GUIDE
外部委託先のアクセス権は、作業開始から終了まで期限付きで管理する
制作会社・保守会社・税理士などへ権限を渡すときは、必要な範囲、担当者、期間、認証方法を決め、作業終了時にアカウント・鍵・共有権限まで確実に止めます。
公開 更新
このガイドで学べること
読み終わるころに分かること
- 作業内容から必要な権限を決め、最初から管理者を渡さない
- 誰が使ったか分かる個別アカウントを用意する
- 重要な権限ほどMFAと復旧方法を合わせて確認する
作業内容から必要な権限を決め、最初から管理者を渡さない
「保守をお願いするから管理者権限」という渡し方を避け、対象サービスと作業内容を確認します。記事更新だけならCMS全体の管理権限は不要かもしれません。個人情報や本番データへ触れる必要があるかも事前に確認します。
必要な権限が分からない場合は、まず小さい権限から始め、作業上不足したときに追加する方が安全です。
誰が使ったか分かる個別アカウントを用意する
自社の共有管理者IDを委託先へ貸すと、誰が操作したか追いにくく、契約終了後も秘密情報が残ります。可能なサービスでは、委託先または作業者ごとに識別できる個別アカウントを発行します。
担当者が変わったときに権限を一人だけ止められる構成にすると、共通パスワードを全員分変更する負担も減らせます。
重要な権限ほどMFAと復旧方法を合わせて確認する
管理画面、クラウド、VPN、サーバーなど影響が大きいアクセスでは、MFAを利用できる場合は有効にします。同時に、認証端末を失った場合の復旧先やバックアップコードの管理方法も決めます。
委託先の個人スマホだけが唯一の認証手段になる構成は、担当者変更時に困る可能性があります。
本番変更は日時・対象・戻し方を残す
DNS、CMS、サーバー、決済、メールなど影響が大きい作業では、実施日時、変更箇所、作業者、元へ戻す方法を簡単に記録します。障害が起きたときに、直前の変更から確認できる状態を作ります。
ログが利用できるサービスでは、委託先アカウントの操作履歴を確認できるかも把握しておきます。
終了時はアカウントだけでなく、鍵と共有権限まで止める
契約や作業が終わったら、CMSアカウントだけでなく、APIキー、SSH鍵、VPN、共有フォルダ、パスワード管理ツール、クラウドの招待、復旧先なども確認します。
「以前の制作会社がまだ入れる」状態を残さないため、作業終了時の削除項目をチェックリスト化し、次の委託先でも同じ手順を使えるようにします。