基本は「最小権限の原則」です。社員には仕事に必要な範囲だけの権限を与え、管理者権限は限られた人・限られた場面に絞ります。さらに、定期的に権限を棚卸しして、異動・退職で不要になった権限を外します。
権限を設計する
- 個人ごとではなく、役割（部署・職務）ごとに権限のセットを作る
- 顧客データ・人事データ・経理データは閲覧できる人を限定
- 共有アカウントを使わない（誰が操作したかわからなくなる）
- 管理者用アカウントは、普段の業務用と分ける（管理者権限）
棚卸しの手順
- システムごとにアカウントと権限の一覧を出す
- 人事の情報（在籍・部署）と突き合わせる
- 上司が「この権限は必要か」を確認
- 不要な権限・アカウントを削除し、記録を残す