「誰が使っているか分からないアカウント」を残さない｜自動処理用アカウントの管理

会社や医療機関のシステムでは、人が直接操作していなくても、アカウントが使われていることがあります。

例えば、バックアップを自動で実行する、システムからメールを送信する、別のシステムへデータを送る、といった処理です。

こうした自動処理のために使うアカウントは、「サービスアカウント」などと呼ばれます。

普段は人がログインしないため、存在を忘れられやすいアカウントでもあります。

こんなところに使われています

例えば、次のような処理です。

• バックアップを自動実行する
• 複合機からスキャンしたデータを送信する
• システムの異常をメールで通知する
• Webサイトからデータベースへ接続する
• 二つのシステムの間でデータをやり取りする
• 決まった時間にプログラムを自動実行する

利用者が毎回パスワードを入力するわけではないため、設定したアカウントや認証情報が長期間そのまま使われることがあります。

問題は「誰も分からない」状態

自動処理用のアカウントがあること自体は問題ではありません。

注意したいのは、

「何のためのアカウントか分からない」

「誰が管理しているか分からない」

「削除すると何が止まるか分からない」

という状態です。

例えば、数年前に退職した担当者が設定した自動処理が、その人のアカウントを使ったまま動いているかもしれません。

システムを入れ替えたのに、古いシステム用のアカウントだけが残っていることもあります。

普段は問題なく動いているため、気付きにくいのが特徴です。

個人のアカウントを自動処理に使わない

特に確認したいのが、職員個人のアカウントを自動処理に使っていないかです。

例えば、

「山田さんのメールアドレスとパスワードを設定して、自動メールを送信している」

という状態です。

山田さんが異動・退職したり、パスワードを変更したりすると、突然システムが動かなくなる可能性があります。

また、自動処理には必要のない権限まで、そのアカウントに与えられているかもしれません。

人が普段使うアカウントと、自動処理のためのアカウントは分けて管理する方が安全です。

パスワードや「キー」の置きっぱなしにも注意

自動処理では、毎回人がパスワードを入力できません。

そのため、パスワードや「キー」と呼ばれる認証情報をシステム側に保存して使うことがあります。

問題は、それが何年も変更されずに残ったり、複数のシステムで同じものを使ったり、管理者が分からなくなったりすることです。

最近のクラウドサービスには、固定したパスワードやキーを長期間保存せずに接続できる仕組みもあります。

すべてをすぐ変更する必要はありませんが、新しくシステムを作るときや更新するときには、

「このパスワードやキーをずっと保存しておく必要があるのか」

も確認してみましょう。

まずは一覧にしてみる

難しい対策を始める前に、まず自動処理に使っているアカウントを確認します。

最低限、次のことが分かれば十分です。

• アカウント名
• 何のために使っているか
• どのシステムで使っているか
• 誰が管理しているか
• どこまで操作できるか
• 使わなくなったら誰が停止するか

特に、

「用途不明」

「担当者不明」

「ずっと使っていない」

というアカウントが見つかったら、確認対象です。

ただし、用途が分からないアカウントをいきなり削除するのは危険です。バックアップや重要な通知などが停止する可能性があります。

まず利用状況を確認してから、不要なものを停止します。

5分で確認してみましょう

自社について、次の質問に答えられるでしょうか。

• 自動処理に使っているアカウントを把握している
• それぞれ何のために使っているか分かる
• 管理担当者が決まっている
• 個人のアカウントを自動処理に使っていない
• 必要以上の権限を与えていない
• 使わなくなったアカウントを停止するルールがある

一つでも「分からない」があれば、そこから確認を始めれば十分です。

AIGISでは「人が使うアカウント」以外も確認します

サイバーセキュリティー対策というと、職員のパスワードや多要素認証が注目されがちです。

しかし、システム同士の接続や自動処理にもアカウントは使われています。

AIGISでは、

「何のために存在するアカウントか」

「誰が管理しているか」

「必要以上の権限を持っていないか」

「不要になったときに停止できるか」

という点も確認します。

大切なのは、サービスアカウントという言葉を覚えることではありません。

「誰が使っているか分からないアカウントを残さない」ことです。

参考資料

• Microsoft Learn：ワークロード ID 用の Microsoft Entra 条件付きアクセス
• Microsoft Learn：Microsoft Entra ID を使用してアプリケーション、リソース、ワークロードを承認する
• Google Cloud：サービス アカウントを安全に使用するためのベスト プラクティス
• Google Cloud：IAM を安全に使用する
• AWS Well-Architected Framework：SEC02-BP02 一時的な認証情報を使用する
• NIST SP 800-53 Rev.5（Release 5.1.1）：AC-2 Account Management／AC-6 Least Privilege

情報確認日：2026年9月17日