監修: 代表取締役 佐藤 望（建設業界30年・建設業経理士1級／記事末に経歴）
最終確認日: 2026年10月21日（出典の数字と文言はこの日に原典で確かめました）
結論: 攻撃者は「正しい鍵」で入ってきます。鍵は、人が抜けた日に止めます
不正アクセスと聞くと、鍵をこじ開けられる場面を思い浮かべがちです。ところが実際には、漏れたり残ったりしたIDとパスワード、つまり「正しい鍵」で、正面から入られることがあります。警察庁も、攻撃者が漏えいした認証情報などを悪用して侵入する、と書いています。その件数の内訳は示されていません。
退職した人、契約が終わった協力会社、終わった現場。この3つを「同じ日」に扱うと、鍵の置き忘れが減ります。手順は4つです。
- 台帳を作る: 誰が、どのサービスに、どのIDで入れるかを1枚にする（図3）
- 当日に止める: 退職・契約終了の日はその人だけのIDを全部、現場の終了の日はその現場の分を止める
- 共有IDは合言葉を変える: 人別に分けられないIDは、メンバーが変わった日に変える
- 月に1回、突き合わせる: 台帳を、人の名簿と、各サービスの「いま使えるID」の一覧の両方と照らす
IPA（情報処理推進機構）は「中小企業の情報セキュリティ対策ガイドライン 第4.0版」を出しています。そこでは、退職や契約満了のときに、情報・機器・ID・鍵などを回収するよう勧めています。本記事は、その考え方を建設会社の実務に当てはめた、当社の整理です。現場の共有タブレットなど「端末」をなくした日・返す日の手順は、別の記事で扱います。本記事は「ID」の側だけを扱います。
当社も、代表1名とAIで業務を回しており、AIの席ごとにIDとアプリ用のパスワードを分けています。1つの席を止めるときに、その席の分だけを止められるようにするためです。
IPA「情報セキュリティ10大脅威 2026」: 委託先を狙う攻撃が2位、内部不正が7位
IPAの「情報セキュリティ10大脅威 2026」の組織向けの順位は、次のとおりです。
| 順位 | 組織向け脅威 | 選出の状況 |
|---|---|---|
| 1 | ランサム攻撃による被害 | 11年連続11回目 |
| 2 | サプライチェーンや委託先を狙った攻撃 | 8年連続8回目 |
| 3 | AIの利用をめぐるサイバーリスク | 初選出 |
| 4 | システムの脆弱性を悪用した攻撃 | 6年連続9回目 |
| 5 | 機密情報を狙った標的型攻撃 | 11年連続11回目 |
| 6 | 地政学的リスクに起因するサイバー攻撃（情報戦を含む） | 2年連続2回目 |
| 7 | 内部不正による情報漏えい等 | 11年連続11回目 |
| 8 | リモートワーク等の環境や仕組みを狙った攻撃 | 6年連続6回目 |
| 9 | DDoS攻撃（分散型サービス妨害攻撃） | 2年連続7回目 |
| 10 | ビジネスメール詐欺 | 9年連続9回目 |
出典はIPA 情報セキュリティ10大脅威 2026です。
本記事に関係するのは、2位と7位です。2位は、自社でなく取引先や委託先から入られる攻撃です。7位は、社内の人による情報の持ち出しや不正です。協力会社と退職者のIDが残っていると、この2つの入口が開いたままになります。
読み方に注意があります。この順位は、IPAが選んだ脅威の並びです。退職者や協力会社のIDが原因の事故が何件あるか、を示す数字ではありません。
「正しい鍵」で入られる: 警察庁が示すランサムウェアの侵入経路
警察庁の「令和7年におけるサイバー空間をめぐる脅威の情勢等について」は、ランサムウェアの侵入経路について、次のように書いています。
- 近年は、インターネットに露出した箇所から、攻撃者が遠隔操作でネットワーク内部に侵入する手口が多くを占め、標的型攻撃メール等の添付ファイルによる感染は少なくなっている
- 被害組織へのアンケート結果によると、侵入経路はVPN（社外から社内へつなぐ仕組み）機器が6割以上を占める
- 攻撃者は、未修正のぜい弱性、漏えいした認証情報や簡易なパスワード、設定不備等を悪用して組織のネットワークへ侵入する
統計編には、令和7年の感染経路の内訳（有効回答92件）が載っています。
| 感染経路 | 件数 |
|---|---|
| VPN機器 | 61件 |
| リモートデスクトップ | 19件 |
| 不審メールやその添付ファイル | 2件 |
| その他 | 10件 |
「漏えいした認証情報」は、まさに「正しい鍵」です。警察庁は、VPN機器等のぜい弱性対策や、認証情報の適切な管理などを呼びかけています。主な対象は、特に被害が増えている中小企業です。
読み方に注意があります。上の表は、アンケートに答えた被害組織の侵入経路です。この中で、退職者のIDや協力会社のIDが使われた件数は、原典に書かれていません。本記事は、「認証情報の管理が大事」という警察庁の整理を、退職者・協力会社のIDに当てはめた当社の考え方です。
出典は警察庁 令和7年におけるサイバー空間をめぐる脅威の情勢等についてです。
建設会社で、鍵が残りやすい4つの場所
ここからは一般論です。数字は示しません。建設業は、人の出入りが多い仕事です。そのぶん、次の場所に鍵が残りやすくなります。
- 協力会社・派遣・応援の人: 現場ごとに人が入れ替わり、工程や写真のアプリ、図面の共有フォルダのIDが、そのままになりやすい
- 現場の共有ID: 1つのIDを数人で使っていると、誰が抜けたのかがわからず、合言葉が変わらない
- 異動した人の権限: 部署や現場が替わっても、前の権限が残る。IPAのガイドラインも、異動や退職に伴う権限の変更・削除漏れを、被害の原因として挙げています
- 電子入札のICカードや認証の道具: 退職した担当者が持ったままでないか、誰が使えるかを確かめる
どれも、「人が抜けた日」に誰かが気づかないと、残ります。だから、日を決めて手順にします。
4つの手順
手順1: 台帳を作る（人×サービス）
まず、表計算ソフトで1枚の台帳を作ります。縦に人、横にサービス（メール、工程アプリ、写真共有、電子入札、会計など）を並べ、入れる所に、そのIDの名前を書きます。印（○）だけだと、1人が2つのIDを持っているときや、共有IDのときに、どれを止めればよいかがわかりません。同じ人が2つ以上の現場を担当しているなら、現場ごとに行を分け、それぞれの行に、その現場で使う権限と終わりの日を書きます。現場ごとに、外す権限と日がわかるようにするためです。合言葉そのものは、台帳に書きません。
記入例は、すべて架空です。
| 人（所属） | メール | 工程アプリ | 写真共有 | 図面フォルダ | 契約・現場の終わり |
|---|---|---|---|---|---|
| 社員A（工務） | a-koumu | a-koumu | a-koumu | a-koumu | なし |
| 協力会社B社 職長 | なし | 共有: genba-x01 | b-shokucho | b-shokucho（X現場のみ閲覧） | 担当の終わりかX現場の終了日の早いほう |
| 派遣C（事務） | c-jimu | なし | なし | c-jimu | 契約満了日 |
IPAのガイドラインは、ユーザーIDと管理者IDの発行・変更・削除の手続を定めるよう書いています。IDの発行から削除までの流れを決め、割り当ては必要最小限にします。台帳は、その入口になります。
手順2: 当日に止める（退職・契約終了・現場の終了）
止める日は、3つとも同じ扱いにします。
- 社員の退職日
- 協力会社・派遣の契約が終わる日
- 現場が終わる日（協力会社の人は、現場の終わりが事実上の契約終了になることが多い）
IPAのガイドラインは、退職や派遣社員等の契約満了の後に、情報が不正に使われるのを防ぐよう書いています。退職・任期満了の時に、情報や機器・ID・鍵などを回収します。データは復元できない方法で消し、チェックリストや証跡で、やったことを見えるようにします。
止める範囲は、日の種類で変わります。
- 退職・契約終了の日: 台帳のその人の行を、左から右まで全部止める。ただし共有IDは、ほかの人が使い続けるため止めず、手順3のとおり合言葉を変える
- 現場の終了の日・その現場の担当を交代した日: その現場の分だけ止める。その現場のフォルダの権限を外し、その現場だけで使っていた共有IDは、合言葉を変えるのでなくID自体を止める。同じ人がほかの現場で続けて働くなら、そちらのIDは残す
メールだけ止めて、工程アプリが残る、はよくある抜けの1つです。止めたら、台帳に日付を書きます。
台帳の列の決め方や、止める日の決め方に迷ったら、アプリバンクの無料経営相談（60分）でご相談いただけます。
手順3: 共有IDは、人が抜けた日に合言葉を変える
IPAのガイドラインは、共有IDはなるべく使わないよう書いています。やむを得ず使う場合は、使った人を特定できる仕組みを整え、決めたとおりに運用します。
人別に分けられるなら、分けます。分けられない共有IDは、誰がいつ使ったかを残します。たとえば、端末ごと貸し出して貸出記録（名前と時刻）を付け、返すときに必ずサインアウトしてもらい、次の人は入り直します。そのうえで、サービス側のログイン履歴（いつ・どの端末から）と突き合わせます。貸出の端末以外からは入れないように設定できるサービスなら、そう設定します。合言葉を知る人が別の端末から入れるままだと、貸出記録では誰が使ったかがわからないためです。貸出記録とログイン履歴が結び付かないサービスなら、そのIDは人別に分けることを優先します。そのうえで、メンバーが変わった日に合言葉を変えます。合言葉を変えても、すでにログインしている端末はそのまま使えることがあります。そこで、変えたあとに、そのIDでログイン中の端末を全部外し（サインアウトさせ）、いま入っている人だけに新しい合言葉を伝えて、入り直してもらいます。あわせて、次の2つも確かめ、あれば外します。
- 抜けた人の携帯電話番号やメールアドレスが、その共有IDの2段階認証や、合言葉を忘れたときの連絡先に登録されていないか
- 抜けた人の端末に、パスキー（指紋や顔の確認、端末の画面ロックのPINなどで、合言葉を使わずに入る仕組み）など、合言葉を使わない入り方が登録されていないか。残っていると、合言葉を変えても入れることがあります
パスキーの仕組みと削除の方法は、Googleの公式ヘルプ「パスワードの代わりにパスキーでログインする」で確かめられます。サービスごとの画面は、それぞれの管理画面で確かめます。
手順4: 月に1回、名簿と突き合わせる
月に1回、次の2つを照らします。
- 台帳と、実際の名簿（社員、協力会社の入場者、派遣）: 名簿にいない人のIDが台帳にあれば、人事や現場の責任者に、まだ使うか（名簿の書き漏れや、別の現場で続けていないか）を確かめてから止める
- 台帳と、各サービスの管理画面にある「いま使えるIDの一覧」と「現場（フォルダ・グループ）ごとの権限の一覧」: 台帳では「止めた」のにサービスでは使えるままのIDがあれば、止める。ほかの現場で使い続けているIDに、終わった現場の権限が残っていれば、その権限を外す。台帳に無いIDがあれば、すぐには止めず、誰が何に使っているかを確かめる。要らなければ止め、要るなら台帳に書き足す（システムどうしをつなぐためのIDもあるため）
名簿だけと照らすと、台帳に書き忘れたIDは見つかりません。サービス側の一覧と照らして、初めて見つかります。
ログインを1か所にまとめる（シングルサインオン）は、効くが万能でない
シングルサインオンは、1組のIDとパスワードで、複数のサービスにログインできる仕組みです。ここでIDを止めれば、つないであるサービスに、シングルサインオンを通って新しくログインすることはできなくなります。人が抜けた日の作業が、大きく減ります。
ただし、止めても、すでにログインしている状態がすぐ切れるとは限りません。Microsoftの説明では、利用者がログインすると、各アプリが自分のセッション（ログインの状態）を発行します。その後は、アプリが自分の決まりで利用を許します。さらに、サービスによっては、シングルサインオンを通らずに、そのサービス独自のIDとパスワードで直接ログインできる道が残っています。Microsoftも、セッションを使うアプリや、直接ログインできるアプリでは、アプリ側でその人のIDを外すことが効く、と書いています。
そのため、止めた日には、次の3つも入れます。
- シングルサインオンの管理画面で、その人のログインの状態（セッション）を取り消す
- 各サービスで、その人のログイン中の端末を外す（サインアウトさせる）
- 直接ログインできるサービスでは、サービス側でもその人のIDを止める
それでも、止めた直後は、しばらく使える状態が残ることがあります。Microsoftの説明では、同社の仕組みが発行する利用の許可（アクセストークン）は、既定で1時間有効です。ただし、この1時間はMicrosoftの仕組みの話で、各サービスが自分で持つログインの状態がいつ切れるかは、サービスごとに違います。止めた日の翌日に、各サービスの管理画面で、その人のIDが無効になり、ログイン中の端末が0台になっていることを確かめます。
出典はMicrosoft Learn「Revoke user access in Microsoft Entra ID」です。
また、つないでいないサービスには、止めた結果が届きません。共有IDで使っているアプリも、別に残ります。そのため、アプリごとの解除も手順に入れます。台帳の「人×サービス」の表で、シングルサインオンにつないでいない列に印を付けておくと、止め忘れを防げます（一般論です。製品ごとの対応は調べていません）。
統合最適化で見る: 人・DX・収益
アプリバンクの統合最適化メソッドは、人材育成、DX推進、収益改善を一体で見ます。
| 軸 | 何をするか | 効くところ |
|---|---|---|
| 人材育成 | 人が抜ける日の手続を、人事・総務・現場で決めて教える | 誰が、いつ、何を止めるかが決まる |
| DX推進 | 台帳から始め、つなげられるサービスはシングルサインオンにまとめる | 止め忘れが減り、作業が早くなる |
| 収益改善 | 使っていない席を見つけ、契約の席数を見直す | 不要な月額を減らす入口になる |
3つの軸はつながっています。止める日と担当を決めて教えると（人材育成）、台帳と一覧の照らし合わせが毎月回り（DX推進）、使っていない席が見つかります（収益改善）。
収益の面では、使っていない人のIDに、利用料がかかり続けていないかを確かめます。ただし、IDを止めただけでは、請求が減らないことがあります。契約の席数を減らす手続が別に要るか、減るのはいつからかは、サービスの契約で確かめます。台帳と月一の突き合わせは、減らせる席を見つける入口になります。どのくらい下がるかは、会社によって違います。本記事では、金額は示しません。
今日できる3つのこと
- 台帳の枠（人×サービス）を作り、いまいる協力会社と派遣の人から書く
- 退職・契約終了の日は台帳の行を全部（共有IDは合言葉を変える）、現場の終了の日はその現場の分を止める、と決める
- 共有IDを使っているサービスを数え、合言葉を変える担当を決める
台帳の作り方や、止める日の決め方は、アプリバンクの無料経営相談（60分）でご相談いただけます。
よくある質問
Q1. 退職者のIDは、いつまでに止めればよいですか。
遅くとも退職日の当日です。最終出勤日のあとに使う用事がなければ、最終出勤日に止めます。IPAのガイドラインも、退職時にID等を回収するよう書いています。後日にすると、止める日が決まらず、残りやすくなります。
Q2. 協力会社の人が使っていたIDは、誰が止めますか。
自社のサービスなら、自社です。協力会社に任せると、止まったかどうかが見えません。その人の契約や担当が終わる日と、現場の終了日のうち、早いほうを台帳のその現場の行に書き、その日に自社がその現場の分を止めます。同じ人がほかの現場で続けて働くなら、そちらのIDと権限は残します。
Q3. 共有IDは、なくせませんか。
なるべく使わない、が基本です（手順3）。分けられないものだけ、人が抜けた日に合言葉を変えます。
Q4. シングルサインオンを入れれば、台帳は要りませんか。
要ります。つないでいないサービスには、止めた結果が届きません。台帳で、つないでいない列を見える形にします。
Q5. 月に1回の突き合わせは、手間ではありませんか。
かかる時間は、人数とサービスの数で変わります。本記事では時間の目安は示しません。毎月、名簿・台帳・各サービスのIDの一覧の3つを照らす手順は省かずに続けます。回らなくなったら、サービスの一覧を自動で出す仕組みを検討します。
関連記事
出典一覧（取得日 2026-10-21）
- IPA「情報セキュリティ10大脅威 2026」: https://www.ipa.go.jp/security/10threats/10threats2026.html
- 警察庁「令和7年におけるサイバー空間をめぐる脅威の情勢等について」: https://www.npa.go.jp/publications/statistics/cybersecurity/data/R7/R07_cyber_jousei.pdf
- IPA「中小企業の情報セキュリティ対策ガイドライン 第4.0版」: https://www.ipa.go.jp/security/guide/sme/ug65p90000019cbk-att/sme_guideline_v4.0.pdf
- Microsoft Learn「Revoke user access in Microsoft Entra ID」: https://learn.microsoft.com/en-us/entra/identity/users/users-revoke-access
- Google アカウント ヘルプ「パスワードの代わりにパスキーでログインする」: https://support.google.com/accounts/answer/13548313?hl=ja
本記事は一般的な情報提供です。記事中の台帳の記入例はすべて架空です。
更新履歴: 2026-10-23 公開
監修
監修：佐藤 望（株式会社アプリバンク 代表取締役）。建設業界30年。大手ゼネコンで国内の大規模プロジェクトを担当し、海外では子会社の立ち上げと経営再建に従事。
保有資格は認定ファシリティマネジャー／日商簿記1級／建設業経理士1級／第一種衛生管理者。日本内部監査協会 会員、東京商工会議所 会員。
株式会社アプリバンクは、経済産業省「DX認定事業者」（DX-2026-06-0021-01）。建設業に特化し、人材育成・DX推進・収益改善を統合した支援（統合最適化）を提供。お問い合わせは無料経営相談または TEL 03-6826-0180 へ。
建設業を支援する経営コンサル、株式会社アプリバンクをもっと見る
購読すると最新の投稿がメールで送信されます。
