.png)
クラウド設定は誰が管理する？委託先に任せても必要な「変更履歴」
- 23 時間前
- 読了時間: 9分
Microsoft 365やGoogle Workspaceの設定は、導入した業者に任せている
管理画面を見ても、何が正しい設定なのか分からない
自分で触って業務に影響が出るのが怖い
サービス提供会社がセキュリティも管理してくれていると思う
クラウドサービスを利用している中小企業では、このような状態も珍しくありません。
詳しい担当者や委託先へ設定作業を任せること自体は、決して問題ではありません。
むしろ、自社に専門知識を持つ人がいなければ、無理に設定を触るよりも専門家へ依頼する方が安全な場合もあります。
ただし、設定作業を任せることと、管理まで完全に手放すことは同じではありません。
クラウドの設定は、導入したときのまま固定されるものではないからです。
社員の入退社、組織変更、外部とのデータ共有、アプリの追加などによって少しずつ変わります。
重要なのは、自分で設定できるようになることではありません。
誰が、何を、なぜ変更したのかを確認できる状態にしておくことです。
クラウド事業者がすべて管理してくれるわけではない
Microsoft 365やGoogle Workspaceなどのクラウドサービスでは、サーバーやネットワーク、サービスを動かすための基盤は、基本的にサービス提供会社が管理します。
一方で、利用企業側が決めなければならない設定もあります。
例えば、次のような項目です。
誰にアカウントを発行するか
誰に管理者権限を与えるか
社外とのファイル共有を許可するか
多要素認証を必須にするか
どの外部アプリとの連携を許可するか
退職者のアカウントをいつ停止するか
サービス提供会社は、安全に利用するための機能を用意してくれます。
しかし、その機能を自社でどのように設定し、誰にどこまで使わせるかまでは、自動的に判断してくれません。
IPAの「中小企業のためのクラウドサービス安全利用の手引き」でも、クラウドのセキュリティは、サービス提供事業者と利用者がそれぞれの役割と責任を分担して維持するものとされています。
「有名なサービスを使っているから安全」と考えるだけでなく、自社側に残る管理項目を把握することが必要です。
クラウドの設定は導入後に少しずつ変わる
クラウドサービスを導入するときは、業者と打ち合わせを行い、比較的慎重に設定します。
ところが、運用が始まると、日常業務の中でさまざまな変更が加わります。
社員の入社・異動・退職
新しい社員へアカウントを発行したり、異動に合わせて利用できるデータを変更したりします。
退職者のアカウントを停止しても、共有フォルダの権限や外部アプリとの連携が残る場合もあります。
社外とのファイル共有
取引先や外部スタッフとの共同作業のため、一時的にファイルやフォルダを共有することがあります。
業務終了後も共有設定が残っていれば、必要のない相手が引き続き情報へアクセスできる状態になります。
管理者権限の追加
設定作業やトラブル対応のため、社員や委託先へ一時的に管理者権限を付与することがあります。
作業終了後に権限を戻す予定でも、記録や期限がなければ、そのまま残ってしまう可能性があります。
外部アプリとの連携
クラウドサービスへ便利なアプリを連携すると、そのアプリにメール、予定表、ファイル、連絡先などへのアクセスを許可する場合があります。
連携した目的や権限の範囲を記録していなければ、後から必要性を判断することが難しくなります。
こうした変更は、一つひとつを見ると小さなものです。
しかし、積み重なることで、当初想定していた安全な状態から少しずつずれていきます。
設定を委託しても、管理責任までなくなるわけではない
自社で設定できない場合は、保守業者やITベンダーへ作業を依頼できます。
ただし、万一情報漏えいや不正アクセスが発生したときに、「委託先へ任せていたので、自社には分かりません」では済まないことがあります。
IPAの「中小企業の情報セキュリティ対策ガイドライン 第4.0版」でも、委託先の不備による事故であっても、委託元としての管理責任を問われる可能性があると説明されています。
また、委託先の責任や実施すべき対策を契約書などで明確にすることも求めています。
これは、経営者が設定画面を操作しなければならないという意味ではありません。
役割を次のように分けて考えると分かりやすくなります。
関係者 | 主な役割 |
クラウド事業者 | サービス基盤の運用、障害対応、提供機能のセキュリティ対策 |
保守業者・ITベンダー | 契約範囲内の設定作業、技術的な確認、問題発生時の支援 |
利用企業 | 利用者、権限、共有範囲、委託内容、社内ルールの決定 |
経営者・管理責任者 | 重要な変更の承認、役割分担と連絡先の確認 |
技術的な作業は外部へ任せても、自社の誰に何を許可するかという判断は、自社側に残ります。
すべての変更を厳格に管理する必要はない
クラウド設定の変更をすべて申請制にすると、確認する側の負担が増え、業務のスピードも落ちてしまいます。
そこで、情報漏えいや不正利用につながりやすい変更だけを重点的に管理します。
特に記録しておきたいのは、次のような変更です。
管理者権限の追加・変更・削除
社外への公開やファイル共有範囲の変更
社員の入社・異動・退職に伴うアカウントと権限の変更
外部アプリ、API、業務ツールとの連携
多要素認証やログ保存など、セキュリティ機能の変更
委託先へ付与した一時的な権限や例外設定
影響の小さい表示設定や個人の使い勝手に関する変更まで、同じ方法で管理する必要はありません。
外部公開、管理者権限、重要情報、外部連携に関係する変更へ確認を集中させるのが現実的です。
変更履歴に残すのは7項目で十分
専用の管理ツールがなくても、Excelやスプレッドシート、社内で使用している申請システムなどで変更履歴を残せます。
最低限、次の項目を記録します。
記録する項目 | 内容 |
変更日 | いつ変更したか |
対象サービス | どのクラウドサービスの変更か |
変更者 | 実際に作業した人や委託先 |
変更理由 | なぜ変更が必要だったか |
変更内容 | 変更前と変更後の違い |
確認者 | 作業結果を誰が確認したか |
期限 | 一時的な設定の場合、いつ元に戻すか |
設定画面のスクリーンショットを変更前後に保存しておくと、専門知識がない人でも違いを確認しやすくなります。
ただし、画面内にパスワード、秘密鍵、認証コードなどが表示されている場合は、そのまま保存しないよう注意が必要です。
委託先には「現在の設定」を説明できるようにしてもらう
設定作業を外部へ任せている場合は、次の内容を確認してみましょう。
自社と委託先の作業範囲はどこで分かれているか
現在、管理者権限を持っているのは誰か
社外共有や外部アプリ連携を一覧で確認できるか
重要な設定を変更したとき、どのように報告されるか
作業記録や設定変更履歴を受け取れるか
契約終了時にアカウントや権限をどう削除するか
緊急時は誰へ、どの方法で連絡するか
「安全に設定してください」という依頼だけでは、どこまで対応してもらえるのか曖昧です。
例えば、
「管理者を追加した場合は報告する」
「外部公開の設定変更は事前確認する」
「一時的な権限には期限を設定する」
など、具体的な条件を決めておくと認識のずれを防げます。
委託先が複数ある場合は、クラウド事業者、販売代理店、システム開発会社、運用保守会社のうち、どこが何を担当しているのかも整理しておきましょう。
まずは3つの設定から確認する
現在の設定が分からない場合でも、最初からすべてを調査する必要はありません。
まずは、次の3点から始めます。
1．管理者権限を持つ人を確認する
退職者、異動した社員、過去の委託先など、現在は必要のないアカウントが残っていないか確認します。
2．社外共有の状態を確認する
誰でもアクセスできるリンクや、業務が終了した取引先との共有が残っていないか確認します。
3．外部アプリとの連携を確認する
現在使っていないアプリや、誰が導入したのか分からない連携がないか確認します。
この3点を確認するだけでも、クラウド設定の現状がかなり見えやすくなります。
自社で確認するのが難しければ、委託先へ一覧の提出を依頼しても構いません。
大切なのは、自分で画面を操作できることではなく、必要なときに現在の状態を説明できることです。
「任せる」と「分からないままにする」は違う
クラウドサービスは、専門的なサーバー管理の負担を減らし、中小企業でも便利なIT環境を利用できる仕組みです。
設定作業を詳しい社員や外部業者へ任せることにも問題はありません。
しかし、設定は導入後も変わり続けます。
担当者の交代や外部共有、アプリ連携などを繰り返すうちに、最初の安全な状態からずれていく可能性があります。
経営者や管理担当者が、すべての設定方法を覚える必要はありません。
誰が管理しているのか
重要な設定は現在どうなっているのか
何を変更したのか
一時的な権限はいつ戻すのか
問題が起きたときは誰に連絡するのか
この5点を確認できるようにしておくことが、現実的なクラウド設定管理の第一歩です。
「専門家へ任せているから大丈夫」から、「専門家へ任せているが、自社でも管理状況を確認できる」**へ変えていきましょう。
参考資料
IPA「中小企業のためのクラウドサービス安全利用の手引き」（上記ガイドライン付録7）
💬 ご相談はこちら
ITワークラボでは、IT担当者がいない中小企業向けに
Microsoft 365やGoogle Workspaceなどの設定状況の整理
管理者権限、外部共有、アプリ連携の確認
クラウド設定の変更・承認・記録ルール作り
保守業者やITベンダーとの役割分担の整理
担当者が交代しても管理を続けられる運用体制の整備
などをサポートしています。
「業者へ任せているが、現在の設定が分からない」
「管理画面を自分で触るのは不安」
という段階でも問題ありません。
自社で設定作業を行うことを前提にせず、委託先へ確認すべき内容や、社内に残しておくべき記録から一緒に整理します。
初回相談は無料です。
📖 あわせて読みたい
関連ページ
IT・セキュリティ体制構築の支援内容は、「サービスページ」でご案内しています。
実際のご相談事例は、「導入事例」でもご紹介しています。
ITワークラボの考え方は、「ITワークラボについて」をご覧ください。
コメント