アクセス権は放っておくと増える一方です。プロジェクトのために渡したアクセス権、異動前の所属で持っていたグループ、退職者が作ったまま残った保管庫。どれも誰かが意識して外さない限り残り続けます。1Passwordには「使われていないアクセス権」を自動で知らせる仕組みがないので、定期的に人が見る作業を運用に組み込むことになります。このページでは、棚卸しで見る3つの層、材料のそろえ方、実効的なアクセスの読み方、頻度と担当の決め方、外すときの順序を説明します。設計そのものは保管庫の分割パターンで扱います。
見るのは3つの層
アクセス権を1つの表にまとめようとすると破綻します。性質の違う3つの層に分けて、別々に見てください。
| 層 | 対象 | 見落としたときに起きること |
|---|---|---|
| 管理操作 | グループに付いたパーミッション | 退職者や異動者が管理操作を実行できる |
| データ | 保管庫ごとの人とグループ | 業務に関係のないクレデンシャルが見える |
| 外への出口 | 共有リンク、エクスポート、アプリ、統合 | 持ち出された記録が残らない |
多くの組織は真ん中だけを見て終わりにします。実際に事故になりやすいのは上と下です。管理操作の割り当ては管理権限の一覧と割り当て方で、外への出口のうち共有リンクはアイテムの共有と共有リンクの統制で扱います。
材料をそろえる
画面を順に開くのではなく、先に一覧を手元に集めます。
人から見る
レポートのチームレポートに、チームメンバーとゲストの一覧が出ます。状態、最終のサインイン、端末の数、従業員保管庫のアイテム数、2要素認証の有無が並びます。
一時停止のまま放置されている人と、長期間サインインしていない人を先に拾います。読み方は利用状況と定着のレポートで扱います。
保管庫から見る
保管庫から対象を開くと、人とグループのタブに、その保管庫にアクセスできる相手が並びます。個別に付けた分とグループ経由の分が両方出ます。利用状況レポートの作成から、その保管庫で実際に使われたアイテムの一覧も作れます。
外への出口から見る
保管庫のアプリアクセスのタブで、どのアプリから開けるかを確かめます。統合のタブには、その保管庫に接続しているサービスアカウントが出ます。人だけを見ていると、ここが残ります。
【注意】
使用状況レポートに出てくるのは、作成した人が保管庫の管理を持っている保管庫だけです。棚卸しの担当者にこのパーミッションがないと、空に近いレポートができあがり、使われていないという誤った結論になります。対象の保管庫を持つ人に作ってもらうか、イベントレポートで外に出して集計してください。
実効的なアクセスを読み違えない
画面に出ている表示と、その人が実際にできることは一致しないことがあります。
同じ保管庫に対して、グループ経由のパーミッションと個別に付けたパーミッションの両方がある場合、強い方が適用されます。閲覧だけのグループに入れたつもりでも、過去に個別で編集を渡していれば編集できます。グループから外しただけでは効果がありません。
所有者グループのメンバーは、アカウント内の全ての共有保管庫にアクセスできます。作成者が退職して誰も管理していない保管庫も対象です。人数を絞る理由はここにあります。
従業員保管庫はパーミッションを変更できません。中身も直接は見えません。ただしアイテムの数はレポートに出ますし、アカウントの復旧を実行できる人は中身に到達できます。棚卸しの対象は、保管庫そのものではなく復旧のパーミッションを持つ人の一覧になります。
保管庫を作れるのは、既定ではチームメンバーグループの全員です。作った人がその保管庫を管理する立場になります。増え方を抑えるなら保管庫の作成をグループから外し、部門の責任者のカスタムグループに付け直してください。
頻度と担当を決める
四半期に一度を基本にして、人の異動が集中する時期の直後に1回を足す形が実務的です。年に一度だけにすると、1回当たりの件数が増えて終わりません。
担当は、アクセス権を渡す人とは別にします。渡した本人が見直すと、渡した判断を追認することになります。情報システム部門が一覧を作り、各保管庫の責任者が要否を判断し、判断の結果を情報システム部門が反映する。この3段構えにすると、責任の所在がはっきりします。
保管庫の責任者を決めていない組織では、棚卸しの前に決めるところから始まります。誰に聞けばいいか分からない保管庫は、その時点で廃止の候補です。
外すときの順序
外す作業は、確認、特定、削除、事後処理の順に進めます。
確認は、その人が本当に使っていないかを使用状況レポートで見ることです。最後に使った日が古くても、年に一度の業務で使うものがあります。
特定は、そのアクセスがグループ経由か個別かを見分けることです。個別の分だけを消してもグループが残っていれば、アクセスは続きます。逆にグループから外すと、同じグループの他の人にも影響します。
【運用のポイント】 アクセスを外しても、それまでに見られた内容は取り消せません。退職や異動でアクセスを外す場合は、その人が見られたクレデンシャルの変更まで含めて1つの作業にしてください。変更の優先順位は、業務上の重要度の高い保管庫からです。一度に全部を変えようとすると止まります。退職時の一連の作業は退職時の手順で扱います。
記録に残す
実施した記録が残っていないと、次回にどこまで見たかが分かりません。監査の場でも、判断の経緯を聞かれます。
一覧をCSVで書き出し、誰が要否を判断したかを列に足して保管してください。1Password側に棚卸しの記録を残す場所はありません。実際に外した操作は監査ログに365日残りますが、外さないと判断した分は記録されません。判断の記録は自社側に置くことになります。
次回への申し送りも残します。今回は保留にしたもの、判断できずに持ち越したもの、責任者が不在のままの保管庫。この3つを書いておくと、次の担当者が同じ調査を繰り返さずに済みます。