退職者のアカウント削除は「止める・移す・消す」の3段階で
最初に30秒で答えます。退職者のアカウントは、退職日に即削除するのではなく、（1）当日に止める、（2）1週間以内に移す、（3）月次の棚卸しで消す、の3段階で扱います。順番を間違えると、2つの事故が起きます。止めるのが遅れると、退職した本人や、その人のパスワードを知っている第三者が入れる入口が残ります。逆に消すのを急ぐと、その人のアカウントに紐づいていたファイルや自動化が、データごと消えてしまいます。
| 段階 | いつ | 主な作業 |
|---|---|---|
| 止める | 退職当日 | アカウントの停止またはパスワード変更。本人が知っていた共有パスワードの変更 |
| 移す | 1週間以内 | ファイル・フォーム・自動化の所有権を会社の管理アカウントへ移管。再設定用の連絡先と外部サービスの管理者権限を確認 |
| 消す | 月次の棚卸し | 移管が済んだアカウントを削除。一覧表と突き合わせて消し忘れ・移し忘れを確認 |
「停止」と「削除」を分けるのがポイントです。停止すればログインはできなくなるので、漏えいの入口としてはその時点で閉じます。一方、データの移管には確認の時間がかかるため、削除は移管の完了を確かめてからで遅くありません。多くのクラウドサービスに、削除とは別にアカウントを一時停止する機能があります。
放置したアカウントが情報漏えいの入口になる理由
退職者のアカウントの放置は、「悪意のある持ち出し」と「誰にも気づかれない侵入」の2つの経路で事故につながります。まず、公開されている統計を確認します。
IPA（情報処理推進機構）が2025年8月に公開した「企業における営業秘密管理に関する実態調査2024」によると、営業秘密の漏えいルート（複数回答）では、外部からのサイバー攻撃等に起因する漏えいが36.6%で最も高い一方、中途退職者（役員・正規社員）による漏えいが17.8%、契約満了後又は中途退職した契約社員・派遣社員等による漏えいが14.6%、定年退職者による漏えいが12.0%と、退職に関わるルートが3つ並んで挙がっています（出典：IPA「企業における営業秘密管理に関する実態調査2024」）。
IPAの「情報セキュリティ10大脅威 2026」でも、組織向けの7位に「内部不正による情報漏えい等」が入っており、2016年から11年連続の選出です。また、IPAの「組織における内部不正防止ガイドライン」は、2022年4月の第5版への改訂で、雇用の流動化による退職者の増加がもたらすリスクを低減する人的管理の対策を追記しています。人の入れ替わりが増えるほど、退職時の手続きの重みが増す、という整理です。
もう1つの経路は、悪意とは関係なく起きます。退職者のアカウントは、使う人がいないのにパスワードは生きているという状態です。本人が他のサービスで使い回していたパスワードがどこかで漏れれば、そのIDで第三者が入れます。しかも本人は使っていないので、不審なログインがあっても誰も気づきません。連載1日目の情報漏えいの原因ランキングで、中小企業の原因の5番目に「紛失と、残ったままの権限」を挙げたのは、この構造があるためです。
削除より先に「所有権の移管」が必要なもの
弊社はスプレッドシート・フォーム・業務の自動化の案件で、退職後のアカウントがそのままになっている現場を繰り返し見てきました。目立つのは、持ち出しのような事件ではなく、退職者や外注先の個人アカウントで作られたまま、会社が所有していないファイルや自動化です。業務の集計シートが前任者の個人アカウントの持ち物のまま、フォームの回答が辞めた人のアカウントに届き続けている、毎朝動いている自動処理の実行者がすでにいない人のまま、といった状態です。
この状態でアカウントを削除すると、ファイルや自動化がデータごと消え、業務が止まります。「消したいのに消せないアカウント」が残り続ける原因は、たいていこれです。だからこそ、削除の前に次の4つを会社の管理アカウントへ移します。
- ファイル——本人の個人フォルダにある業務ファイルの所有権を移す。共有されていても、所有者が本人のままなら削除と同時に消える点に注意
- フォームと回答シート——問い合わせや申込みのフォームの所有権と、回答の届き先を会社のアドレスに変更する
- 自動化の実行アカウント——定期実行のスクリプトや連携ツールが誰のアカウントで動いているかを確認し、会社の管理用アカウントに作り直す
- 再設定用の連絡先——各サービスのパスワード再設定用メールアドレス・電話番号が本人のものになっていないかを確認する
たとえばGoogle Workspaceでは、管理者ヘルプが、離職した従業員のアカウントを削除する前にドライブのファイルの所有権を別のユーザーへ移す手順を案内しています（出典：Google Workspace 管理者ヘルプ「ドライブ ファイルの新しいオーナーを指定する」）。また、削除したユーザーの復元は削除後20日以内に限られ、期限を過ぎるとデータは復元できません（出典：Google Workspace 管理者ヘルプ「最近削除したユーザーを復元する」）。いずれも2026年10月時点の仕様で、画面の名称や手順は変わることがあります。
そもそも業務のファイルや自動化を個人のアカウントで作らない、という入口側の対策も重要です。この点は外注してもアカウントと名義は自社で持つで詳しく書いています。
当日・1週間以内・月次のチェックリスト（担当と所要時間つき）
3段階を、実際の作業に落とします。従業員10人前後の会社なら、管理者権限を持つ人（情報システムの専任がいなければ、総務の担当者と経営者のどちらか）が実施する想定です。
退職当日にやること（30分）
- 1. 本人用アカウントの停止——メール・クラウド・業務ツールの順に、一時停止またはパスワード変更でログインを止める
- 2. 共有パスワードの変更——本人が知っていた共有アカウントのパスワードをすべて変える。「どれを知っていたか分からない」場合は、全部変えるのが結果的に早い
- 3. 端末と鍵の回収——貸与したパソコン・スマートフォン・入退室のカードを回収し、私物端末から業務データを消してもらう
1週間以内にやること（60分）
- 1. 所有権の移管——前の章の4つ（ファイル・フォーム・自動化・再設定用の連絡先）を会社の管理アカウントへ移す
- 2. 外部サービスの権限確認——ホームページの管理画面・独自ドメインの管理・SNSの共同管理者・ネットバンキングの利用者など、社外のサービス側に残った権限から本人を外す
- 3. 引き継ぎの記録——本人しか知らなかった手順や設定を、次の担当者の名前とともに書き残す
月次の棚卸しでやること（15分）
毎月1回、アカウントの一覧表と実際の利用者を突き合わせ、移管が済んだアカウントを削除します。一覧表は難しいものではなく、「サービス名・ID・使っている人・管理者・最終確認日」の5列があれば足ります。最初の版は30分で作れます。この表があると、「誰のIDか分からない」がなくなり、退職のたびに何を止めるかを考え直す必要もなくなります。
外注先・業務委託も扱いは同じです。契約終了のタイミングを「退職日」と読み替えて、当日に権限を止め、納品物と管理情報を受け取り、月次で削除します。外注先に渡したままの権限は退職者以上に見落とされやすく、弊社が開発を引き継いだ案件の着手前の点検でも、以前の関係者の権限や記録が整理されないまま残っているケースを見てきました。点検で実際に見つかった穴はWebアプリの点検で見つかった3つの穴にまとめています。
続け方｜退職のたびに迷わない仕組みにする
退職時の対応がうまくいかない会社に共通するのは、担当者の怠慢ではなく、手順が決まっていないことです。退職は毎月あるわけではないので、そのたびに「何を止めるんだったか」を思い出すところから始まり、抜けが出ます。
- チェックリストを1枚にする——本記事の「当日・1週間以内・月次」をそのまま社内の様式にして、退職・契約終了が決まった時点で発行する。実施した項目に日付と担当者名を書く
- アカウント一覧表を月次で更新する——毎月15分、決まった日に。入社・退職・契約終了があった月は、該当者の行を重点的に確認する
- 共有パスワードを管理ツールに集める——管理ツール経由で共有していれば、退職時の変更も数分で済む。パスワード管理の整え方と退職時に変えるものの一覧は、この連載のパスワード管理の回で詳しく扱っています
なお、IPAが2026年3月に公開した「中小企業の情報セキュリティ対策ガイドライン」第4.0版は、専任の担当者がいない会社でも取り組める対策を経営者編・実践編に分けて示しており、アカウントや権限の管理を含む社内規程のサンプルも付録に用意されています。自社の規程を整えるときの下敷きになります。最初の1週間で取り組む基本の対策は、連載2日目のセキュリティ対策は何から始めるかで整理しました。
今日やることを1つに絞るなら、アカウント一覧表の最初の版を作ることです。30分で、退職者のIDが残っていないか、誰のものか分からないIDがないかが見えます。もし「削除したいが、何かが消えそうで消せない」アカウントが見つかったら、それは移管が済んでいない合図です。本記事の手順で、移してから消してください。
本記事の内容は、2026年10月時点で公表されている資料をもとに編集部が整理したものです。最新の情報は各出典でご確認ください。
「誰のIDか分からない」を、外部の目で洗い出す
アカウントの棚卸しを始めると、ホームページや業務ツールの側にも、誰も見ていない入口が見つかることがあります。セキュリティ診断は5,000円（税抜）の固定料金で、サイトのURLだけで始められます。点検後の更新・バックアップ・監視は、月額9,800円（税抜）からの保守で引き受けます。
セキュリティ診断の内容を見る →よくある質問
Q. 退職者のアカウントはすぐ削除してよいですか？
すぐやるべきなのは削除ではなく停止です。当日にログインを止めたうえで、ファイル・フォーム・自動化の所有権を会社のアカウントへ移してから削除します。先に削除すると、本人のアカウントに紐づいていたデータが消えることがあります。たとえばGoogle Workspaceでは、削除したユーザーを復元できるのは削除後20日以内で、期限を過ぎるとデータは戻せません（2026年10月時点の仕様）。
Q. 共有パスワードはどこまで変えればよいですか？
退職した本人が知っていた共有パスワードは、退職当日にすべて変更します。誰がどのパスワードを知っていたか分からない場合は、共有しているものを全部変えるのが結果的に早く済みます。パスワード管理ツールの共有機能を使っていれば、変更と再共有は数分で終わります。日頃から「誰が何を知っているか」を一覧にしておくことが、退職時の負担を減らします。
Q. 外注先や業務委託のアカウントも同じ扱いですか？
同じです。契約終了のタイミングを退職日と読み替えて、当日に権限を止め、納品物と管理情報を受け取り、月次の棚卸しで削除します。外注先の権限は社内の退職者より見落とされやすいため、契約の時点で「終了時にどの権限を外すか」を決めておくと抜けを防げます。業務のファイルや自動化を外注先の個人アカウントで作らせない、という入口の対策もあわせて検討してください。
Q. アカウントの棚卸しは何をすればよいですか？
会社で使っているサービスを「サービス名・ID・使っている人・管理者・最終確認日」の5列の表にして、月に1回、実際の利用者と突き合わせます。退職者のIDが残っていないか、誰のものか分からないIDがないか、移管が済んだアカウントで削除できるものはないかを確認します。最初の表作りは30分、月次の確認は15分が目安です。