退職者ログインが問う経営のIT設計

退職者が深夜にVPNへログインしていた――。そんな「ある異変」が、キーマンズネットの記事で報じられました。

一見すると、個別のセキュリティ事故に思えます。しかしこの事例は、経営のIT設計の欠陥をくっきりと浮かび上がらせています。なぜ退職者のアカウントが残っていたのか。なぜ深夜のログインを検知できなかったのか。どちらの問いも、ITを「情シス任せ」にしてきた経営の姿勢に行き着きます。

本記事では、この事例を素材に、経営者がITの目的を定義しないことの代償を分析し、再発防止のための具体策を経営判断の観点から解説します。

なぜ退職者のアカウントが残るのか

退職者のアカウントが無効化されないのは、ただの「手続き漏れ」ではありません。ITの目的が「安定運用」だけに置かれている証拠です。多くの企業では、IT部門の評価指標が「システムが止まらないこと」に偏っています。その結果、アカウント管理のように地味だが重要な業務が後回しになります。

退職手続きのプロセスそのものが属人的なことも多いものです。人事部門から退職者の情報をIT部門へ渡す仕組みがなく、担当者の記憶頼みになっているケースは珍しくありません。これは、ITを「管理IT」としてしかとらえてこなかった経営判断の結果です。

経営がITの目的を「事業成長」や「意思決定の再現性」にまで広げていれば、アカウント管理はセキュリティ対策の一項目ではなく、経営資源を統制する手段として位置づけられたはずです。ITの目的が定義されていないからこそ、こうした基本的なリスクが放置されるのです。

深夜ログインを見逃す組織の盲点

深夜のログインを検知できなかった背景には、ログ監視の目的が「障害対応」に限られているという構造があります。多くの企業では、VPNの接続ログは「システムが正常に動いているか」を確かめるためにしか使われていません。本来、ログは「誰が、いつ、何をしたか」を記録し、異常な行動を見つけるためにあるものです。

この盲点は、経営がITの役割を「管理IT」に限ってきた結果です。経営に「事業IT」や「経営IT」の視点があれば、ログデータは不正アクセスの早期発見や内部統制の強化に使われていたでしょう。IT部門に「障害ゼロ」だけを求める経営判断が、監視の空白を生んでいるのです。

必要なのは、ログ監視の目的を「セキュリティインシデントの検知」に置き、深夜や休日の異常なログインを自動で通知する仕組みです。こうした仕組みは、ツールを入れるだけで実現できます。たとえばSplunkやMicrosoft SentinelなどのSIEMツールを使えば、異常なログインのパターンを自動で検知できます。それでも多くの企業では、「ログ監視は情シスに任せている」という姿勢が導入の壁になっています。

ITの目的を定義しない経営が払う代償

この事例が示すのは、経営がITの目的を定義しないことの具体的な代償です。退職者のアカウントを放置すれば、情報漏洩のリスクを抱えるだけでなく、内部不正の温床にもなります。深夜のログインを見逃すことは、サイバー攻撃の兆候を見逃すことと同じです。

これらのリスクは、ITを「専門家任せ」にしてきたことの当然の結果です。ITの目的を「安定運用」だけに置けば、アカウント管理やログ監視のような業務は軽んじられます。そして、その軽視が致命的なインシデントを招くのです。

これはセキュリティ対策だけの話でもありません。ITの目的が定義されていない組織では、あらゆるIT投資が場当たり的になります。退職者アカウントの管理システムを入れようにも、「なぜ必要なのか」がはっきりしなければ予算は通らず、導入しても運用が続きません。

再発を防ぐために経営が下すべき3つの判断

再発を防ぐには、経営がITの目的を定義し直すことが欠かせません。具体的には、次の3つの判断が求められます。

1つ目は、ITの目的を「管理IT」から「経営IT」へ広げることです。アカウント管理やログ監視を、コストではなく経営資源を統制する手段として位置づける。そのためには、経営会議でITリスクを定期的に報告する仕組みが必要です。

2つ目は、退職者アカウントの管理を自動化することです。たとえば人事システムと連携し、退職日に自動でアカウントを無効化する仕組みを入れる。ツールとしては、OktaやMicrosoft Entra ID（旧Azure AD）の自動化機能が有効です。比較的低い月額費用で導入でき、費用対効果はきわめて高いといえます。

3つ目は、ログ監視の目的を「障害対応」から「セキュリティ検知」へ切り替えることです。そのためにはSIEMツールの導入と、異常検知のルール設定が必要です。経営者の責任は、情シスに「何を監視すべきか」を指示することではありません。「なぜ監視するのか」を定義することです。

IT設計は経営の責任である

退職者の深夜ログインは、経営がITの目的を定義しないことの典型的な帰結です。情シスやセキュリティ担当者の努力だけでは解決できません。経営者がITの目的を定義し直し、その目的に基づいて投資判断と組織設計を行う必要があります。

ITは「専門家に任せる技術領域」ではなく、経営が自ら定義すべき経営資源です。この事例を教訓に、自社のIT設計を見直してみてはいかがでしょうか。経営がITを定義すれば、セキュリティリスクは大きく下がり、同時にIT投資の効果も最大になります。