退職時の対応：アクセスは外すだけでなく、
取り消してください

ふつうの退職手続きにある穴

ディレクトリのアカウントを無効にすれば、その人はサインインできなくなります。しかし、すでに知っていることには何の影響もありません。その人がかつて表示し、書き出し、覚えた共有パスワードは、変更されるまで有効なままです。そして「重要なものは変更しよう」は、確実に「どれも変更しない」へと風化します。居心地の悪い事実を言えば、チャットや表計算ファイルで認証情報を共有しているチームでは、退職時の対応は実際には不可能です。その人が見た秘密の全体を誰も把握していないため、誰も変更できないからです。

運用上の取り消しと、暗号による取り消し

運用上の取り消しは、権限のビットを反転させるだけです。システムはその人に秘密を表示しなくなります。秘密そのものは変わっておらず、その人の手元に残っているという危険には何も手が付いていません。

暗号による取り消しは、数学を変えます。その人が開けた保管庫は新しい鍵で暗号化し直され、中のすべての認証情報が変更すべき対象になり、それがどれなのかは保管庫が正確に教えてくれます。Keyvaci では、保管庫からメンバーの権限を取り消すと、この再暗号化がお使いの端末上で自動的に行われ、中断しても続きから再開でき、操作全体が追記のみの監査ログに記録されます。その人の古い鍵材料がかつて復号できたものは、もはやサーバー上に存在しません。

チェックリスト

1. 退職の面談の前に： その人が入れる保管庫をすべて洗い出します。これは調査ではなく、一回の照会で済むべきものです。
2. 退職時に： ディレクトリのアカウントを停止します。サインインがEntra ID の SSO でディレクトリに乗っていれば、保管庫へのサインインも同時に、追加の手間なく失われます。
3. 当日中に： 保管庫のアクセス権を取り消して該当の保管庫を再暗号化し、そのうえで、その人が実際に最近表示した認証情報を変更します。どれがそれかは監査ログが教えてくれます。それらを最初に変更し、残りは通常の計画に沿って進めてください。
4. 一週間以内に： その人が持ち主だったものを引き継ぎます。API キー、レジストラのアカウント、他の誰も存在を知らなかった認証情報。最後の数週間に不自然な表示がなかったか、監査ログも確認してください。退職者によるデータの持ち出しは、疑いすぎではなく、実際によくある型です。

30分の訓練

協力者を一人選び、その人が一時間前に辞めたと仮定してください。そのうえで (a) その人が開けたものを列挙し、(b) サインインを遮断し、(c) その人が持っていたものを再暗号化し、(d) 最初に変更すべき認証情報を十件挙げる、これにかかる時間を計ります。証拠となる記録付きで30分以内なら、あなたの手順は機能しています。それ以外なら、本物の辞表が届く前に取り組むべき課題が見つかったということです。選び方のガイドでは、この訓練を一週間の評価手順の中に組み込んでいます。