外部業者へ渡したWeb・SNS・SaaSの管理権限、契約終了時に「会社へ戻す」ものは何か

制作会社や保守会社へ管理者権限を渡している場合、契約終了時は単にユーザーを削除するだけでなく、所有者、主管理者、復旧用メール・電話、共有資格情報などを会社側で管理できる状態へ戻します。

出典

Web制作会社、保守会社、広告代理店などへ管理者権限を渡している場合、契約終了時に相手のユーザーを削除するだけでは不十分なことがあります。サービスの所有者や主管理者、復旧用メール・電話、請求先などが外部業者側のままだと、会社自身がログインできなくなったときに復旧できないためです。

この記事は共有フォルダの閲覧権限ではなく、サービスそのものを会社側へ戻すための管理情報に絞ります。

サービスごとに、管理画面へ入れる人、契約や支払いを管理する人、パスワードやMFAを失ったときの復旧先を確認します。1人の外部担当者がすべてを握っている場合は、契約終了前に会社管理の連絡先や管理者を用意します。

IPAの中小企業向けガイドラインでも、重要情報へのアクセス制御や委託先の情報セキュリティ対策を組織として考えることが求められています。

先に会社側の管理者アカウントでログインできること、MFAを使えること、復旧用メールや電話を会社側で管理できることを確認します。その後、不要になった外部アカウントを削除または権限縮小します。

共通パスワード、APIキー、VPN、秘密鍵などを外部業者と共有していた場合は、契約終了後も使える状態が残らないよう、必要に応じて変更・再発行します。

Webサイトではドメイン、DNS、レンタルサーバー、CMS、アクセス解析などが別々に管理されている場合があります。SNSでも、ページの管理者とは別にアカウントの復旧先があります。

契約終了時に、登録名義、主管理者、請求先、復旧先を会社側で確認し、次の委託先へは会社が保持した管理権限から必要な範囲だけ付与します。古い業者から新しい業者へ共通パスワードだけを渡す形にしない方が、次回の契約終了も処理しやすくなります。

契約が終わってから管理情報を探すより、委託開始時に会社側の管理者、復旧先、ドメインやサーバーの契約名義、発行した資格情報を記録しておく方が確実です。

「外部業者に何を渡したか」と「終了時に何を無効化・返却してもらうか」を対にして残しておくと、担当者が変わっても管理を引き継げます。