オンラインアシスタントに仕事を渡す前に作る、クラウドツールの権限・アカウント台帳

導入

オンラインアシスタントへの業務委託では、作業手順を説明することに意識が向きがちです。しかし、実際に準備しておきたいのは、手順書だけではありません。業務に必要なアカウントと権限を明確にし、依頼終了後に戻せる状態を作ることが大切です。

権限管理は、情報システム部門だけの仕事ではありません。少人数の会社や個人事業でも、顧客情報、契約書、売上データ、社内の企画資料などを扱っていれば、最低限の管理が必要です。ただし、権限台帳だけで安全性を確保できるわけではありません。

最小権限や多要素認証（MFA）、アクセスレビューの考え方については、NIST SP 800-53 Rev.5のアクセス制御に関する項目や、IPA「中小企業の情報セキュリティ対策ガイドライン」を参照できます。実際の設定は、利用するサービスの公式ヘルプで確認してください。

台帳を作る目的

権限・アカウント台帳は、クラウドサービスの契約情報を一覧にするだけのものではありません。業務に必要なアクセスを付与し、不要になったアクセスを見直すための「判断の記録」として機能します。

台帳を作ることで、次のような状態を確認しやすくなります。

• どのクラウドツールを契約しているか
• 各ツールの管理者や契約者は誰か
• オンラインアシスタントにどの権限を渡しているか
• どの情報を閲覧、編集、共有できる状態か
• 契約終了や業務変更の際に、どの権限を停止するか

この一覧がないと、担当者の記憶やチャットの履歴だけを頼りに、権限を管理することになります。その方法では、付与した権限が増えた理由や、不要になった権限の有無を後から確認しにくくなります。

「任せたい業務」と「渡す権限」は別に考える

「経理を任せる」「メール対応を任せる」といった業務名だけでは、必要な権限の範囲を判断できません。同じ経理業務でも、請求書を閲覧するだけなのか、編集や送信まで行うのかによって、必要なアクセスは変わります。

業務を権限に置き換えるときは、まず作業を細かく分解します。たとえば「請求書作成」という業務なら、資料の収集、下書きの作成、内容確認、送信、入金状況の確認といった工程に分けて考えます。

そのうえで、それぞれの工程に必要な操作を整理します。閲覧だけで足りるのか、編集が必要なのか、公開や送信まで許可するのかを分けると、過剰な権限を渡しにくくなります。

課題の整理

オンラインアシスタントへのアクセス付与で起きやすい問題は、単に「パスワードを共有してしまう」ことだけではありません。アカウントの所有者、権限の範囲、共有情報の場所、終了時の手続きが曖昧なことも、大きなリスクになります。

課題1：共有アカウントに依存してしまう

個人用のメールアドレスや管理者アカウントを、そのままオンラインアシスタントと共有する方法は、管理しやすそうに見えます。しかし、誰が操作したか確認しにくくなり、パスワード変更や多要素認証の運用も複雑になります。

サービスによっては、アカウントの共有が利用規約や社内ルールに合わない場合もあります。共有が必要に見える場合でも、まずは個別ユーザーの追加、ゲスト招待、委任機能、権限分離などの機能がないかを、各サービスの公式ヘルプで確認しましょう。

個別アカウントを発行できないサービスでは、共有アカウントの利用規約上の可否を先に確認し、個別アカウント以外の代替策も検討します。共有せざるを得ない場合は、利用者、保管場所、認証方法、利用期間、操作ログで利用者を追跡できるかを台帳に記録し、管理者アカウントとは分けて運用します。

課題2：権限を広く渡しすぎる

「作業が止まると困るから」と、最初から管理者権限を渡すケースがあります。確かに設定変更やユーザー追加が必要な業務もありますが、管理者権限は契約、請求、データ削除、他の利用者の管理などに影響することがあります。

権限は、作業に必要な範囲に限定するのが基本です。最初は閲覧や下書き作成などの低い権限で始め、実際に不足する操作が分かった段階で、必要な範囲だけ追加します。この「最小権限」の考え方は、NISTの用語集でも説明されています。

権限を絞ることは相手を疑うためではなく、誤操作やアカウント侵害が起きた場合の影響を小さくするための業務設計です。サービス固有の役割や制限は、一般論ではなく、利用中のサービスの公式仕様で確認してください。

課題3：データの範囲が見えていない

「フォルダを共有した」だけでは、そこに何が入っているかを正確に把握できないことがあります。過去の契約書、顧客名簿、社内評価資料、個人情報を含むファイルが同じ場所に保存されていると、依頼業務に不要な情報まで見えてしまう可能性があります。

共有前には、対象フォルダの中身と階層を確認しましょう。フォルダ単位でまとめて共有するのではなく、業務用のフォルダを新しく作り、必要なファイルだけを移す方法も有効です。

また、ファイルの共有範囲は、サービスごとに挙動が異なります。たとえば、Google ドライブの共有設定や、Microsoft 365の共有に関する公式案内などを確認し、実際の共有状態も点検します。

課題4：権限を止めるタイミングが決まっていない

業務委託の終了後も、アカウントや共有フォルダが残ったままになることがあります。契約が終わった日を覚えていても、複数のサービスからアクセスを外す作業を忘れると、不要な権限が継続します。

開始時の作業だけでなく、終了時の作業も台帳に記録します。契約終了日が決まっていない場合でも、扱う情報や変更頻度に応じて、月次、四半期ごと、契約更新前などの見直し日を設定します。

課題5：権限変更の履歴が残っていない

権限を追加した理由や、いつ誰が変更したかが分からないと、見直しの際に判断できません。過去の担当者が設定した権限を、現在の担当者がそのまま使い続ける状態も起こりやすくなります。

台帳には、付与日、変更日、付与した人、承認した人、目的を記録します。チャットで承認した場合は、そのリンクや要点を台帳に残すなど、後から経緯を追える形にしておくと確認しやすくなります。

解決方法

権限・アカウント台帳は、複雑なシステムを導入しなくても作成できます。最初はスプレッドシートなど、社内で扱いやすく、アクセス制御と履歴管理ができる場所に作り、情報の粒度と更新ルールを決めることから始めます。

ただし、台帳にはログイン用メールアドレス、復旧用情報、顧客情報の範囲などが記載されるため、台帳自体が機密情報になります。閲覧・編集できる人を限定し、バックアップ方法、更新責任者、更新日時、バックアップからの復旧方法をあらかじめ決めてください。

1. 使っているクラウドツールを洗い出す

最初に、オンラインアシスタントが使う予定のサービスだけでなく、事業全体で利用しているクラウドツールを一覧にします。担当者の記憶だけに頼らず、クレジットカードの明細、請求メール、ブラウザの保存情報、業務手順書なども確認します。

洗い出しの対象には、業務に直接使うサービスだけでなく、ログインやデータ連携に関係するサービスも含めます。たとえば、メール、ストレージ、チャット、プロジェクト管理、会計、顧客管理、予約管理、ウェブサイト管理、オンライン会議などです。

ツール名を並べるだけで終わらせず、各サービスで扱う情報の種類も記録します。顧客情報や決済情報など、扱いに注意が必要なデータがある場合は、台帳上で区別しておくと権限判断に役立ちます。

2. 台帳の項目を決める

台帳の項目は、後から「このアカウントを誰が管理しているのか」「なぜこの権限が必要なのか」を確認できることが基準です。次の項目を基本として、事業の規模や扱う情報に合わせて追加します。

• サービス名と利用目的
• 契約者、支払担当者、サービスの管理者
• アカウントの種類とログイン用メールアドレス
• 利用者名、所属、委託先名
• 個人単位のアカウントか、委託先単位の契約管理か
• 付与している役割や権限レベル
• 閲覧、編集、送信、削除、管理者操作の可否
• アクセスできるフォルダ、プロジェクト、顧客情報の範囲
• 付与日、期限、実際の設定確認日、見直し予定日
• 業務上の目的と権限の承認者
• 契約終了時の停止方法、停止確認日、返却確認
• 多要素認証の方式、復旧用情報、請求情報の管理方法
• アクセスログの確認方法と保管期間
• 変更履歴、備考、関連する手順書の場所

パスワードそのものやバックアップコードを台帳に記載するのは避けます。認証情報を保管する場合は、専用のパスワード管理サービスなど、アクセス権を設定できる方法を使い、台帳には保管場所や管理責任者だけを記録します。

3. 業務を操作単位に分解する

権限を決める前に、オンラインアシスタントに依頼する業務を操作単位に分けます。「SNSを担当してもらう」という表現なら、原稿の入力、画像の登録、予約投稿、コメント確認、公開、分析レポート作成など、複数の操作が含まれます。

操作ごとに、必要な権限と扱うデータを表にします。たとえば、原稿の下書きだけなら投稿作成権限で足りる一方、公開や広告設定まで任せる場合は、より大きな影響を持つ権限が必要になる可能性があります。

作業の責任者と最終確認者も分けて考えます。オンラインアシスタントが下書きや入力を担当し、社内の責任者が公開や送信を承認する運用にすると、誤掲載や誤送信のリスクを抑えやすくなります。

4. 役割と権限を対応させる

クラウドサービスに「閲覧者」「編集者」「管理者」などの役割がある場合は、業務内容と役割を対応させます。ただし、同じ名前の役割でも、サービスによってできることが異なるため、実際の操作範囲を確認してから台帳に記録します。

役割を判断するときは、次の順番で検討すると整理しやすくなります。

1. 依頼する業務を、閲覧、入力、編集、共有、送信、削除、設定変更に分解する
2. 各操作が必要な工程と、不要な工程を分ける
3. サービスが提供する役割のうち、必要な操作を満たす最も限定的な役割を選ぶ
4. 管理者権限が必要な場合は、理由、対象操作、利用期間、承認者を記録する
5. 実際のアカウントで、想定どおり操作できるかと、不要な情報が見えないかを確認する

役割名だけで判断せず、「何ができるか」を台帳に書くことがポイントです。たとえば「編集者」と記載するだけでなく、「既存ファイルの編集は可能、共有設定の変更と削除は不可」のように、業務上の意味に置き換えて記録します。

5. 個別アカウントと専用スペースを用意する

オンラインアシスタントには、可能な限り本人を識別できる個別アカウントを用意します。委託先が法人の場合は、法人との契約管理と、実際に作業する担当者個人のアカウント管理を分けて記録します。

担当者が交代するときは、新しい担当者の個別アカウントを追加し、交代前の担当者のアカウントを停止します。法人名だけを記録して個人を特定できない状態や、退職・交代後も同じアカウントを使い続ける状態は避けます。

クラウドストレージでは、業務専用の共有フォルダやプロジェクトスペースを作ります。個人のホームフォルダや会社全体の共有領域をそのまま渡すのではなく、依頼業務に必要な資料だけを置く構成にすると、情報の境界が明確になります。

メール対応を依頼する場合も、個人の受信箱全体を共有する必要があるかを検討します。問い合わせ専用のアドレス、委任機能、ラベルやフォルダで限定した運用など、サービスの機能を使って必要な範囲に絞れるか確認しましょう。

6. 認証と復旧の責任を分ける

多要素認証（MFA）を設定できるサービスでは、利用者ごとに設定します。方式は、利用サービスが対応する範囲で、認証アプリ、セキュリティキー、SMSなどから選び、サービス公式ヘルプで安全性や復旧方法を確認してください。

認証コードを一人の担当者だけが持つ状態にすると、その人が不在のときに業務が止まるため、緊急時の復旧手順と責任者も決めておきます。バックアップコードや復旧用メールアドレスは、保管場所、閲覧できる人、更新責任者を台帳に記録します。

復旧用メールアドレス、バックアップコード、請求情報などは、オンラインアシスタントへ無条件に共有しないようにします。作業権限と契約管理権限を分け、アカウントの所有者や請求担当者が誰かを台帳で明確にしましょう。

認証情報を共有する場合は、メールやチャット本文に直接貼り付ける方法を避けます。共有の必要性と利用規約を確認したうえで、利用者の追加やサービスが用意する安全な共有機能を優先します。

7. 付与前に小さくテストする

権限を付与したら、すぐに本番業務を任せるのではなく、テスト用のデータや限定したフォルダで確認します。オンラインアシスタント本人にも、見える情報、できる操作、できない操作を確認してもらいます。

テストでは、通常の作業だけでなく、誤操作につながりやすい操作も確認します。共有リンクの作成、外部ユーザーへの送信、ファイル削除、公開設定の変更など、影響が大きい操作が制限されているかを見ておきます。

想定と異なる場合は、権限を下げるだけでなく、フォルダ構成や業務分担も見直します。権限だけで解決できない問題を、運用ルールや承認手順で補うこともあります。

8. 運用ルールを短く文書化する

台帳は管理者向けの記録ですが、オンラインアシスタントにも最低限の利用ルールを共有します。長大な規程を最初から作るよりも、実際の作業で迷いやすい点を短くまとめる方が、運用に定着しやすくなります。

• アカウントや認証情報を他人に転送しない
• 業務データを個人の端末や私用サービスへ無断で保存しない
• 判断に迷うメール送信、公開、削除は実行前に確認する
• 誤送信、紛失、不審な通知があった場合は速やかに報告する
• 業務終了後に、ダウンロードした資料や手元のデータを確認する

ルールは「気をつける」だけでなく、具体的な行動にします。たとえば「顧客情報を大切にする」ではなく、「顧客情報を含むファイルを私用ストレージへ保存しない」と書くと、判断の基準が伝わりやすくなります。

9. 定期的に棚卸しする

権限の確認は、問題が起きたときだけ行うものではありません。担当業務の変更、ツールの入れ替え、組織変更、委託契約の更新などをきっかけに、台帳と実際の設定を照合します。

見直しの頻度は、扱う情報の重要度や変更の多さに応じて決めます。例として、頻繁に権限が変わるサービスは月次、変更が少ないサービスは四半期ごと、または契約更新前など、実行可能な確認日を設定します。

棚卸しでは、次の点を順番に確認します。

1. 台帳に記載された利用者と、実際に登録されている利用者が一致しているか確認する
2. 現在の業務に不要なアカウントや権限が残っていないか確認する
3. 共有フォルダやプロジェクトに、不要なデータが含まれていないか確認する
4. 管理者、契約者、請求担当者が現在の体制と一致しているか確認する
5. アクセスログを確認できるサービスでは、保管期間と確認方法を確認する
6. 確認日、確認者、変更内容を台帳へ記録する

10. 契約終了時の停止手順を先に作る

アクセス停止は、契約終了後に考えるのではなく、業務開始前に決めておきます。終了日、停止対象のサービス、データの返却や削除の確認、成果物の保管場所、必要な引き継ぎを一覧にしておくと、対応漏れを防げます。

ただし、データを直ちに削除できるとは限りません。法令上の保存義務、会計・税務記録、監査や紛争対応、委託契約上の保存条件などを確認し、必要な保存期間や保管場所を決めたうえで、保存期間を終えた後に削除します。

停止の手順は、次のように具体化します。

1. 契約終了日と、最後にアクセスできる日時を確認する
2. 秘密保持契約や個人情報の取扱いに関する委託契約の終了条件を確認する
3. メール、ストレージ、チャット、会計などの対象サービスを台帳から抽出する
4. 個別アカウントの停止、共有解除、セッション終了、認証情報の変更を行う
5. 貸与端末や保存データ、バックアップの扱いを確認する
6. 法令、税務、監査、契約上の保存が必要なデータを区分して保管する
7. 停止後に、対象アカウントでログインや共有ファイルへのアクセスができないか確認する
8. 対応者、日時、確認結果、データの返却・保存・削除の状況を台帳に記録する

業務が一時的に休止するだけの場合は、削除ではなく停止や権限縮小が適切な場合もあります。再開の可能性があるときも、休止中のアクセスを残す理由と、再確認の時期を台帳に記録しましょう。

台帳の記載例

台帳は、利用者が読んだときに判断できる具体性が必要です。以下は一行で追跡するための項目例であり、サービス名や権限名だけでなく、目的、対象データ、期限、確認結果を記録します。

サービス・利用者	権限・対象データ	承認者	期限	実際の設定確認日	停止確認日
クラウドストレージ／オンラインアシスタントA	指定フォルダの閲覧・編集／記事原稿と画像。共有設定の変更、削除、上位フォルダへのアクセスは不可	業務責任者	契約終了日	【要確認】	【要確認】

委託先が法人の場合は、委託先名、契約期間、契約責任者を別途記録し、実際の担当者個人のアカウントと結び付けます。担当者の交代時は、新しいアカウントの付与日と、交代前のアカウントの停止確認日をそれぞれ記録します。

オンラインアシスタントとの確認で伝えること

権限を渡す際は、ツールの使い方だけでなく、アクセス範囲と判断が必要な場面を説明します。特に、送信、公開、削除、外部共有、個人情報の取り扱いについては、事前に確認基準を決めておくと迷いが減ります。

依頼先に一方的な禁止事項を並べるのではなく、業務上必要な操作と、許可が必要な操作を分けて伝えます。たとえば「下書きの作成は任せるが、顧客への送信は責任者の確認後」といった分担です。

また、ツールの画面や機能は更新されることがあります。設定変更や不審な通知があった場合に、自己判断で対応せず、誰へ連絡するかを決めておくと、問題が大きくなる前に確認できます。

個人情報を扱う委託で確認すること

オンラインアシスタントが個人情報や顧客情報を扱う場合、権限台帳とは別に、委託先を選定する手続きと契約条件を確認します。個人情報保護委員会の「個人情報の保護に関する法律についてのガイドライン」など、適用される公式資料も参照してください。

• 委託先の業務実績、管理体制、情報セキュリティ対策を確認する
• 秘密保持契約と、個人情報の取扱いに関する委託契約を締結する
• 再委託の可否、再委託先の管理方法、事前承認の要否を確認する
• データの保管場所、利用するクラウドサービス、国外移転の有無を確認する
• 事故や不正アクセスが発生した場合の連絡先、報告内容、報告期限を決める
• アクセスログの取得可否、保管期間、確認者、提出方法を確認する
• 契約終了時の返却、保存、削除、削除確認の条件を定める

委託先の選定基準や国外移転に関する具体的な扱いは、情報の種類、委託先の所在地、利用サービス、契約内容によって異なります。重要な個人情報を扱う場合は、契約締結前に専門家または関係機関の公式情報で確認してください。

まとめ

オンラインアシスタントへの業務委託を安全に進めるには、信頼関係だけに頼らず、アクセスの範囲を仕組みで管理することが必要です。仕事を渡す前にクラウドツールを洗い出し、業務、データ、権限、利用期間を台帳へ記録しましょう。

最初から完璧な台帳を作る必要はありません。まずは、メール、ストレージ、会計、顧客管理など、重要な情報を扱うサービスから始め、個別アカウント、最小権限、MFA、定期的なアクセスレビュー、契約終了時の停止を運用に組み込みます。

最初に取り組むチェックリスト

何から着手するか迷う場合は、次の順番で確認します。業務開始前に一度実施し、運用開始後は変更があったタイミングや、あらかじめ設定した月次・四半期ごとなどの点検日に更新してください。

• 依頼する業務と、扱うデータを具体的に書き出す
• 利用するクラウドツールと管理者を一覧にする
• 委託先の選定、秘密保持契約、個人情報の取扱いに関する契約を確認する
• 再委託の可否、保管場所、国外移転、事故時の連絡期限を確認する
• オンラインアシスタント用の個別アカウントを用意する
• 必要な操作を満たす最小限の権限を選ぶ
• MFAの方式と復旧方法を確認する
• 専用フォルダや専用プロジェクトを作り、データ範囲を限定する
• 付与日、目的、承認者、期限、実際の設定確認日を台帳へ記録する
• テスト用データで、見える情報とできる操作を確認する
• 送信、公開、削除などの承認ルールを共有する
• アクセスログの保管方法と確認責任者を決める
• 契約終了時の停止、データ返却、保存、削除確認の手順を決める
• 台帳のアクセス制御、バックアップ、更新責任者を決める

権限管理は、業務を任せることを難しくするためのものではありません。誰がどこまで担当するかを明確にし、オンラインアシスタントが安心して作業できる環境を整えるための、業務設計の一部です。

台帳を更新し続けることで、権限の付与や停止を担当者の記憶に依存せずに済みます。サービス仕様や法令は更新されるため、導入時と見直し時には各サービスの公式情報や適用される公的資料を確認してください。

重要な個人情報、顧客情報、会計情報を扱う場合は、権限台帳だけで判断せず、契約や保存義務を含めて専門家に確認してください。