中小企業の従業員退職時セキュリティ対応チェックリスト｜アカウント削除・機器回収・データ消去を確実に完了する実践手順

先月退職した社員が、辞めた後もクラウドストレージにアクセスできた——そんな話、他人事ではありません。
中小企業では人事・総務・情シスが兼務のことも多く、「退職者のアカウント削除」が後回しになりがちです。退職者に悪意がなくても、残ったアクセス権限は不正侵入の入口になります。

この記事では、従業員退職時にやるべきセキュリティ対応を、タイムライン順のチェックリスト形式で解説します。情シス1人体制でも確実に完了できる手順にまとめました。

退職者アカウントの放置が招くリスク

「辞めた社員のことはもういい」——そう思いたいところですが、残ったアカウントと機器は確実にリスクになります。退職者トラブルで実際に起きた被害パターンは、大きく3つに分類されます。

・不正ログイン: 退職後も有効なIDで、元社員や元社員のIDを知る第三者がシステムにアクセスする
・データ持ち出し: 退職前後にクラウドストレージや業務システムから顧客データ・営業情報を持ち出す
・機器の紛失・悪用: 回収し忘れたPCやスマホが流出し、保存データや会社アカウントが漏洩する

特に、退職トラブルになった社員の場合、アカウントが残っていると意図的な情報破壊や競合他社への情報提供に悪用されるリスクがあります。悪意がなくても「忘れ物を取りに」と元のアカウントにログインするケースもあり、どちらも放置してよい理由にはなりません。

退職者が引き起こす典型的なインシデント

1. クラウドサービスへの不正アクセス

Google WorkspaceやMicrosoft 365は、IDを無効化しないかぎり退職後もログインできます。元社員が個人PCから深夜にアクセスし、顧客リストを持ち出した事例は実際に発生しています。シングルサインオン（SSO）で連携しているサービスも、SSO側のアカウントを無効化しないと入り口が残ります。

2. 共有パスワードの悪用

「あのサービスのパスワードは〇〇だった」と退職者が記憶している場合、変更していなければ対策は無力です。中小企業でよくある「Excelで管理した共有パスワード」は、退職者が知っているケースがほとんどです。退職日当日に共有パスワードを変更する手順が必要です。

3. 物理機器からの情報漏洩

回収を忘れたPCやUSBドライブが転売・廃棄される過程で、業務データが流出します。ハードディスクは「削除しただけ」では専用ソフトで復元できるため、適切なデータ消去が必要です。

端末廃棄時の具体的な手順については、中小企業の端末廃棄・データ消去ガイドで詳しく解説しています。

退職前から退職後までの対応タイムライン

1. 退職が確定したら（退職日2週間前まで）

退職が決まった時点で、情シスが業務引き継ぎと並行して動き始めます。

・アカウント棚卸し: その社員が使っているすべてのシステム・サービスをリストアップする
・共有アカウントの特定: 複数人で使っているパスワードで退職者が知っているものを確認する
・機器リストの確認: PC・スマホ・タブレット・ICカード・セキュリティトークンなどを棚卸しする
・返却スケジュールの確定: 退職日当日に機器を返却できるよう、本人と上司に伝達する

アカウント棚卸しには、日ごろから「誰がどのサービスを使っているか」を管理するIT資産管理台帳が役立ちます。台帳が未整備の場合は、退職者の業務を聞き取りながらリストを作成します。

2. 退職日当日の対応（最重要）

退職日の業務終了後、可能なら退職者が離席した直後に、以下を実施します。

アカウントの無効化（削除ではなく無効化が先）

# Microsoft 365（Azure AD）の場合
# 管理センター > ユーザー > 対象ユーザーを選択 > サインインをブロック
# PowerShellで一括処理する場合:
Set-MsolUser -UserPrincipalName "user@example.com" -BlockCredential $true

# Active Directory（オンプレミス）の場合
Disable-ADAccount -Identity "username"

# メール転送が設定されていないか確認（Exchange Online）
Get-Mailbox -Identity "user@example.com" | Get-MailboxForwardingConfiguration

削除ではなく「無効化」を先に行うのは、業務引き継ぎでメールやファイルへのアクセスが必要になることがあるためです。完全削除は1か月程度後に行います。

・VPNアクセスの無効化: SSL-VPNの証明書や認証情報を失効させる
・メール転送の削除: 個人メールへの自動転送が設定されていないか確認・削除する
・MFAデバイスの解除: スマホに登録されている認証アプリのデバイスを管理画面から削除する
・SSH鍵の削除: サーバーへのSSH公開鍵認証を使っている場合は、authorized_keysから該当エントリを削除する
・機器の回収と初期化確認: PCとスマホの返却を受け、データが残っていないか確認する

共有パスワードの変更

退職者が知っている可能性がある共有パスワードは、退職日当日に変更します。対象になりやすいものは以下です。

・Wi-Fiパスワード: オフィスの主要SSIDのパスワード
・業務システムの共有アカウント: 特定ユーザーに紐づかない管理者アカウント等
・ルーター・ネットワーク機器の管理画面パスワード: 退職者が管理担当だった場合は必須

Active Directoryを使っている場合の詳細な対応手順は、中小企業のActive Directoryセキュリティ対策も参考にしてください。

3. 退職後1週間以内の確認作業

退職から1週間以内に、以下を確認します。

・ログイン試行の確認: 無効化したアカウントへのログイン試行がないかログを確認する
・クラウドストレージのアクセスログ確認: 退職前後の大量ダウンロードや外部共有設定を確認する
・アカウント完全削除のスケジュール設定: 1か月後の完全削除をカレンダーに登録する
・メールボックスの引き継ぎ: 後任者や上司がアクセスできるよう設定を移管または無効化する

中小企業でも今日からできること

情シス体制が整っていなくても、すぐ始められる対策があります。

退職者対応チェックリストを1枚作る

スプレッドシート1枚で、以下の項目を持つチェックリストを用意しておくだけで、作業漏れが大幅に減ります。

IT資産管理台帳を整備する

「誰がどの機器を使っているか」「どのサービスのアカウントを持っているか」を日常的に記録しておけば、退職時の棚卸しが格段に楽になります。小規模なら、スプレッドシート1枚で十分です。

アカウント発行・削除を人事フローに組み込む

入退職の手続きに「情シスへの連絡」を必須ステップとして組み込むことで、退職者対応の抜け漏れを防げます。退職の連絡が情シスに届かない——という状況が、アカウント放置の最大の原因です。

よくある誤解と注意点

「退職者はどうせもうアクセスしない」は思い込み

悪意がなくても、退職後に「あの資料が必要だった」と元のアカウントでアクセスしてしまうケースがあります。善意であっても、無効化されていないアカウントへのアクセスはセキュリティポリシー違反であり、インシデントとして記録すべき事象です。

「削除したから大丈夫」ではない

PCのデータをゴミ箱に捨てただけでは、専用ソフトで復元できます。端末を廃棄・再利用する場合は、専用の消去ツールや物理破壊が必要です。

クラウドサービスの無効化を忘れやすい

オンプレミスのActive Directoryを無効化しても、Microsoft 365やGoogle WorkspaceはAD連携の設定によっては独立して動作することがあります。クラウドサービスの管理画面を個別に確認する習慣をつけてください。

退職後に判明することもある

退職時は問題なかったのに、退職後に元社員による不正が判明することがあります。日ごろのログ監視と、退職後1か月程度は関連ログを保持する運用が重要です。

本記事のまとめ

退職者対応は、見落としやすいインシデントの入口です。「辞めたら終わり」ではなく、退職日当日のアカウント無効化・機器回収から退職後のログ確認まで、一連の流れとして整備することが大切です。

情シス1人でも回せるよう、退職者対応チェックリストをあらかじめ用意しておくことを強くお勧めします。退職の連絡が来たその日に動き始めることで、情報漏洩リスクを最小限に抑えることができます。

姉妹サイトDXマスターズ.TOKYOでは、業務プロセスへのセキュリティ組み込みについてもあわせて紹介しています。