コラム
委託先を信用することと、無期限の管理者権限を渡すことは別
信頼できる制作会社や保守会社でも、必要以上に長い管理権限を持たせないことは相手を疑う行為ではなく、双方の事故範囲を小さくする運用です。
信頼と権限設計は違う話
長年付き合いのある会社でも、担当者の端末紛失、委託先側の侵害、退職者アカウントの残存などは起こり得ます。信用できる相手だからこそ、個人へ責任を押し付けない仕組みが必要です。
必要期間と必要範囲へ絞る
毎月作業する保守会社と、年1回更新する会社では必要なアクセスが違います。作業期間だけ有効にする、管理対象サービスだけ許可する、重要操作は承認を挟む、といった制御ができます。
契約終了時の「鍵返却」をデジタルでも行う
物理鍵は返してもらうのに、CMS、クラウド、VPN、SSH鍵、APIキーは残ったまま、という状態を避けます。終了チェックリストへデジタル権限を含めます。