退職者のIT対応では、アカウントを先に削除すると、必要なメールやファイルまで引き継げなくなることがあります。反対に、引き継ぎを優先してアクセスを残すと、退職後も社内データへ接続できる状態が続きます。
安全に進める順番は、対象を洗い出す、引き継ぎ先を決める、退職時刻にアクセスを止める、データを移す、ライセンスとアカウントを整理する、記録を残すです。
この記事の結論
- 退職日が決まったら、人事・上長・IT担当で対象アカウントとデータを洗い出す
- アカウントを削除する前に、メール、ファイル、予定表、顧客連絡、所有権の引き継ぎ先を決める
- 最終勤務時刻にサインインをブロックし、セッション、アプリ、端末からのアクセスを止める
- Microsoft 365だけでなく、個別契約のSaaS、共有パスワード、Webサイト、ドメイン、SNSも確認する
- 作業者、日時、対象、結果、例外を記録し、後から確認できるようにする
IPAの「中小企業の情報セキュリティ対策ガイドライン 第4.0版」では、退職・任期満了時に情報、機器、ID、鍵などを回収し、データを復元できない方法で消去する考え方が示されています。IT部門だけの作業ではなく、人事手続きの一部として標準化することが重要です。
退職者対応で起きやすい3つの事故
退職後もクラウドへ入れる
メールのパスワードを変えても、ブラウザーやスマートフォンのサインイン状態が残っている場合があります。サインインのブロックに加えて、既存セッションの無効化、会社管理端末の処置、連携アプリの確認が必要です。
業務データが個人領域に残る
見積書、顧客とのメール、手順書が退職者のOneDriveやメールだけにあると、削除後に業務が止まります。データの保存先と引き継ぎ担当者を先に決めます。
Microsoft 365以外のSaaSを見落とす
会計、勤怠、名刺管理、生成AI、ファイル転送、Webサイト、SNSなど、各部署が個別に契約したサービスは管理台帳から漏れやすいものです。メールの受信履歴、ブラウザーのブックマーク、経費明細、パスワード管理ツールも手掛かりにします。
退職前に行う準備
1. 対象アカウントと権限を洗い出す
退職者名だけで検索せず、メールアドレス、社員番号、別名アドレス、管理者権限、APIキー、共有アカウントへの参加を確認します。
| 区分 | 確認するもの |
| 基本ID | Microsoft 365、Google Workspace、Windows、VPN、Wi-Fi |
| 業務SaaS | 会計、勤怠、CRM、チャット、オンラインストレージ、生成AI |
| 管理権限 | 全体管理者、請求管理者、ドメイン、Webサイト、SNS、広告 |
| データ | メール、OneDrive、SharePoint、ローカルPC、USB、外付けストレージ |
| 認証情報 | 共有パスワード、APIキー、回復用メール、電話番号、認証アプリ |
| 機器・物理物 | PC、スマートフォン、ICカード、鍵、セキュリティトークン |
2. 引き継ぐデータと所有権を決める
「必要そうなデータを全部コピーする」では、個人情報や不要なデータまで残すおそれがあります。業務上必要な範囲、保管期限、アクセスできる人を決めてください。
- 顧客との継続中のメールは誰が受け取るか
- OneDriveのファイルをどのSharePointサイトへ移すか
- 予定表、会議、Teams、共有フォルダーの所有者を誰に変えるか
- Power Automate、Forms、Bookingsなどの処理を誰が引き継ぐか
- 法令、契約、訴訟対応などで保存が必要なデータがあるか
法的保存が関係する場合は、通常の削除手順だけで判断せず、法務担当者や専門家へ確認します。
3. 停止時刻と作業担当を決める
最終出社日と雇用契約上の退職日が異なる場合があります。「最終勤務日の17時」など、アクセスを止める具体的な時刻を人事と合意します。
作業担当者だけでなく、確認者も決めます。管理者本人が退職する場合は、別の管理者アカウントを事前に用意し、緊急用アカウントと多要素認証の連絡先を確認します。
退職当日のアクセス停止手順
作業順は環境によって変わりますが、次の流れを基本にします。
- サインインをブロックする
Microsoft 365やGoogle Workspaceなど、組織の基本IDからアクセスを止めます。 - 既存セッションを無効化する
ブラウザー、Officeアプリ、スマートフォンなど、サインイン済みの接続を失効させます。 - 多要素認証と回復手段を確認する
個人の電話番号、認証アプリ、個人メールが管理者や共有アカウントの回復手段に残っていないか確認します。 - 会社端末を回収・隔離する
PC、スマートフォン、USB、認証トークンを回収し、返却記録を残します。再利用前に業務データを保全し、会社基準で初期化します。 - 個別SaaSと外部サービスを停止する
基本IDとシングルサインオン連携していないサービスは、個別に停止します。 - 共有認証情報を変更する
共有パスワード、Wi-Fi、APIキー、SNS、Webサイト管理画面など、退職者が知っている認証情報を見直します。 - 外部共有とゲスト権限を確認する
他社のMicrosoft 365やGoogle Workspaceへゲスト参加している場合は、先方にも削除を依頼します。
Microsoft 365で削除前に行うこと
Microsoftは、元従業員の処理を次の順で案内しています。
- Microsoft 365へのサインインをブロックする
- メールボックスの内容を保存する
- モバイルデバイスをワイプまたはブロックする
- メールを転送する、または共有メールボックスへ変換する
- 後任者へOneDriveとOutlookデータのアクセス権を付与する
- ライセンスを外し、必要に応じて契約数を整理する
- ユーザーアカウントを削除する
Microsoftの公式案内では、ユーザーアカウントを削除した後、OneDriveとOutlookのコンテンツは既定で30日間保持され、その期間はアカウントを復元してアクセスできます。ただし、30日を過ぎてから気付く運用は危険です。削除前に保存先と後任者を決めてください。
また、オンプレミスのActive DirectoryからMicrosoft 365へ同期している環境では、Microsoft 365管理センターだけで削除できません。元のActive Directory側で処理します。
退職後に行う確認
ライセンスと契約数を整理する
ライセンスを外しただけでは、契約数や請求が自動的に減らない場合があります。別の社員へ再割り当てするのか、更新時に契約数を減らすのかを記録します。
年間契約や販売パートナー経由の契約は条件が異なるため、契約書と管理画面を確認してください。
ログと転送を点検する
退職後に不審なサインインがないか、重要サービスのログを確認します。メール転送や共有メールボックスは期限を決め、不要になったら停止します。無期限に残すと、権限と個人情報の管理が複雑になります。
台帳へ結果を記録する
最低限、次の項目を残します。
- 退職者、所属、最終勤務日、アクセス停止時刻
- 処理したアカウントと機器
- データの引き継ぎ先と保管期限
- ライセンスの再割り当て・解約予定
- 作業者、確認者、作業結果
- 未完了項目、例外、先方への削除依頼
そのまま使える退職者ITチェックリスト
退職前
- 人事、上長、IT担当で最終勤務時刻を合意した
- 利用中のアカウント、SaaS、管理権限を一覧化した
- メール、ファイル、予定表、ワークフローの引き継ぎ先を決めた
- 管理者権限と多要素認証の代替手段を用意した
- 返却するPC、スマートフォン、鍵、カードを確認した
- 法令・契約上のデータ保存要件を確認した
退職当日
- 基本IDのサインインをブロックした
- 既存セッションを失効させた
- 個人の回復用メール・電話番号・認証アプリを外した
- 会社端末と物理物を回収した
- 個別SaaSとゲストアカウントを停止した
- 共有パスワード、APIキー、必要なWi-Fi情報を変更した
退職後
- メールとファイルを後任者が利用できることを確認した
- 不審なサインインと転送設定を確認した
- ライセンスを再割り当て、または契約数の見直し予定を記録した
- 回収端末を保全・初期化し、再利用または廃棄の記録を残した
- 作業結果と未完了項目を台帳へ記録した
自社対応が難しくなるサイン
次の状態では、退職者が出るたびに漏れなく処理するのが難しくなります。
- 社員が使うSaaSの一覧がない
- Microsoft 365やGoogle Workspaceの管理者が誰か分からない
- 前任者の個人メールや電話番号が多要素認証に使われている
- パスワードをExcelや紙で共有している
- 会社PCの台数、利用者、BitLocker回復キーの保管先が分からない
- 退職後に「このサービスも使っていた」と判明する
- 作業記録がなく、停止できたか確認できない
まずは、社員、端末、アカウント、SaaS、管理者の5つを台帳化してください。少人数なら表計算でも始められますが、更新担当と確認頻度を決めない台帳はすぐ古くなります。
まとめ
退職者のIT対応は、アカウント削除だけでは完了しません。業務データを引き継ぎながら、退職時刻にアクセスを止め、端末、SaaS、共有パスワード、ライセンス、記録まで一連の手順として管理する必要があります。
自社でできる第一歩は、チェックリストと台帳を作り、次の退職者が出る前に管理者と作業担当を決めることです。一方、アカウントや端末の全体像がなく、管理者権限や多要素認証の引き継ぎも不明な場合は、日常運用から外部のIT担当へ相談する方が安全です。
株式会社マリートのIT顧問サービスでは、公式サイト上で、IT資産の棚卸し、ライセンス整理、Microsoft 365・Google Workspaceの運用、新入社員・退職者のITアカウント手続きを支援範囲として案内しています。北海道外などオンライン中心の支援には、ポケットSEという選択肢もあります。
相談時は、社員数、利用中のMicrosoft 365またはGoogle Workspace、端末台数、退職予定日、分かっていない項目を伝えると、必要な作業範囲を整理しやすくなります。