従業員のアカウントを作成する「プロビジョニング」に比べ、退職・異動時にアカウントを無効化する「デプロビジョニング」は後回しにされがちです。しかし、退職者のアカウントが放置されることは、企業にとって重大なセキュリティリスクです。本記事では、デプロビジョニングを自動化する必要性と、SCIMを活用した実装アプローチを解説します。
1. デプロビジョニングとは何か、なぜ重要か
デプロビジョニングとは、従業員の退職・異動・契約終了に伴い、その人物に付与されていたアカウント・アクセス権限を無効化・削除するプロセスを指します。IDライフサイクル管理における「入社（プロビジョニング）」「異動」「退職（デプロビジョニング）」の3フェーズのうち、最も見落とされやすいのがこのデプロビジョニングです。
放置された退職者アカウントの実態
多くの企業で、退職者のアカウント棚卸しを実施すると、退職から数ヶ月〜数年経過してもなお有効な状態のアカウントが発見されます。こうした「休眠アカウント」は、本人が使うことはなくとも、パスワードが使い回されていた場合や、退職者が悪意を持っていた場合の攻撃経路として悪用されるリスクを常に抱えています。
2. 手動デプロビジョニングの限界
人事部門からの退職連絡を受けて、情報システム部門が各システムを個別に確認しながらアカウントを無効化する、という手動プロセスには構造的な限界があります。
- 連携のタイムラグ：人事部門から情シス部門への連絡が遅れると、退職日を過ぎてもアカウントが有効なまま残る
- 対象システムの網羅漏れ：従業員が利用しているSaaSやシステムの全体像を情シス部門が正確に把握できていない場合、一部のシステムでの無効化が漏れる
- 属人化：デプロビジョニングの手順が特定の担当者の記憶・チェックリストに依存し、担当者不在時に対応が遅れる
- 緊急退職への対応の遅れ：懲戒解雇等の緊急性の高いケースで、即時のアクセス遮断が間に合わない
3. SCIMによる自動デプロビジョニングの仕組み
SCIM（System for Cross-domain Identity Management）は、IDプロバイダーと各SaaS・システム間で、ユーザー情報の作成・更新・削除を自動的に同期する標準プロトコルです。デプロビジョニングの文脈では、以下のような流れで自動化が実現します。
- 人事システム（HRIS）で退職日・退職処理が登録される
- 人事システムとIdP（Microsoft Entra ID等）が連携しており、登録内容がIdP側に自動反映される
- IdPが、SCIM対応している各SaaS・システムに対して、該当アカウントの無効化リクエストを自動送信する
- 各システム側でアカウントが無効化され、以降のログインができなくなる
この仕組みにより、情シス担当者が個別のシステムに手動でログインして無効化作業を行う必要がなくなり、退職日当日、あるいは指定した時刻に自動的にアクセスが遮断される運用が実現します。
KeyperのSCIM連携で退職者対応を自動化
Net PeaceのKeyperは、SCIM連携による自動デプロビジョニングと、FIDO2認証によるアクセス制御を組み合わせて提供します。人事システムと連携し、退職者アカウントの削除漏れを防ぎます。
4. 実装パターン：人事システム連携
デプロビジョニング自動化の起点は、多くの場合「人事システム（HRIS）」です。実装にあたっては、以下のパターンが一般的です。
HRIS→IdP→各SaaSの一気通貫連携
人事システムを「マスターデータ」の起点とし、IdPが中継役となって各SaaS・システムへSCIM連携でアカウント状態を反映する構成です。人事システム側の退職日登録が、最終的にすべてのシステムへ波及する、最も理想的な形です。
IdP起点での手動トリガー
人事システムとの自動連携が難しい場合、情シス担当者がIdP側で対象ユーザーを無効化操作すると、SCIM連携済みの各SaaSに自動的に無効化が伝播する構成です。人事システムとの連携は手動ですが、IdPから先の伝播は自動化されているため、対象システムの網羅漏れというリスクは解消できます。
5. 自動化してもなお必要な人的チェック
SCIM連携によって多くの作業が自動化されても、以下の点は引き続き人的なチェックが必要です。
- SCIM非対応システムの洗い出し：レガシーシステムや小規模なSaaSの中には、SCIM連携に対応していないものも存在する。こうしたシステムは手動プロセスを維持し、チェックリストで管理する必要がある
- 権限の完全性の定期監査：自動化された仕組みが正しく機能しているかを、定期的な棚卸しで検証する
- 共有アカウント・サービスアカウントの扱い：個人に紐づかないアカウントは、SCIM連携の対象外になりやすく、別途手動での管理が必要
6. 導入ステップ
| ステップ | 内容 |
|---|---|
| 1. 現状の棚卸し | 従業員が利用している全システムの一覧化、SCIM対応状況の確認 |
| 2. IdPの整備 | 認証の入口となるIdPへの各システムの接続、SCIM連携の設定 |
| 3. 人事システムとの連携 | 退職・異動情報がIdPに自動反映される仕組みの構築 |
| 4. 非対応システムの運用ルール整備 | SCIM非対応システムに対する手動チェックリストの作成 |
| 5. 定期監査の実施 | 自動化の網羅性・正確性を確認する定期棚卸しの運用開始 |
よくある質問
Q1: デプロビジョニングの自動化には、どんなシステムの導入が必要ですか？
SCIM対応のIdP（アイデンティティプロバイダー）を中核に据え、各SaaS・システム側もSCIM連携に対応している必要があります。既存のIdPがSCIM対応しているかをまず確認し、対応していない場合は乗り換えや追加ツールの導入を検討します。
Q2: 中小企業でも自動化するメリットはありますか？
従業員数が少なくても、退職者アカウントの放置は同様にリスクとなります。ただし、システム数が少なく担当者の目が届きやすい場合は、まず手動チェックリストの整備から始め、SaaS利用数が増えてきた段階で自動化を検討するという段階的なアプローチも現実的です。
Q3: 自動化した後、監査で何を確認されますか？
SCS評価制度をはじめとする第三者評価では、退職者アカウントが遅滞なく無効化されていることを示す証跡（無効化のタイムスタンプ、対象システムの一覧）の提示が求められることがあります。自動化の仕組みとあわせて、ログとして証跡が残る設計にしておくことが重要です。
7. まとめ
デプロビジョニング自動化のポイントを振り返ります。
- 退職者アカウントの放置は、多くの企業で発見される深刻なセキュリティリスクである
- 手動デプロビジョニングは、連携のタイムラグ・対象システムの網羅漏れ・属人化という構造的な限界を抱える
- SCIMを活用し、人事システム→IdP→各SaaSへの自動連携を構築することで、削除漏れのリスクを大幅に低減できる
- SCIM非対応のレガシーシステムには、手動チェックリストによる運用を並行して維持する
- 自動化後も、定期的な棚卸し監査によって仕組みの正確性を検証し続けることが重要
Net PeaceのKeyperは、SCIM連携による自動デプロビジョニングとFIDO2認証を組み合わせ、退職者対応の抜け漏れをなくす仕組みづくりを支援します。