オールインワンPCセキュリティサービス「EXOセキュリティ」を活用し、企業のPCで発生するファイルの持ち出し行為を記録・管理することで、退職者のセキュリティ点検を強化し、社内の重要情報を保護しましょう。
「無料トライアル」から、EXOセキュリティのさまざまな機能を1ヶ月間、無料でお試しいただけます。無料トライアル期間中に、機能やサービスの導入についてご不明な点がございましたら、いつでもお気軽にお問い合わせください。担当者が迅速かつ丁寧にご案内いたします。
