freee IT管理を利活用したアカウント棚卸しのススメ

Transcript

1. freee IT管理を利活用した アカウント棚卸しの ススメ すべてのfreee IT 管理ユーザーに捧げる Masane Sato 2025/12/10
2. おことわり このスライドは、2025年12月10日に開催された、 第2回freee IT管理ユーザー会で登壇した際の資料です。 当時のプロダクト名はBundle by freeeという名前だったため、 次ページ以降の「Bundle」は適宜「freee IT管理」と読み替えて スライドをご覧ください。
3. Bundleを利活用した アカウント棚卸しの ススメ すべてのBundle ユーザーに捧げる Masane Sato 2025/12/10
4. 自己紹介 Masane Sato と申します 東京生まれ、横浜・京都育ち 主な職歴 外資系エンターテイメント企業 新規事業開発・Corporate IT 事業会社（ホテル系）Corporate IT（セキュリティ） 現職（研究開発）セキュリティ・情シスなんでも屋 趣味　旅行、吹奏楽 Q
5. 昨今のセキュリティ事情 どれだけ対策しても…いつかはその日がやってくるかも？ ・サイバー攻撃の複雑化 ランサムウェア攻撃だけではない。 対策ツールを入れていればいいのでは？ →そんなことはない！
6. 順位 「組織」向け脅威 初選出年 10大脅威での取り扱い （2016年以降） 1 ランサム攻撃による被害 2016年 10年連続10回目 2 サプライチェーンや委託先を狙った攻撃 2019年 7年連続7回目 3 システムの脆弱性を突いた攻撃 2016年 5年連続8回目 4 内部不正による情報漏えい等 2016年 10年連続10回目 5 機密情報等を狙った標的型攻撃 2016年 10年連続10回目 6 リモートワーク等の環境や仕組みを狙った攻撃 2021年 5年連続5回目 7 地政学的リスクに起因するサイバー攻撃 2025年 初選出 8 分散型サービス妨害攻撃（DDoS攻撃） 2016年 5年ぶり6回目 9 ビジネスメール詐欺 2018年 8年連続8回目 10 不注意による情報漏えい等 2016年 7年連続8回目 IPA 情報セキュリティ10大脅威 2025 [組織] https://www.ipa.go.jp/security/10threats/10threats2025.html
7. 退職したにもかかわらず、在職中に与えられたログインIDや パスワードでクラウドサービスに不正アクセスをしたとし て、広島県警は8日、広島市立小学校の職員の男（28）を不 正アクセス禁止法違反の疑いで逮捕しました。 警察によりますと、男は小学校の職員になる前の24年11月か ら25年4月までの間、67回にわたって、会社が業務に使って いるクラウドサービスに不正アクセスした疑いが持たれてい ます。さらに、1月から4月までの間に、関連会社にも11回に わたって、同様のアクセスをした疑いも持たれています。 警察の調べに対し、男は「アクセスしたのですが、その行為 が不正アクセスに該当するとは思いませんでした」と供述し ているということです。 会社から警察に届け出があって事件が発覚しました。広島市 教育委員会によりますと、男は5月から広島市立の小学校で 授業以外の仕事をする職員として採用されていました。警察 は事件の詳しいいきさつを調べています。 https://newsdig.tbs.co.jp/articles/-/2335599
8. 弊社の管理系人員体制（Ver.2025.12） 人事系部門 …2人 管理系部門（総務、経理財務） …3人 情報システム担当 …2人 ↑Sato+1人 情報システム系部門 セキュリティ担当 …1人 ↑Sato →私たちだけでアカウント管理するのは現実的ではない…
9. アカウント発行、更新、削除が必要となる場面… ・入社時 ・異動時 　→情シスに情報が来るのはいつもギリギリ（最悪2日前） 　　なんのアカウントが必要？ ・退職時 　→いつまでデータを残しておくべき？ ・その他… 　「〇〇さんにこのTeams見れるようにしてほしいです！」など いずれも、一定のルールに基づき、証跡を残す必要がある。
10. 当初は… 人事情報をギリギリまで開示したくないということだったので キッティング、ID発行削除を人事にやってもらおうとした →大量の問い合わせ勃発 　・アプリごとに管理画面が異なりわからない、、、 　・作業漏れによりアカウント発行・削除漏れ 　・気がついたらライセンス数不足 　・「そもそも人事の仕事ではない！」という不満 とはいえ情シスは入社2日前に言われても困る！どうしよう…
11. これらを解決してくれるすごいヤツ
12. SmartHRに 新入社員の情報を登録 + メールアドレスに 自社ドメイン のメールを設定 （メンバーインポートの除外フィルタ） SaaS① アカウント作成 SaaS② アカウント作成 貸出備品 登録 Bundleにメンバー情報が登録 そこから簡単にアカウント発行！ 弊社の運用方法
13. SmartHRに 新入社員の情報を登録 + メールアドレスに 自社ドメイン のメールを設定 （メンバーインポートの除外フィルタ） SaaS① アカウント作成 SaaS② アカウント作成 貸出備品 登録 Bundleにメンバー情報が登録 そこから簡単にアカウント発行！ 手作業がめんどくさい！ 弊社の運用方法
14. SmartHRに 新入社員の情報を登録 + メールアドレスに 自社ドメイン のメールを設定 （メンバーインポートの除外フィルタ） オートメーション化 SaaS① アカウント作成 SaaS② アカウント作成 貸出備品 登録 Bundleにメンバー情報が登録 そこから簡単にアカウント発行！ 弊社の運用方法
15. オートメーション ※一部マスクしています
16. オートメーション →アクション ※一部マスクしています
17. オートメーション →ログ →いつ、誰が、なんのために実施したのかわかる
18. もしBundleがなかったら… 人事系部門 →人事情報はまだ教えられないよ〜 管理系部門（総務、経理財務） →（財務）この費用は適正？ 情報システム担当 ｔ→ギリギリで連絡してくるな！ 情報システム系部門 セキュリティ担当 →セキュリティリスクが心配…
19. Bundleが実現！ 人事系部門 →入社、異動のワークフロー実行 管理系部門（総務、経理財務） →必要に応じて確認・サポート 情報システム担当 →ワークフロー、アプリ管理のみ 情報システム系部門 セキュリティ担当 →定期的な監査
20. ・アカウント発行、更新、削除の一元化 　作業フローが明確化される、工数減 　（対応していないアプリはCSV取り込みなので少し手間増） ・シャドーID等のアカウント管理に関する監査ログのフォーマット一致 ・アカウント管理がコスト対策、リスク対策であることを管理者が理解 →「Bundleをまず確認」の社内文化が生まれた （余談） ・Bundleサポートチームの良さもメリット 　弊社の改善要望が採用されたり…！？ Bundleが解決したこと+α
21. ご清聴ありがとうございました！ みなさま、良きBundleライフを…