社内アカウント管理をスプレッドシートでやっていない？セキュアで効率的な一元管理のすすめ

情シスとして日々「誰にどのSaaSアカウントを付与したか」「退職者のID管理は本当に完了しているか」を追いかけながら、スプレッドシートでのSaaSアカウント管理に限界を感じている方は多いのではないでしょうか。SaaSアカウント管理をExcelやGoogleスプレッドシートで頑張っていると、一見一覧性はあるものの、更新漏れ・権限過多・退職者アカウントの残存といったリスクがじわじわと蓄積していきます。本記事では、スプレッドシート中心のSaaSアカウント管理から、ID管理と連携した一元管理へ移行するための考え方と具体ステップを、実務レベルで詳しく解説します。

単なるツール紹介ではなく、「なぜ今の運用が詰まるのか」という根本原因から、「どうIDガバナンスを設計し直すか」「アカウント棚卸しをどう自動化するか」までを一気通貫で整理していきます。最後には、スプレッドシート運用から一歩踏み出したい情シスの方に向けて、株式会社ソフィエイトとしてお手伝いできるポイントもご紹介します。

スプレッドシート運用の限界：なぜ「そこそこ回っている」ように見えて危険なのか

多くの企業では、歴代の情シス担当が作った「アカウント台帳」のスプレッドシートがSaaSアカウント管理の中心になっています。入社があれば行を追加し、退職があれば色を変え、権限を変えたら備考欄にメモする――このやり方はシンプルでとっつきやすい反面、ID管理という観点で見ると構造的な限界があります。

第一に、スプレッドシートは「過去の状態の記録」には向いていても、「今この瞬間の正しい状態」を保証する仕組みにはなりません。人事の連絡が遅れれば、入社後数日間SaaSアカウント管理が追いつかないこともありますし、退職情報の伝達漏れがあれば、退職後もしばらくID管理が行われず、重要なSaaSにログインできてしまうアカウントが残り続けます。これではIDガバナンスが効いているとは言えません。

第二に、スプレッドシートでは「権限の粒度」と「ライフサイクル」の表現がどうしても曖昧になりがちです。SaaSアカウント管理において、本来は「従業員 → ロール → 権限セット → SaaS」という形でID管理を設計すべきところを、「管理者」「一般」といったラベリングをセルに手入力しているだけでは、異動や組織変更のたびに人手でアカウント棚卸しをやり直す必要が出てきます。結果として、忙しいタイミングほど権限棚卸しが後回しになり、アクセス権棚卸しが追いつかなくなるのです。

第三に、更新作業が人依存になりやすい点も見逃せません。スプレッドシートでのSaaSアカウント管理は、特定の担当者の頭の中のルールに支えられているケースが多く、「このSaaSはこの人しか触れない」「退職対応はあの人が詳しい」といった属人化が起こります。担当変更や退職があると、途端にID管理のレベルが落ちてしまうリスクがあります。

情シスを追い詰める運用の実態：入退社・権限変更・アカウント棚卸しが回らない理由

では、現場の情シスを苦しめているものは何でしょうか。キーワードは「バラバラな入口」「人手依存のSaaSアカウント管理」「後追いのID管理」の3つです。まず、入社・異動・退職といったイベントの入口が、人事システム・メール・チャット・口頭依頼などバラバラなため、SaaSアカウント管理に必要な情報が統一された形で入ってきません。結果として、情シス側で情報をかき集めてID管理の入力を行う「翻訳作業」が常態化してしまいます。

次に、SaaSアカウント管理が個々のサービスごとの「感覚値」で行われがちな点もボトルネックです。「このSaaSは他社とのコラボにも使うから、社外アカウントも多い」「あのSaaSは部署によって使い方が違う」といった事情が積み重なると、統一的なIDガバナンスのルールを設計するのが難しくなります。結果として、「問い合わせベースで権限を付け外しする」「困っている人を優先して広めの権限を付ける」といった場当たり的な運用に流れやすく、後からアカウント棚卸しをしてみると、想定以上に権限過多なユーザーが見つかる、という状況が起こります。

さらに、アカウント棚卸しや権限棚卸しが「年に一度の大イベント」になっている場合も多いでしょう。各部門にスプレッドシートを配り、「このSaaSアカウント管理の一覧を確認して、不要なID管理対象を教えてください」と依頼するスタイルは、一見筋が良さそうに見えます。しかし、日々変化するSaaSアカウント運用の現実からすると、年1回のアクセス権棚卸しでは変化に追いつかず、その間に発生したリスクを放置しているとも言えます。

本来は、入社・異動・退職などのイベントとSaaSアカウント管理、ID管理の更新、アカウント棚卸しを一つのワークフローとして設計し、「誰かが思い出したときにやる仕事」ではなく、「仕組みとして必ず走るプロセス」に変える必要があります。それができていない限り、情シスは永遠に「目の前の依頼をさばくだけ」で終わってしまい、IDガバナンスの高度化に時間を割くことができません。

理想像：SaaSアカウント管理とID管理を一元化したアーキテクチャとは

ここからは、「あるべき姿」を具体的に描いていきます。キーワードは、「人を起点としたID管理」「ロールベースのSaaSアカウント管理」「継続的なアカウント棚卸し」の3つです。まず、すべての起点となるのは「従業員ID」です。人事システムや従業員マスタを正として、ID管理システム（IdPやIGA）が従業員情報を受け取り、「どの部署・どの職種・どの役職か」といったロールを割り当てます。そのロールに対して、「このロールならこのSaaSのこの権限セット」という形でルールを定義し、SaaSアカウント管理を自動化していきます。

例えば、「営業担当ロール」にはCRM・オンライン会議・ファイル共有への一般権限、「営業マネージャーロール」にはレポート閲覧権限や承認権限を追加するといった具合です。入社時にはロールに応じたSaaSアカウント運用が自動で行われ、異動時にはロール変更に応じて権限が付け替えられ、退職時には関連するアカウントが一括で無効化されます。このようにID管理とSaaSアカウント管理が連携していれば、スプレッドシートでの手作業に比べて、抜け漏れのリスクを大幅に減らすことができます。

次に、アカウント棚卸しの仕組みです。理想的には、四半期ごと・半期ごとなどのサイクルでアクセス権棚卸しが自動起票され、各部門長やシステムオーナーに「自部署のSaaSアカウント管理一覧を確認して、不要なID管理対象をレビューしてください」とタスクが飛ぶようになっている状態が望ましいと言えます。ツール側で「一定期間ログインしていないアカウント」「ロールに対して権限が過大なユーザー」「退職予定日を過ぎても残っているID管理対象」などを自動抽出し、それを起点にアカウント棚卸しを進めることで、情シスの負荷を抑えながら権限棚卸しの精度を高めることができます。

最後に、監査・コンプライアンス対応の観点です。誰にどのタイミングでどのSaaSアカウント管理が行われたか、どのようなID管理の変更が行われたか、いつアカウント棚卸しやアクセス権棚卸しを実施したかが、後から追跡できる状態になっていることが重要です。ログと証跡が一元的に残っていれば、ISMSや各種監査への対応もスムーズになり、「監査のたびにスプレッドシートとメールを掘り返す」といった非生産的な作業から解放されます。

移行ステップ：スプレッドシートから一元管理へ、現実的に進めるには

とはいえ、「理想像」はわかっても、いきなりすべてのSaaSアカウント管理とID管理を刷新するのは現実的ではありません。ここでは、スプレッドシート運用から一元管理へと移行するための現実的なステップを、情シス目線で整理してみます。

最初のステップは、「現状の見える化」です。今あるスプレッドシートやチケット履歴、請求書などをかき集め、「どのSaaSに何人のユーザーがいて、どのロール・どの権限を持っているのか」「どの部門がオーナーなのか」をリストアップします。この作業自体が一度目のアカウント棚卸しにもなります。大変な作業ではありますが、ここで一度「現実のSaaSアカウント管理の姿」を可視化しておくことで、以降のID管理設計や権限棚卸しの自動化が格段に楽になります。

次に、「運用フローの設計」に移ります。入社・異動・退職のそれぞれについて、「どの時点で誰がどのシステムに情報を入力し、どのようにSaaSアカウント運用やID管理が走るのか」を文章と図で落とし込みます。ポイントは、「情シスだけで完結するフロー」にしないことです。人事・各部門・システムオーナーも含めて、アカウント棚卸しやアクセス権棚卸しに関する責任分界をはっきりさせておくことで、後からIDガバナンスを拡張しやすくなります。

三つ目は、「クイックウィンの設定」です。すべてのSaaSアカウント管理を一度に変えるのではなく、リスクや重要度が高いものからID管理を強化していきます。例えば、「退職者アカウントを一切残さない」ことを最初のゴールに設定し、退職通知からオフボーディングまでを半自動化する仕組みを整えます。オフボーディングフローにアカウント棚卸しと権限棚卸しを組み込むだけでも、全体のリスクは大きく下がります。

最後に、「継続的な改善」です。最初の設計で完璧を目指すのではなく、SaaSアカウント管理とID管理のログや、アカウント棚卸しの結果をもとに、ルールやロール設計を定期的に見直します。情シスとしては、「SaaSアカウント運用・ID管理・アカウント棚卸し・監査対応」がぐるぐる回るサイクルを作り、その上で新しいSaaS導入や権限変更が行われる状態を目指すとよいでしょう。

ツール選定と社内浸透：SaaSアカウント管理基盤をどう作るか

一元管理を実現するには、当然ながらツールの力が欠かせません。とはいえ、「何を選べばよいのか」「IdP・IGA・SaaS管理プラットフォームの違いがよくわからない」という声も多いはずです。ここでは、SaaSアカウント管理とID管理を前提にしたツール選定の考え方を整理します。

まず、IdP中心のアプローチです。SSOやMFAを提供するIdPは、従業員IDとSaaSアカウント管理のハブとなる存在です。ここにロールやグループを定義し、SaaSとのプロビジョニング連携（SCIMなど）を行うことで、入社・異動・退職に応じたID管理が自動化できます。ただし、すべてのSaaSがプロビジョニング連携に対応しているわけではないため、カバー範囲を見極めることが重要です。

次に、SaaS管理プラットフォーム（SMP）です。SMPは組織内のSaaSアカウント管理状況を自動検出し、利用しているサービス・ユーザー数・権限・費用などを可視化します。スプレッドシートでは把握しきれなかったシャドーITや、使われていないライセンス、過剰な権限などを洗い出す上で非常に有効です。アカウント棚卸しや権限棚卸しのワークフローを持つツールも多く、アクセス権棚卸しを自動で回す基盤として活用できます。

さらに、IGA（Identity Governance and Administration）の採用も選択肢に入るでしょう。IGAはID管理に特化したソリューションで、ユーザーアクセスレビュー、ロールマイニング、アカウント再認証など、IDガバナンスに必要な機能を幅広く備えています。SaaSアカウント管理だけでなく、オンプレミスのシステムも含めた横断的なID管理を行いたい場合に有効です。

社内浸透のフェーズでは、単にツールを導入するだけでなく、「なぜSaaSアカウント管理とID管理を変える必要があるのか」「アカウント棚卸しの頻度や方法がどう変わるのか」を、経営層・部門長・現場メンバー向けにきちんと説明することが重要です。特に、権限棚卸しやアクセス権棚卸しに現場の協力が不可欠である以上、情シス主導ではなく全社的な取り組みとして位置づけることが成功の鍵となります。

まとめ：スプレッドシートから卒業し、「回る」SaaSアカウント管理へ

本記事では、情シスが抱えがちなSaaSアカウント管理の悩みを出発点に、スプレッドシート運用の限界と、ID管理・IDガバナンスを前提とした一元管理の重要性をお伝えしました。ポイントは、SaaSアカウント管理を単なる「台帳の維持」から、「従業員ライフサイクルに沿って自動で変化し続ける仕組み」に変えることです。そのためには、入社・異動・退職のイベントと、アカウント棚卸し・権限棚卸し・アクセス権棚卸しのプロセスを結びつけ、「誰かの善意と努力」ではなく「ワークフローとツール」に責任を持たせる設計が欠かせません。

いきなり完璧なID管理やアカウント棚卸しの自動化を目指す必要はありません。まずは現状のSaaSアカウント管理を棚卸しし、「退職者アカウントの削除漏れをなくす」「半年ごとにアカウント棚卸しを回す」といった現実的なゴールから着手するのが現実的です。そのうえで、IdPやSaaS管理プラットフォーム、IGAなどのツールを活用しながら、段階的にIDガバナンスの成熟度を高めていきましょう。

もし自社だけでの設計や推進に不安がある場合は、外部のパートナーに相談するのも有効な選択肢です。株式会社ソフィエイトは、SaaSアカウント管理とID管理の両面からアプローチし、アカウント棚卸しの自動化や運用の定着までを伴走することができます。「スプレッドシートでのSaaSアカウント管理をそろそろ卒業したい」と感じたら、ぜひ一度ご相談ください。

情シスが抱え込んでいたSaaSアカウント管理・ID管理・アカウント棚卸しの負荷を減らしつつ、セキュリティとガバナンスを両立させる。その第一歩として、スプレッドシートからの一元管理への移行を、今日から少しずつ検討してみてはいかがでしょうか。