会社でGoogleアカウントを作成するとき、社員個人の携帯電話番号を使って本人確認などを行うことがあります。
「とりあえず担当者のスマホで登録すればいい」
「会社の携帯電話がないので、社員の番号を使っている」
という会社もあるかもしれません。
しかし、会社で継続して利用するGoogleアカウントを、特定の社員の電話番号や個人メールアドレスに依存させる管理方法はおすすめできません。
その社員が退職・休職したり、担当者が変わったりしたときに、会社側でアカウントを管理・復旧できなくなる可能性があるためです。
大切なのは「個人の電話番号を登録したら即問題」ということではなく、その社員がいなくなっても会社としてアカウントを管理できる状態になっているかです。
会社のGoogleアカウントに社員個人の電話番号を使っても大丈夫？
一時的に社員個人の電話番号を使う場面があったとしても、それだけで直ちに問題になるとは限りません。
ただし、会社が継続して使う重要なGoogleアカウントについては、個人の電話番号に依存したまま運用しない方が安全です。
Googleアカウントでは、復旧用の電話番号やメールアドレスなどがアカウント復旧や本人確認に関係する場合があります。また、2段階認証を設定している場合には、ログイン時の確認手段についても管理が必要です。
そのため、会社として確認したいのは電話番号だけではありません。
- 復旧用電話番号は誰のものか
- 復旧用メールアドレスは誰が確認できるか
- 2段階認証はどの方法で行っているか
- パスワードは会社として適切に管理できているか
- 担当社員が退職してもログインできるか
- 誰がこのアカウントの管理責任者なのか
こうした情報をまとめて確認する必要があります。
一番困るのは担当社員が退職したときです
たとえば、会社のGoogleアカウントをAさんが作成し、Aさん個人の電話番号や個人メールアドレスを復旧手段として登録していたとします。
Aさんが在籍している間は、特に問題を感じないかもしれません。
ところがAさんが退職し、しばらくしてから別の社員がログインしようとしたときに本人確認が必要になると、会社側で対応できない可能性があります。
さらに、「そもそも誰が作ったアカウントなのか分からない」「パスワードを知っていた社員が退職している」「確認コードがどこに届くのか分からない」という状態まで重なると、引き継ぎはさらに難しくなります。
会社の業務で使用するアカウントなのに、一人の社員しか管理方法を知らない状態そのものがリスクです。
電話番号だけ変更すれば解決する？
電話番号だけを会社の番号へ変更すれば、すべて解決するとは限りません。
Googleアカウントを会社として管理するなら、電話番号と一緒に、アカウント全体の設定を確認することが重要です。
復旧用メールアドレス
復旧用メールアドレスが退職予定者の個人メールになっていないか確認します。
会社が管理するアカウントであれば、担当者が変わっても会社として確認できる方法を検討します。
2段階認証
2段階認証を利用している場合は、「誰のスマートフォンがないとログインできないのか」を確認してください。
2段階認証自体はアカウントを保護するために重要ですが、会社で利用する場合には担当者変更や端末故障なども考えた運用が必要です。
セキュリティを下げるために2段階認証を解除するのではなく、安全性を維持しながら会社として引き継げる方法を考えることが大切です。
パスワード
共有アカウントだからといって、パスワードを付箋に書いて誰でも見られる場所へ貼っておくような管理は避けるべきです。
一方で、担当者一人だけが記憶していて会社側では分からない、という状態も問題があります。
誰がどのアカウントを管理するのか、会社として管理方法を決めておく必要があります。
「会社のGoogleアカウント」が何に使われているかも確認してください
Googleアカウントを整理するときは、ログインできるかどうかだけを確認して終わらせないことが重要です。
そのアカウントが何に使われているかも確認します。
たとえば、会社によってはGoogleドライブなどのGoogleサービスだけでなく、Googleアカウントを他のWebサービスへのログインに利用していることもあります。
担当者が退職してから、「このサービスは誰のGoogleアカウントで登録したのだろう？」と調べ始めると、確認に時間がかかります。
会社で使用している重要なアカウントについては、少なくとも「用途」「管理担当」「会社として引き継ぐ必要があるか」を整理しておくとよいでしょう。
Google Workspaceを利用している会社は管理方法が異なります
会社でGoogle Workspaceを契約している場合は、個人向けのGoogleアカウントを各社員がバラバラに管理する場合とは考え方が異なります。
Google Workspaceには管理者向けの管理機能があり、組織としてユーザーやサービスを管理できます。
ただし、Google Workspaceを導入していれば何もしなくても安全というわけではありません。
管理者アカウントを誰が管理しているのか、退職者のアカウントをどう扱うのか、必要なデータをどう引き継ぐのかなど、会社として運用を決めておく必要があります。
特に、管理者権限を持つアカウントまで特定の社員だけが把握している状態は避けたいところです。
退職する社員がいるときは何を確認すればいい？
退職日になってからGoogleアカウントを調べ始めるのではなく、引き継ぎ期間中に確認することをおすすめします。
Googleアカウントについては、利用状況に応じて次のような点を確認します。
- 会社で使用しているGoogleアカウントの洗い出し
- 各アカウントの用途
- 管理担当者
- 復旧用電話番号・メールアドレス
- 2段階認証の設定状況
- 会社に必要なデータの保存場所
- 他サービスへのログインに使用していないか
- 退職後も会社として維持する必要があるアカウントか
実際に必要な対応は、無料のGoogleアカウントなのかGoogle Workspaceなのか、どのサービスを利用しているのかによって変わります。
分からない状態でアカウント削除や設定変更をすると、必要なデータやサービスへアクセスできなくなる可能性があります。重要な業務データがある場合や管理状況が分からない場合は、先に状況を整理してください。
Googleだけでなく会社のアカウント管理全体を見直すきっかけに
Googleアカウントでこの問題が見つかった会社では、ほかのサービスも同じ社員に依存していないか確認する価値があります。
たとえば、
- Microsoft 365
- ホームページ・WordPress
- レンタルサーバー
- ドメイン
- SNS
- クラウドストレージ
- 各種Webサービス
などです。
「担当者が知っているから大丈夫」という状態は、その担当者がいる間は問題が表面化しにくいものです。
退職、異動、長期休職、PC故障などが起きたとき、初めて会社として管理できていなかったことに気付く場合があります。
アカウント管理は、トラブルが起きてからパスワードを探すのではなく、誰か一人がいなくなっても会社の業務を継続できる状態を作ることが重要です。
まとめ
会社で使うGoogleアカウントを社員個人の電話番号で作成したからといって、それだけで直ちに問題になるわけではありません。
しかし、会社の重要なアカウントが社員個人の電話番号、メールアドレス、スマートフォンなどに依存している状態は見直した方がよいでしょう。
確認すべきなのは電話番号だけではありません。復旧方法、2段階認証、パスワード、アカウントの用途、管理担当者、退職時の引き継ぎまで含めて考える必要があります。
特に「誰が作ったか分からない」「退職予定者しか設定を知らない」「会社で使っているGoogleアカウントが何個あるか分からない」という場合は、設定を変更する前に現在の利用状況を整理することをおすすめします。
アポロン7では、社内に専任のIT担当者がいない中小企業のGoogleアカウントやPC、メール、Wi-Fi、ホームページなどのIT環境をまとめてご相談いただけます。
「何がどう設定されているのか分からない」という段階からでも構いません。スポットでの確認のほか、担当者の退職・入社時の対応やアカウント管理を含め、継続的なIT管理についてもご相談いただけます。
水戸市を中心に、ひたちなか市、那珂市、茨城町、笠間市、常総市など茨城県内の中小企業のIT管理をサポートしています。
