it-service@brocent.com
システムアカウント管理
2026年8月の対象期間における、IDライフサイクル、入社・異動・退職処理の実行状況、多要素認証の適用範囲、特権アカウントとサービスアカウントの統制状況。
退職時の統制は確実。サービスアカウントと共有メールボックス1件に所有者が必要
期末時点で、2つのディレクトリと3つのアプリケーション内ストアにまたがり52件のアカウントが有効でした。内訳は従業員41件、独立した特権ID 5件、非人間アカウント6件です。当期の退職者3名はいずれも最終出社日に無効化され、アクセス権の失効とメールボックスの共有化は4時間の目標内に完了しました。最短は38分です。
弱点は2つ残っています。サービスアカウント4件に実名の所有者がなく、パスワードは1年以上更新されていません。うち3件はファイルサーバーへの書き込み権限を持ちます。また共有メールボックス1件が、委任アクセスではなく4名が共通パスワードで利用しており、個々の操作を本人に紐づけられません。多要素認証は従業員41件と特権ID 5件のすべてに適用済みです。非人間アカウント6件は設計上MFAの対象外で、1件は証明書、5件はパスワードで認証します。だからこそ、その5件は保管庫に入れてローテーションする必要があります。
期末時点のID状況
アカウント数はライセンス数ではなく、重複しないID数です。Entra IDのアカウントとアプリ内ログインの両方を持つ従業員は1件として数え、アプリ側のアクセス権はアクセス権限レビューレポートに記載します。
対応が必要な4件
根拠。 非人間アカウント4件 — バックアップ実行用、スキャナーのフォルダ保存用、マーケットデータ連携用、レガシーのレポートスケジューラー — で所有者欄が空欄です。パスワードの最終設定は2024-11から2025-06の間。3件がファイルサーバーへの書き込み権限を持ち、いずれもMFAはありません。サービスIDとしては想定どおりですが、その分パスワード自体の価値が高まります。
影響。 書き込み権限を持つ、長期間有効で所有者不明の資格情報は、典型的な横展開の経路です。しかも未知の依存関係を壊すリスクがあるため、誰もローテーションを承認できません。悪用の有無にかかわらず、監査人はこれを統制の不備として扱います。
推奨対応。 各アカウントに実名の業務所有者を割り当て、依存関係を文書化し、資格情報を保管庫へ移し、180日周期でローテーションします。レガシーのレポートが利用されていなければ、そのスケジューラーは廃止します。
根拠。 運用メールボックスは、委任アクセス付きの共有メールボックスではなく、パスワードを4名が知るライセンス付きユーザーアカウントです。サインインログでは当期に4台の異なる端末、2か国からのアクセスを確認しています。
影響。 メールボックス上の操作を個人に紐づけられず、監査証跡も調査も成立しません。4名が保持する資格情報にMFAを課しても実質的な意味を持ちません。
推奨対応。 真の共有メールボックスへ変換し、4名に送信者としての委任権限を付与したうえで、元のサインインを無効化しライセンスを解放します。
根拠。 2件は長期休職中の従業員のもの（復帰予定日は人事と確認済み）、1件は5月に契約終了した業務委託先のもので、復帰の可能性を考慮しクライアントの依頼により有効のまま残されています。
影響。 有効だが使われていないアカウントは、運用上の利点なく攻撃対象領域を広げるだけで、デューデリジェンスでも定番のサンプリング対象です。
推奨対応。 休職の2件は削除ではなく無効化とし、再有効化の手順を文書化します。業務委託先のアカウントは閉鎖し、契約が再開すれば再発行します。
根拠。 従業員41名のうち39名が認証アプリまたはパスキーを利用しています。2名は8月に端末を買い替えた後もSMSのままです。
推奨対応。 9月のオンサイト訪問時に2名を認証アプリへ再登録し、テナントの許可方式からSMSを削除します。
7月に多要素認証の対象外として報告した2件は、2026-08-06と2026-08-11に登録され、従業員の適用率は41/41になりました。条件付きアクセスポリシーにユーザー単位の除外は残っていません。
5項目のサービスレベルすべて達成
| 約定サービスレベル | 目標 | 実績 | 判定 | 備考 |
|---|---|---|---|---|
| 退職時のアクセス権失効 | 4時間以内 | 平均1.4時間 | MET | 退職者3名中3名 |
| 入社時のアカウント準備 | 入社日まで | 2件中2件 | MET | いずれも1日前倒しで準備 |
| 従業員のMFA適用率 | 100% | 100% | MET | 41件中41件 |
| 特権アクセスは保管庫経由 | 100% | 100% | MET | 5アカウント、23回の取り出しを記録 |
| 月次レポート発行 | 第5営業日まで | 第3営業日 | MET | 2026-09-03発行 |
3期間の推移
| 指標 | 2026年6月 | 2026年7月 | 2026年8月 | 推移の方向 |
|---|---|---|---|---|
| 有効アカウント | 54 | 53 | 52 | 退職が入社をやや上回り、緩やかに減少。 |
| MFA適用（従業員） | 37/42 | 39/41 | 41/41 | 完全適用。ユーザー単位の除外は残っていない。 |
| 90日超の休眠アカウント | 6 | 5 | 3 | 6月から半減。2件は承認済みの休職ケース。 |
| 所有者なしサービスアカウント | 4 | 4 | 4 | 動きなし — クライアント側の所有者決定が必要。 |
| 退職時失効の平均所要 | 3.1時間 | 2.3時間 | 1.4時間 | 人事通知が前倒しになり改善。 |
| 特権資格情報の取り出し | 31 | 27 | 23 | 自動化に伴い減少。すべて保管庫に記録。 |
特権アカウント5件は独立した管理用IDです — うち4件は標準アカウントも持つ実名の従業員またはBCSエンジニアが保持し、残る1件は封印したブレークグラスIDです。従業員41件は各人の標準アカウントのみを数えています。共有／機能用の2件は、運用メールボックスと証明書ベースのサービスプリンシパルです。
特権アカウントと非人間アカウント
管理者権限を持つ、あるいは人間の所有者がいないすべてのアカウントです。標準の従業員アカウントは個別には掲載していません。ディレクトリの完全なエクスポートは別途納品します。
| アカウント | 種別 | 権限 | 所有者 | PW経過 | MFA | 状態 |
|---|---|---|---|---|---|---|
| adm.a.chan | 特権 | 全体管理者 | a.chan | 42日 | パスキー | 保管庫 |
| adm.m.wong | 特権 | Intune管理者 | m.wong | 28日 | アプリ | 保管庫 |
| adm.bcs.svc1 | 特権 | サーバー管理者 | BCS | 15日 | アプリ | 保管庫 |
| adm.bcs.svc2 | 特権 | ネットワーク管理者 | BCS | 15日 | アプリ | 保管庫 |
| brk.glass01 | ブレークグラス | 全体管理者 | クライアントCOO | 61日 | パスキー | 封印 |
| svc.backup | サービス | ファイルサーバー書込 | — なし | 418日 | なし | 所有者なし |
| svc.scan2fold | サービス | ファイルサーバー書込 | — なし | 651日 | なし | 所有者なし |
| svc.mdfeed | サービス | アプリサーバー読取 | — なし | 395日 | なし | 所有者なし |
| svc.rptsched | サービス | ファイルサーバー書込 | — なし | 602日 | なし | 廃止検討 |
| ops.mailbox | 共有 | メールボックス + ライセンス | 運用リード | 211日 | なし | 共通PW |
| sp.backup.api | サービスプリンシパル | Graph読取 | BCS | 証明書 | 証明書 | 問題なし |
認証方式とサインインの健全性
方式ごとの構成比は従業員41件に対するものです。特権ID 5件は別途登録されており — パスキー2件、認証アプリ3件 — 上の表に個別に掲載しています。
| 方式／事象 | 件数 | 構成比 | 備考 |
|---|---|---|---|
| 認証アプリ（プッシュ + 番号照合） | 31 | 75.6% | テナント既定。フィッシング耐性のある番号照合を強制。 |
| パスキー／FIDO2 | 8 | 19.5% | 固定席から利用するフロントオフィス要員。 |
| SMSのみ | 2 | 4.9% | 再登録を予定 — 指摘事項を参照。 |
| ポリシーでブロックした失敗サインイン | 184 | — | 大半は香港・深圳以外からのレガシープロトコル試行。 |
| リスクありと判定されたサインイン | 3 | — | すべて問題なしと確認。出張2件、VPN出口変更1件。 |
| 対応したパスワードリセット | 7 | — | すべてサービスデスクのコールバック手順で本人確認済み。 |
期をまたいで繰り越される未解決項目
| 番号 | リスク | 深刻度 | 担当 | 期限 | 状況 | 次のアクション |
|---|---|---|---|---|---|---|
| ACCT-R01 | 所有者不明でパスワードが古いサービスアカウント — 4件、うち3件が書き込み権限 | HIGH | クライアントIT + BCS | 2026-09-30 | 対応中 | 所有者を割り当て、資格情報を保管庫へ、180日周期でローテーション。 |
| ACCT-R02 | 運用メールボックスの共通パスワード — 操作を個人に紐づけられない | HIGH | BCS Support Center | 2026-09-30 | 未着手 | 委任アクセスの共有メールボックスへ変換し、サインインを無効化。 |
| ACCT-R03 | サインイン実績のない有効アカウント — 90日超が3件 | MEDIUM | クライアント人事 + BCS | 2026-09-30 | 未着手 | 休職2件を無効化し、業務委託先のアカウントを閉鎖。 |
| ACCT-R04 | アカウントレビュー周期が文書化されていない — レビューは実施しているが証跡がない | MEDIUM | クライアントIT + BCS | 2026-11-30 | 未着手 | 四半期レビューを制度化し、署名付きの確認記録を残す。 |
| ACCT-R05 | 第2要素としてSMSを許可 — 許可方式の中で最も弱い | LOW | BCS Support Center | 2026-10-31 | 未着手 | 2名を再登録後、テナントの方式ポリシーからSMSを削除。 |
次期のコミットメント
| BCS Support Center の対応 | クライアントへのお願い |
|---|---|
| 運用メールボックスを委任アクセスへ変換し、ライセンスを解放する。 | サービスアカウント4件それぞれに実名の業務所有者を指名する。 |
| 所有者が決まり次第、サービスアカウント4件の資格情報を保管庫へ移しローテーションする。 | レガシーのレポートスケジューラーが今も利用されているか確認する。 |
| 休眠アカウントを無効化し、再有効化の手順を文書化する。 | 業務委託先との契約が終了していることを確認する。 |
| 四半期アカウントレビューの確認書テンプレートを作成する。 | 四半期アカウントレビューの承認者を指名する。 |
本レポートの作成方法
| データソース | 抽出日時 | レコード数 | 用途 |
|---|---|---|---|
| Entra IDディレクトリのエクスポート | 2026-09-01 02:10 HKT | アカウント45件 | アカウント状態、最終サインイン、MFA方式、ロール割当。 |
| オンプレミスディレクトリ | 2026-09-01 02:15 HKT | アカウント7件 | サービスアカウント、パスワード経過日数、グループ所属。 |
| サインイン・監査ログ | 2026-09-01 03:00 HKT | 31日分 | 失敗サインイン、リスクサインイン、特権の取り出し。 |
| 人事の入社/異動/退職連携 | 2026-08-31 | イベント6件 | サービスレベルに対するライフサイクルの所要時間。 |
| 資格情報保管庫のログ | 2026-09-01 | 取り出し23件 | 特権アクセスの証跡とローテーション日。 |
手法と定義
有効アカウントとは いずれかのディレクトリまたはアプリケーション内ストアにおいて、認証可能な有効状態のIDすべてを指します。無効化済みおよび論理削除済みのアカウントは件数から除外しますが、監査証跡として12か月保持します。
特権アカウントとは テナント、サーバー、またはネットワーク機器上で管理ロールを持つIDです。特権IDは保持者の標準アカウントとは別のIDであり、別建てで計上します。
退職時の失効は 人事通知のタイムスタンプから最後のアクセス権削除までで測定し、ディレクトリのサインイン、メールボックス、VPN、アプリログイン、デバイス登録を対象とします。そのすべてが失効して初めて、完了として数えます。
対象外。 各アカウントがどのファイル、メールボックス、アプリロールに到達できるかという権限の詳細は、四半期のアクセス権限レビューで報告します。Microsoft 365テナントのセキュリティ設定はM365セキュリティレポートで報告します。
本書は説明用に匿名化したサンプルです。顧客名、アカウント名、ユーザー識別子、部署名は架空の値に置き換えています。件数、比率、日付、指摘事項は代表的な管理対象のID環境を反映したものです。実際の顧客データは一切含まれていません。
BCS Support Center · it-service@brocent.com
本レポートについて、よくいただくご質問
当期に作成・変更・無効化されたすべてのアカウントについて、人事側のトリガー日、実施日、所要時間を記載します。退職処理の適時性は運用デューデリジェンスで最も精査される統制のため、平均値ではなくアカウント単位で報告します。
特権IDは毎月、その必要性と認証方式とともに個別に掲載します。非人間のサービスアカウントは設計上MFAの対象外であるため別建てで報告し、代わりに保管庫での管理とローテーションを行います。
90日間、対話型サインインがないことです。休眠アカウントは削除ではなく無効化を推奨として報告します。記録保持の観点から、メールボックスとファイルの所有関係を保つためです。
御社のシステムアカウント管理レポートに何が書かれるかを見る
無料ITヘルスチェックでは、御社の実環境に対して本レポートの初版を作成します。費用も、その後の契約義務もありません。期間は約1週間、御社チームのお時間は数時間程度です。