権限の棚卸し
権限の棚卸しとは、いま有効になっている権限を洗い出し、必要かどうかを見直す作業のことです。
別表記：権限の棚卸し／アクセスレビュー／権限レビュー／Access Review
なぜ必要なのか
権限は放っておくと増えます。異動のたびに新しい権限が足され、古い権限は「まだ使うかもしれない」という理由で残ります。数年経つと、誰も全体像を把握していない状態になります。
定期的に見直す仕組みがないと、この状態は避けられません。
AIエージェントの場合、何を確認するのか
そのAIが何をするものかだけでは足りません。
- どのアカウントで動いているか
- どのシステムに、どんな権限でつながっているか
- 期限は設定されているか
- 誰が許可したものか
- いまも使われているか
個人のアカウントや共有アカウントが流用されている場合、そもそも棚卸しの対象から外れてしまいます。ここを先に正しておかないと、洗い出しても抜けが出ます。
よくある誤解：定期的にやっていれば足りるのか
部門ごとに独自の導入が進み、情報システム部門が全体像をつかめていない。この状態では、権限の見直しも、事故時の停止も、原因の特定もできません。
まず、どこで何が動いているかを把握する。そこからしか始まりません。
手間を減らす方法
期限を切って発行しておけば、放置された権限が自然に消えます。棚卸しの対象そのものを減らせるため、作業の負担が下がります。
