「今だけ共有ID」「忙しいから私物スマホで」――日常の「うっかり」に潜むセキュリティの落とし穴： がっかりしないDX 小売業の新時代（2/4 ページ）

共有ID、古いアクセス権限、止め忘れたアカウント、未承認の生成AIーー。サイバー攻撃に狙われる“隙”は、日常の小売業務の中にある。具体的に例示しながら、必要な対策について考えてみたい。

[郡司昇，ITmedia]

3.取引先の前任者も共有フォルダを閲覧可能

　商品部や営業部では、取引先とのファイル交換にクラウドの共有フォルダを使います。先方の担当者が交代したとき、新しい担当者を追加するのは当たり前。しかし、以前の担当者の権限は削除されないことがあります。

　共有した時点では正しい権限でも、異動や退職に合わせて見直さなければ、閲覧できる人は増え続けます。

　問題はファイルを共有することではありません。「今もファイルを見る必要があるのは誰か」を定期的に確認する仕組みがないことです。

4.退職者の一部のアカウントが残る

　退職日に会社メールと基幹システムを停止しても、シフト管理、研修、名刺管理などのクラウドサービスにアカウントが残ることがあります。

　各部門が個別に導入したサービスを、人事部や情報システム部が全て把握しているとは限りません。退職情報がサービスの管理者に届かなければ、停止処理も行われません。

　これは、単に誰かが退職処理を忘れたという個人のミスではなく、一つの退職情報が停止すべき全サービスに行き届かない仕組み上の欠陥といえます。

5.外部業者のIDが残ったまま

　新店舗や事業所の開設時には、施工会社や保守会社に、Wi-Fiや監視カメラなどを遠隔設定するためのIDを発行することがあります。

　利用期間を3カ月と決めていても、工事完了とID停止が一つの手続きになっていなければ、権限は残ります。外部業者の端末がサイバー攻撃を受け、そこに残っていたIDを悪用した攻撃者が社内へ侵入する可能性があります。

　口頭で期限を決めるだけでは不十分です。IDの発行時に停止日を登録し、工事完了の確認項目にID停止を組み込む必要があります。