社員以外のアカウントは、①個人ごとに発行（共有しない）、②有効期限を設定、③必要な範囲だけの権限、④契約終了時に必ず削除が基本です。人事の手続きと連動しないため、担当部署が責任を持って棚卸しする仕組みが必要です。
管理のポイント
- 申請した部署・責任者を記録
- 契約期間に合わせた有効期限
- 多要素認証
- 四半期ごとなど定期的な棚卸し
ベンダーの遠隔保守
- 保守用の接続は常時開けておかず、作業時だけ有効にする
- 保守用アカウントのパスワードを使い回させない、多要素認証
- 作業の記録を残す
委託先・保守ベンダーの接続経路を経由した侵入（サプライチェーン攻撃）は、ランサムウェアの被害でも多く見られます。