ログインできなくなった時の備えがない会社

■ログインできることを前提にしていませんか

普段利用しているクラウドサービスは、ログインできて当たり前だと思われています。Microsoft 365、Google Workspace、会計サービス、給与システム、顧客管理システム。毎日利用しているため、ログインできなくなることを想定していない会社も少なくありません。しかし私が現場で確認するのは、「今ログインできるか」ではありません。「ログインできなくなった時にどうするか」です。

■ログインできなくなる原因は意外と多い

パスワードを忘れた。認証アプリを入れたスマートフォンが故障した。担当者が退職した。登録メールアドレスが使えなくなった。多要素認証の設定内容が分からない。こうしたことは珍しくありません。実際にはシステム障害よりも、人や運用に起因するログイン不能の方が多いと感じています。

さらに厄介なのは、利用者本人は問題なく使えていたことです。だから誰も確認しません。しかし一度ログインできなくなると、復旧方法が分からない。管理者が分からない。登録情報が分からない。という状態になることがあります。

■私自身が見たケース

以前確認した環境では、クラウドサービスの管理者が一人しかいませんでした。しかも多要素認証はその担当者のスマートフォンだけで運用されていました。

担当者が退職した後、設定変更を行おうとして初めて問題が発覚しました。ログインできない。認証できない。登録情報も分からない。結局、契約情報の確認や本人への連絡など、本来不要な作業が発生しました。サービスは契約しているのに管理できない状態だったのです。

■管理者アカウントほど危険です

特に注意したいのは管理者アカウントです。利用者アカウントであれば一人が利用できなくなっても影響は限定的です。しかし管理者アカウントは違います。

アカウント追加。ライセンス変更。セキュリティ設定変更。退職者対応。こうした管理業務が全て止まる可能性があります。

私は「管理者アカウントへログインできなくなったらどうするか」を必ず確認するようにしています。普段使えているかではなく、使えなくなった時の備えがあるかの方が重要です。

■多要素認証の落とし穴

最近はセキュリティ強化のため多要素認証が当たり前になりました。これは良いことです。しかし認証アプリを入れたスマートフォンが一台しかない。担当者しか利用方法を知らない。バックアップ手段がない。こうした状態は危険です。

セキュリティを強化した結果、自社がログインできなくなるケースもあります。実際には設定そのものより、運用ルールの方が重要です。認証方法を管理職を含む第三者が把握しているか。緊急時の対応手順があるか。こうした確認が必要です。

■私が確認するポイント

私が確認するのはパスワードの強度ではありません。ログインできなくなった時の備えがあるかです。具体的には、管理者が複数いるか。認証方法を把握しているか。登録メールアドレスは会社管理か。緊急時の復旧手順があるか。管理職を含む第三者が対応できるか。こうした点を確認します。

また、月に1回程度は管理者アカウントや認証方法の棚卸しを行うこともおすすめしています。利用者が変わるたびに確認するのではなく、定期的に確認するルールを作った方が現実的です。

■ログインできなくなった会社に共通すること

こうした会社に共通するのは、問題が発生するまで誰も気付かないことです。今はログインできる。今は問題ない。だから確認しない。しかし実際にログインできなくなった時には、管理者情報も分からない。認証方法も分からない。登録情報も分からない。という状態になっていることがあります。

そしてその時になって初めて、会社の資産を会社が管理できていなかったことに気付くのです。

■まとめ

ログインできることと、ログインできなくなった時に対応できることは別です。

会社のメール、クラウドサービス、各種システムは会社の資産です。管理者アカウントや認証方法を含めて、会社が管理できる状態になっているか確認してみることをおすすめします。

初回30分のオンライン相談は無料です。

「うちの運用は大丈夫だろうか」と気になった方は、お気軽にご相談ください。