退職者のアカウントを確実に止める：ID の台帳の作り方と、退職日までにやる順番（管理表つき）

「先月辞めた人のアカウント、まだ使えるままだった」。社内のパソコンや業務システムを兼任で管理していると、こうしたことに後から気づくことがあります。

退職の手続きは、社会保険や雇用保険のように期限と様式が決まっているものから進みます。一方、メール、チャット、業務システム、クラウドのストレージ、会社のスマートフォン、入館カードといった社内のアカウントや鍵には、決まった様式がありません。だからこそ、誰がどこまで止めたのかがあいまいになりがちです。

この記事では、IPA・警察庁などの公的な資料をもとに、退職者のアカウントを確実に止めるための台帳の作り方と、退職が決まってから退職日の翌日までにやる順番をまとめます。社員ごとのアカウントの台帳と、退職の手続きの期限を1つにした管理表を用意しました。登録なしで使えます。

入退社の手続き・アカウント管理表をダウンロードする

結論：台帳を作り、退職日に止め、翌日に確かめる

退職者のアカウントを確実に止めるには、次の3つを仕組みにします。

• 台帳を作る。 誰が、どのサービスに、どんな権限を持っているかを一覧にします。台帳がないと、止めるべきアカウントを数えられません。
• 退職日に止める。 退職が決まった時点で、台帳からその人の行を拾い、退職日に止めるもの・回収するものを決めます。
• 翌日に確かめる。 止まっているか、退職後にログインがないかを確かめ、台帳に済んだ日を書きます。

あわせて、共有のアカウントのパスワードの変更、鍵や入館カードの回収、異動したときの権限の見直しも、同じ台帳で行います。

止め忘れると、何が起きうるか

元従業員などによる不正アクセスは、毎年起きている

国家公安委員会・総務大臣・経済産業大臣が毎年公表している「不正アクセス行為の発生状況」（2026年3月12日）によると、2025年に検挙された、他人の ID・パスワードを使う型の不正アクセスは399件でした。このうち61件（15.3%）は、「識別符号を知り得る立場にあった元従業員や知人等による犯行」です。

この区分は元従業員と知人などを合わせた数で、元従業員だけの数ではありません。それでも、「識別符号を知り得る立場にあった元従業員や知人等による犯行」が、2021〜2025年に毎年41〜107件検挙されていることが分かります。同じ資料は、防ぐための注意として、ID・パスワードを知り得る立場にあった元従業員や委託先の人などによる不正アクセスが起きていることから、ID の削除やパスワードの変更を速やかに行うよう呼びかけています。

退職者は、情報の持ち出しの経路にもなる

IPA の「情報セキュリティ10大脅威 2026」では、組織への脅威の7位に「内部不正による情報漏えい等」が入っています（2016年から11年連続）。解説書は、内部不正の手口の一つに在職中に割り当てられたアカウントの悪用を挙げ、離職者の利用者 ID やアクセス権を削除していないと、情報を盗んだり不正に操作したりできてしまう、と書いています。

IPA の「組織における内部不正防止ガイドライン」は、退職者からの情報の持ち出しを、内部不正の対策の一つとして扱っています。IPA の「企業における営業秘密管理に関する実態調査2024」（2025年公表）では、営業秘密の漏えいを認識した企業（426社、複数回答）が挙げた漏えいの経路に、中途退職者（役員・正規社員）による漏えいが17.8%、契約満了後または中途退職した契約社員・派遣社員などによる漏えいが14.6%、定年退職者による漏えいが12.0%ありました。2020年の調査では、中途退職者による漏えいは36.3%でした。退職者は、今も情報の持ち出しの経路の一つになっています。

個人情報なら、国への報告が必要になることもある

個人情報保護委員会の「個人情報保護法ガイドライン（通則編）」は、漏えいなどの報告が必要になる例として、「不正アクセスにより個人データ…が漏えいした場合」や「従業者が顧客の個人データを不正に持ち出して第三者に提供した場合」を挙げています。止め忘れたアカウントを使って退職後に個人データを持ち出されれば、会社の信用だけでなく、報告や本人への通知の義務にもつながりえます。

公的な資料は「ただちに」「速やかに」と書いている

退職者のアカウントをいつ止めるかについて、公的な資料の書き方は次のとおりです。

規程のサンプルは、法律の義務ではありません。ただ、不要になった日（退職者なら退職日）の翌日まで、という目安は、中小企業でも守りやすい決め方です。この記事では、退職日に止め、翌日に確かめる、という順番を勧めます。

アカウントの台帳を作る

止め忘れを防ぐ一番の方法は、台帳を作ることです。IPA の中小企業向けガイドラインも、ID の発行から削除までを管理するプロセスを定めるよう勧めています。

台帳に書く項目

台帳は、社員1人とサービス1つの組み合わせを1行にします。

「サービスの管理者」の列が大事です。会計ソフトは経理、業務システムは委託先、と止められる人がサービスごとに違うことがよくあります。退職日に誰に頼めばよいかを、台帳から読めるようにします。

台帳の作り方

最初から完璧な台帳を作ろうとすると、手が止まります。次の順に埋めていきます。

1. 会社として契約しているサービスを書き出す。 請求書やクレジットカードの明細から、毎月払っているサービスを拾うと漏れが減ります。
2. サービスごとに、管理画面から利用者の一覧を出す。 多くのサービスは、管理者の画面で利用者を一覧にできます。
3. 社員の名簿と突き合わせる。 名簿にいない人のアカウントがあれば、退職者か外部の人です。理由を確かめます。
4. 管理者の権限を持つ人に印を付ける。 管理者のアカウントは、止め忘れたときの影響が大きいところです。

このとき、すでに退職した人のアカウントが見つかることがあります。見つかったら、データを残す必要があるかを確かめたうえで、止めます。

台帳の置き場所も決めます。台帳には、誰がどのサービスの管理者かという、攻撃する側にとっても役に立つ情報が載ります。見られる人を総務と管理者に絞った場所に置き、パスワードそのものは台帳に書きません。パスワードは、パスワード管理のサービスなど別の場所で管理します。

共有のアカウントは、使う人を書く

部署で1つのアカウントを共有している場合、台帳にはそのアカウントを使う人全員を書きます。IPA の中小企業向けガイドラインは、共有 ID はなるべく使わず、やむを得ず使う場合は、共有 ID を使った人を特定できる仕組みにするよう勧めています。

共有のアカウントは、退職した人もパスワードを知っています。IPA の内部不正防止ガイドラインの事例には、退職後に共有アカウントのパスワードが変えられていなかったため、社内のシステムの機密情報に不正にアクセスされた例が載っています。

退職が決まってから、退職日の翌日までにやる順番

退職が決まったら、台帳からその人の行を拾い、次の順に進めます。

退職日までに：データの持ち主を移す

アカウントを削除すると、そのアカウントのメールやファイルが消えるサービスがあります。退職日までに、仕事で使うデータの持ち主を別の人に移します。取引先とのやり取りが続く場合は、メールの転送や自動返信をどうするかも決めます。

削除ではなく「停止」にしてデータを残す場合は、いつまで残すかを決め、台帳に書きます。停止のまま何年も残ると、それ自体が管理しきれない資産になります。

退職日までに：誓約書を確かめる

IPA の内部不正防止ガイドラインは、雇用を終えるときに秘密保持契約（誓約書を含む）を結んでおくことが望ましいとしています。退職予定者との面談などで在職中に触れた秘密情報を確かめ、返還・消去すべき情報を持っていないことを確かめる条項を入れる、という進め方も書かれています。

同じガイドラインは、退職のときは誓約書の提出を拒まれることがあるため、退職のときだけでなく、それより前の時点でも結んでおく考え方を示しています。入社の手続きの中で、誓約書を受け取る段取りにしておくと確実です。

退職日：止める・変える・回収する

退職日には、台帳に書いたアカウントを止め、共有のアカウントのパスワードを変え、機器と鍵を回収します。IPA の中小企業向けガイドラインも、退職のときに情報・機器・ID・鍵などを回収し、データを復元できない方法で消し、チェックリストなどで実行状況を見えるようにするよう勧めています。

鍵や入館カードは、アカウントと別の担当が管理していると、漏れやすいところです。IPA の内部不正防止ガイドラインの事例には、退職日の夜に電子キーカードが使える状態のままだった例も載っています。

退職日の翌日：確かめて、記録する

止めたつもりでも、サービスが多いと漏れます。翌日に、台帳のその人の行をもう一度見て、止まっているかを確かめます。サービスによっては、管理画面で最後にログインした日時を見られます。退職日以降のログインがないかも確かめます。

確かめたら、台帳に止めた日と確かめた人を書きます。記録があれば、あとで問題が起きたときにも、いつ止めたかを説明できます。

サービスの種類ごとに、止め方が違う

ひとことで「アカウントを止める」といっても、サービスの種類によって、止め方と気をつけることが違います。台帳には、サービスごとに止め方も書いておくと、退職日に迷いません。

とくに、会社名義の SNS や外部のサービスが、退職者の個人のメールアドレスで登録されていると、会社から止められなくなります。台帳を作るときに、登録のメールアドレスが会社のものかも確かめます。

小さな会社での役割の分け方

社員が数十人の会社では、情報システムの専任の担当がいないことも多いでしょう。退職者のアカウントの停止は、次のように役割を分けると回ります。

止める人と確かめる人を分けておくと、「止めたつもり」を防げます。小さな会社で2人に分けられない場合でも、退職日の翌日に台帳を見直す日を予定に入れておくだけで、漏れは減ります。

退職の連絡がシステムの担当に届かないことも、止め忘れの原因になります。社会保険や雇用保険の退職の手続きを始めるとき、同じ連絡でアカウントの停止も頼む、という流れにしておくと確実です。

異動・委託先・管理者も、同じ台帳で

退職者だけでなく、次の人のアカウントも同じ台帳で管理します。

• 異動した人： 前の部署の業務システムやフォルダの権限が残ったままになりがちです。IPA の中小企業向けガイドラインは、異動した人の権限を見直すルールを定めるよう勧めています。異動の辞令が出たら、台帳でその人の行を見直します。
• 委託先・派遣の人： 契約が終わった委託先のアカウントも、元従業員と同じく止め忘れやすいところです。不正アクセスの資料も、元従業員とならんで委託先の人による不正アクセスに触れています。契約の終わりの日を台帳に書きます。
• 管理者の権限を持つ人： 規程のサンプルでは、特権アカウントは、管理者が退職したら速やかに削除または無効化するとしています。管理者が辞める場合は、管理者の権限を別の人に移してから止めます。

台帳は、作って終わりではありません。年に一度以上、サービスの利用者の一覧と台帳を突き合わせる棚卸しをします。開発会社や保守会社が持っている管理者のアカウントの確かめ方は、「開発会社に確認したいセキュリティの項目」にまとめました。

よくある失敗

• 台帳がなく、止めるアカウントを本人に聞いている。 本人も覚えていないことがあります。サービスの管理画面と突き合わせた台帳から拾います。
• アカウントを削除して、仕事のデータが消える。 退職日までに、データの持ち主を移します。
• 共有のアカウントのパスワードを変えていない。 退職者が出たら、共有のアカウントはパスワードを変えます。
• 鍵・入館カード・スマートフォンの回収が、別の担当で漏れる。 アカウントと同じ台帳に入れます。
• 異動した人の、前の部署の権限が残っている。 異動の辞令が出たら、台帳でその人の行を見直します。
• 委託先のアカウントが、契約が終わっても残っている。 契約の終わりの日を台帳に書きます。

入社・退社の手続きと一緒に回す

アカウントの停止は、社会保険や雇用保険の退職の手続きと同じタイミングで進みます。法律の手続きと社内の準備を別々の表で管理すると、片方だけ済んで片方が漏れます。入社・退社の手続きの期限と届け先は、「入社・退社の手続きを効率化する」にまとめました。この記事の管理表では、手続きの期限とアカウントの台帳を、同じファイルで扱えるようにしています。

おわりに

退職者のアカウントの止め忘れは、管理が甘いからというより、台帳がないことから起きがちです。誰が、どのサービスに、どんな権限を持っているかが一覧になっていれば、退職日にやることは決まります。退職日に止め、翌日に確かめ、記録を残す。それを入社・退社の手続きと同じ表で回すことが、確実に止める近道です。

使っているサービスが多く、台帳の作り方や、業務システムでのアカウントの止め方に迷うときは、ご相談ください。今の状態を一緒に整理します。

出典（2026年11月14日に確認）

• 国家公安委員会・総務大臣・経済産業大臣「不正アクセス行為の発生状況及びアクセス制御機能に関する技術の研究開発の状況」（https://www.npa.go.jp/bureau/cyber/pdf/R080312_access.pdf ）（2026年3月12日）
• IPA「情報セキュリティ10大脅威 2026」と解説書（組織編）（https://www.ipa.go.jp/security/10threats/10threats2026.html ）
• IPA「組織における内部不正防止ガイドライン」第5版（https://www.ipa.go.jp/security/guide/insider.html ）
• IPA「企業における営業秘密管理に関する実態調査2024」報告書概要（https://www.ipa.go.jp/security/reports/economics/ts-kanri/j5u9nn0000004yjn-att/TradeSecret_summary_2024_r2.pdf ）
• IPA「中小企業の情報セキュリティ対策ガイドライン」第4.0版と付録「情報セキュリティ関連規程（サンプル）」（https://www.ipa.go.jp/security/guide/sme/about.html ）
• 個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン（通則編）」（https://www.ppc.go.jp/personalinfo/legal/guidelines_tsusoku/ ）