役職者の例外権限が常態化『アカウントライフサイクル管理の話⑩』
「この人は部長だから特別に。」
最初は例外だった。
しかし気づくと その例外がルールになっている。
役職者への特別権限は、現場ではよくある話だ。
ただし、それが常態化すると 権限管理が崩壊する。
冒頭の一言要約
例外は一時的だから許される。
常態化した瞬間、それはリスクになる。
症状（あるある）
役職者が管理者権限を持つ
本来アクセスできない情報を閲覧可能
権限申請を通さず直接付与
誰が権限を承認したか不明
監査で「最小権限違反」と指摘
役職変更後も権限が残る
原因と仕組み（なぜ起きるか）
役職＝特権という誤解
申請フローを省略
一時対応が恒久化
権限棚卸しをしていない
上位者に指摘しづらい
権限管理ルールが曖昧
本来、アクセス権限は
役職ではなく業務内容で決まるもの。
しかし運用の現場では
**「この人は偉いから」**という理由で
例外が積み重なる。
図：例外権限の常態化
例外対応
↓
特別権限付与
↓
権限削除されない
↓
例外が常態化切り分け（最短コース）
権限一覧取得
管理者権限
特権アクセス
担当者確認
役職者ID
業務必要性確認
本当に必要か
権限付与履歴確認
承認記録
不要権限削除
今すぐ効く対処（テンプレ）
◆ 基本ルール
権限は 業務ベース で付与
役職を理由にしない
◆ 例外対応の型
特権付与
↓
期限設定
↓
作業終了
↓
権限削除恒久対策／再発防止チェックリスト
最小権限原則の明文化
例外権限の期限設定
権限付与の承認記録
月次権限棚卸し
役職者権限レビュー
一時権限運用
管理者権限の分離
例外権限の可視化
落とし穴（やりがちミス）
「この人は特別だから」
承認記録なし
作業後の削除忘れ
役職変更後も権限残存
権限棚卸し未実施
まとめ（行動指針）
権限管理の基本は
最小権限（Least Privilege）。
例外を作ること自体は問題ではない。
問題は 例外を管理しないこと。
例外は期限付き。
常態化させない。
これを徹底するだけで、
権限管理の多くの問題は防げる。
