アクセス権限

解説

アクセス権限は、誰がどのデータや機能を扱えるかを定めた設定です。サポート部門は問い合わせ履歴や顧客の連絡先、契約情報といった個人情報を日々扱うため、設定の粗さがそのまま情報漏えいのリスクになります。かといって絞りすぎると、担当者が必要な情報にたどり着けず、確認のための社内エスカレーションが増えます。

最小権限の原則に従って役割ごとに割り当てる

業務に必要な範囲だけを与える考え方を、最小権限の原則と呼びます。個人ごとに設定すると管理しきれないため、一般にはオペレーター、スーパーバイザー、管理者といった役割を先に定義し、役割に対して権限をひも付けます。異動があっても、役割を付け替えるだけで反映できます。

入退社や異動のたびに棚卸しする

権限は、付与よりも削除のほうが漏れやすい設定です。退職者のアカウントが残る、異動前の権限が付いたまま積み重なる、といった状態は監査で指摘されます。入退社のたびに反映する運用と、定期的に一覧を出して不要な権限を落とす棚卸しを、両方あらかじめ決めておきます。