委託先アカウントを契約終了日まで安全に管理する方法
業務委託・パートナーのアカウントを契約期間に合わせて発行し、最小権限、MFA、自動回収、監査記録で管理する実務基準を解説します。
開発委託先、代理店、監査法人などの外部メンバーには、業務に必要なシステムへのアクセスが欠かせません。一方で、雇用関係や管理方法は自社の従業員と異なります。担当者がチャットでアカウント発行を依頼し、プロジェクト終了後の削除を忘れると、短期的な協業のためのアカウントが長期的なセキュリティ負債になります。委託先のアクセス管理で重要なのは人を疑うことではなく、契約期間と権限の有効期間を一致させることです。
発行前に終了条件を決める
オーナーと有効期限を必須にする
委託先アカウントには、社内責任者、所属企業、利用目的、開始日、終了日を記録します。「プロジェクト終了時」のように解釈が必要な表現ではなく日付を指定し、延長が必要な場合は期限前に責任者が再承認する運用にします。誰が操作したか追跡しにくい共有アカウントは避け、個人単位で発行することが原則です。
招待には確認済みの企業ドメインと業務用メールアドレスを使い、初回ログインからMFAを要求すると安全性が高まります。段階的な適用方法はMFA必須化の導入チェックリストを参考にしてください。
必要なアプリを必要な期間だけ許可する
肩書ではなく実際の業務から考える
「委託先」という大きなロールに全アプリをまとめず、プロジェクトごとにグループを作成します。デザイン会社に本番データベースが不要なように、各グループには業務遂行に必要なアプリだけを割り当てます。OIDC・SAML SSO対応アプリだけでなく、SSO非対応の業務アプリも同じ一覧で管理すれば、アクセス管理の空白を減らせます。設計のポイントはグループベースのアプリアクセスポリシーで解説しています。
管理者権限は初期値で付与せず、別の承認と短い有効期間を設定します。長期契約でも四半期ごとに社内責任者へ参加状況とアプリ一覧を確認すれば、役割変更後に残った不要な権限を減らせます。
終了日にはログイン停止以外も確認する
契約終了時にはIdPアカウントを停止し、有効なセッション、アプリ割り当て、グループ所属も回収します。SCIM対応アプリでは無効化を自動化し、非対応アプリではSWA連携と保存済みログイン情報を回収する手順を用意します。退職者アカウント回収の自動化と同じ原則を適用できます。
完了を監査記録で証明する
誰が発行を承認し、どのアプリを割り当て、期限延長を決めたのか、終了時に何を回収したのかを残します。無効化の失敗や手動の例外も隠さず、担当者と解決時刻まで記録してこそ、セキュリティ審査で統制が実際に機能したことを説明できます。
AxiPassで委託先アクセスの有効期間をつなぐ
AxiPassはSaaS企業向けマルチテナントIdPとして、顧客ごとのOIDC・SAML SSO、SCIMプロビジョニング、MFA、グループベースのアプリアクセス、SSO非対応アプリ向けSWA、監査ログを一元管理できる環境を提供します。アカウント発行から契約終了後の回収まで、途切れないアクセス管理を実現しましょう。