社員が退職するとき、PCの回収とメールアカウントの停止はしていても、「それ以外」がそのまま残っている会社は少なくありません。クラウドサービスのID、共有パスワード、VPNの接続設定――。退職者のアカウント管理は、内部不正と不正アクセスの両方に直結する重要ポイントです。この記事では、見落としがちな5つのチェック項目と、退職のたびに慌てないための仕組み化を解説します。

なぜ「退職者のアカウント」が危ないのか

退職者のアカウントが残っていると、大きく2種類のリスクが生まれます。1つは、退職した本人が退職後もデータにアクセスできてしまうリスク。もう1つは、誰も使っていない「放置アカウント」が攻撃者の侵入口になるリスクです。使われていないアカウントは、パスワードが変更されず、不審なログインがあっても誰も気づきません。攻撃者から見れば、これほど都合のよい入口はありません。

実際、IPA（情報処理推進機構）の「情報セキュリティ10大脅威2026」組織編では「内部不正による情報漏えい等」が7位にランクインしています。また、経済産業省・IPAが実施した営業秘密に関する実態調査では、情報漏えいのルートとして中途退職者による持ち出しが最も多いと報告されてきました。内部不正対策の公式ガイドラインである「組織における内部不正防止ガイドライン」も、第5版で退職者の増加に伴うリスクへの対策を追記しており、退職時の管理は公式にも重要テーマとして位置づけられています。

見落としがちな5つのチェック項目

チェック1：クラウドサービスのアカウントを棚卸しする

会社として契約しているサービスだけでなく、部署やチームが独自に使い始めたツール、無料プランのまま業務利用しているツールまで含めて棚卸しします。この「会社が把握していないツール」こそが最大の盲点で、いわゆるシャドーITの問題と地続きです。詳しくは「シャドーITとは？知らないうちに増える業務利用ツールの管理」をご覧ください。退職者が管理者権限を持っていたサービスは、権限の引き継ぎも忘れずに行います。

チェック2：共有アカウントのパスワードを変更する

個人のIDは消せても、共有アカウントのパスワードは退職者の記憶に残ります。オフィスのWi-Fi、機器の管理者パスワード、会社のSNSアカウント、共有メールボックス、オンラインバンキングの担当者設定――。退職者が知っていた共有パスワードは、退職日を境にすべて変更するのが原則です。「どの共有パスワードを知っていたか」を洗い出せるよう、日頃から共有アカウントの利用者を記録しておくと、この作業は一気に楽になります。

チェック3：リモートアクセスの経路を止める

VPNアカウント、リモートデスクトップの設定、社外から社内メールを見るためのアクセス設定など、「外から社内に入る経路」は優先度を上げて止めます。警察庁の統計では、ランサムウェアの感染経路の大半がVPN機器やリモートデスクトップ経由と報告されており、使われなくなったリモートアクセスの放置は、攻撃者への招待状になりかねません。中小企業を狙う攻撃の動向は「中小企業を狙うサイバー攻撃の最新動向（2026年版）」で解説しています。

チェック4：貸与機器と記録媒体を回収し、データを確認する

PC・スマートフォン・タブレットなどの貸与機器は、台帳と突き合わせて回収します。台帳がなければ、この機会に作りましょう。あわせて、USBメモリや外付けHDDなどの記録媒体、私物端末に入れた業務アプリやデータの扱いも確認します。持ち出し可能な媒体の管理については「USB持ち出し対策、中小企業ができる5つの方法」も参考になります。

チェック5：メール転送と外部連携の設定を確認する

意外な見落としが、メールの自動転送設定です。退職前に自分の私用アドレスへ転送設定がされていると、アカウントを停止するまでの間、社内のやりとりが外部へ流れ続けます。カレンダーやファイルの外部共有、業務ツール同士のアプリ連携（外部サービスへのアクセス許可）も、本人のアカウントに紐づいたまま残りがちです。停止前に設定内容を確認してから止める、という順番を徹底しましょう。

「退職のたびに慌てない」ための仕組み化

5つのチェックを退職のたびにゼロから思い出すのは現実的ではありません。ポイントは2つです。

1つめは、入社時からアカウント台帳を作っておくこと。誰に・どのサービスの・どんな権限を発行したかを記録しておけば、退職時はその台帳を上から消し込むだけで済みます。退職処理の質は、実は入社時の記録で決まります。IPAの「中小企業の情報セキュリティ対策ガイドライン」（第4.0版）の付録には、台帳や規程のサンプルが用意されており、ひな形として使えます。

2つめは、退職チェックリストを人事とIT担当の共通ルールにすること。退職の連絡が人事で止まり、IT担当に届くのが退職日の後――という連携ミスは頻繁に起きます。「退職決定→アカウント棚卸し→停止・変更→機器回収→1か月後に残存確認」という流れをルール化し、両者の役割を決めておきましょう。ルールを現場に定着させる方法は「社員のIT利用ルール、守ってもらえるルールの作り方」で詳しく解説しています。

まとめ：チェックリスト化して、入社時から備える

• 退職者アカウントのリスクは「本人による持ち出し」と「放置アカウントの悪用」の2種類
• 見落としがちな5項目＝①クラウドサービス ②共有パスワード ③リモート接続 ④貸与機器とデータ ⑤転送・外部連携
• 共有パスワードは退職者の記憶に残る。退職日を境に変更が原則
• 使われないVPNアカウントの放置は、攻撃者の侵入口になる
• 入社時からのアカウント台帳と、人事×ITの退職チェックリストで仕組み化。1か月後の残存確認までがワンセット

参考（公式情報）

※ガイドラインの版や統計は更新されることがあります。最新の情報は各公式サイトでご確認ください。

あわせて読みたい