>
>
公開日
長期休暇は、社員の不在によって「誰も見ていない時間」が一気に増える期間です。実際、不正アクセスやマルウェア感染は、対応できる人が少ない休暇期間中に発生・拡大しやすいことが知られています。退職者アカウントの消し忘れ、パッチ未適用のVPN機器、証明書の期限切れといった小さな見落としが、平時なら数時間で収束するトラブルを、休暇中は数日単位のインシデントに変えてしまいます。本記事では、休暇「前」の確認事項に加え、休暇「中」に何かが起きた場合の初動、休暇「明け」に最初に確認すべきことまで含めて、情シスが押さえておきたい対応を整理します。
長期休暇前、情シスが確認しておきたいセキュリティリスクと対応範囲
特に1〜数名体制で情シスを担っている場合、確認すべき範囲はSaaSやPCだけに留まりません。社内ネットワーク機器、サーバー室の物理環境、契約更新のスケジュールまで、頭の中だけで抜け漏れなく管理するのはどうしても限界があります。しかも、これらの領域はどれも「休暇中に発覚すると対応が遅れる」という共通点を持っています。
本記事では、休暇前の対応を①アカウント・ID管理、②ネットワーク・通信インフラ、③サーバー・オンプレ機器と物理環境、④SaaS・クラウド、⑤デバイス、⑥証明書・契約更新、⑦バックアップ・BCPのカテゴリに分け、また、休暇中〜休暇明けの対応確認しておきたい項目もあわせて整理しました。各項目には「なぜ確認が必要か」を一文で添えているので、手元のタスク管理ツールにそのままコピーして、優先度の高いものから消化していってください。
1. アカウント・ID・権限管理
□ 直近1〜2カ月の退職者・異動者アカウントが、SaaS・社内システム・AD/IdPすべてで無効化されているか
→ 個別契約のSaaSや古いシステムに残っているケースが多く、人事情報との突き合わせが必須
□ 休職・産休・育休予定者のアカウントを一時停止するか判断できているか
→ 長期不在が確定している場合は一時停止も検討し、不正利用のリスクを下げる
□ 管理者権限(Admin/root/特権ID)を持つアカウントの人数と対象者を再確認できているか
→ 影響範囲が大きいため、休暇前に可視化しておくと有事の調査対象を絞りやすい
□ 委託先・外部パートナー向けの一時アカウント・VPNアカウントの発行状況を確認し、不要分を削除できているか
→ プロジェクト終了後も残っていると、社内の目が届きにくい侵入経路になる
□ 休暇中に緊急で権限変更が必要な場合の代理承認者を決めているか
→ 承認者自身が休暇に入る場合、代理を決めておかないと緊急対応が止まる
複数のSaaS・システムを横断してアカウント状況を突き合わせる作業は、管理画面をひとつずつ開いて確認していくと時間がかかります。SaaSアカウント管理の機能で全社のアカウント状況と休眠・退職者アカウントを一元的に可視化しておくと、この棚卸し作業自体を大幅に短縮できます。
2. ネットワーク・通信インフラ
□ VPN機器・ルーター・ファイアウォールのファームウェアが最新か、既知の脆弱性対応が済んでいるか
→ VPN機器の脆弱性は社内ネットワークへの入り口になりやすく、休暇前の適用が重要
□ インターネット回線・専用線の契約先サポート窓口の休暇中営業時間を確認できているか
→ サポート窓口が休業していると、障害発生時の復旧までの時間が大きく伸びる
□ 社内Wi-Fiのアクセスポイントの動作状況・ゲストSSIDの利用状況を確認できているか
→ ゲストSSIDは来客対応で発行したまま放置されがちで、棚卸しが漏れやすい
□ 内線電話・PBX・IP電話システムが休暇中も正常に転送・留守電設定されているか
→ 代表電話が誰にも転送されない状態は、顧客対応の空白期間を生む
□ 拠点間VPN・拠点ネットワークの死活監視が休暇中も機能しているか
→ 複数拠点がある場合、接続断が休暇明けまで気づかれないケースがある
ネットワーク機器は全社の業務が乗る基盤であるため、一つの見落としが全体停止につながりやすい領域です。休暇前は「確認して終わり」にせず、誰がいつ何を確認したかを簡単なメモで残しておくと、休暇中に代理対応が必要になった場合や休暇明けの引き継ぎがスムーズになります。
3. サーバー・オンプレ機器と物理環境
□ サーバー室・データセンターの空調・UPS(無停電電源装置)が正常に稼働しているか
→ 空調停止やUPSの劣化は、休暇中は発見が遅れやすい典型的なトラブル
□ 停電・落雷が想定される時期は、自動シャットダウン設定やUPSのバッテリー残量を確認できているか
→ 台風・落雷が多い時期の休暇では、事前の動作テストが有効
□ サーバー室・機器室への入退室権限が最新の人員構成と一致しているか
→ 退職者・異動者の権限が残っていると、物理的なセキュリティリスクになる
□ 監視カメラ・入館カードシステムのログ保存・稼働状況を確認できているか
→ 有事の調査手段として、ログが正しく記録・保存されているかを事前確認
□ 休暇中に清掃・工事・点検などでサーバー室に立ち入る予定がある場合、立会い・鍵の手配を確認できているか
→ 立会い担当者が休暇中で不在だと、予定していた作業が滞る
物理環境のトラブルは、誰かが現地に足を運ばない限り発覚しないという特性があります。休暇前チェックの時点で「異常なし」を確認しておくだけでなく、休暇中に異常が起きた場合の連絡・駆けつけ手順まで決めておくと、被害の拡大を防ぎやすくなります。
4. SaaS・クラウドサービスの利用状況確認
□ 情シス未承認のSaaSサインアップがないか、直近のアクセスログ・請求データを確認できているか
→ 個人のクレジットカードで契約された「野良SaaS」は退職・異動時に放置されやすい
□ 契約更新日が休暇期間中〜休暇直後に来るSaaSをリストアップし、判断を前倒しできているか
→ 判断が休暇中に必要になると、自動更新で不要なコストが発生することがある
□ 利用率の低いライセンスを休暇前に解約・ダウングレードできないか検討できているか
→ 休暇明けにまとめて対応するより、休暇前の判断がコスト削減の機会を逃さない
□ 個人のクレジットカードで契約されたSaaS(野良SaaS)の有無を確認できているか
→ 会社として契約管理していないSaaSは、セキュリティ・コスト両面のリスクになる
複数のSaaSを横断して契約状況・利用率を確認する作業は手作業では抜け漏れが出やすいため、シャドーIT検出機能で未承認のSaaS利用を自動的に検知できる状態にしておくと、この確認作業自体を短縮できます。契約更新日の管理には、契約管理機能でリマインダーを設定しておくのも有効です。
5. デバイス管理
□ 社用PC・スマホの紛失・盗難時の連絡フローが全社員に共有されているか
→ 連絡フローを知らないまま休暇に入ると、実際の紛失時に対応が遅れる
□ リモートロック・リモートワイプが実行可能な状態か(MDM側の設定確認)
→ 紛失・盗難発覚後すぐに実行できる状態にしておくと、情報漏洩の被害を最小化できる
□ OSやセキュリティソフトの自動更新設定が有効になっているか
→ 休暇中は手動でパッチを当てられないため、自動更新への依存度が上がる
□ 私用端末での業務利用(BYOD)を許可している場合、MFA・VPN設定が正しく機能しているか
→ BYOD端末は管理の目が届きにくく、認証の設定不備が侵入経路になりやすい
□ 退職者・契約終了者分の貸出デバイスの回収スケジュールを確認できているか
→ 回収が休暇を挟んで延期されると、デバイスの所在が長期間不明になる
□ 複合機・プリンターの用紙・トナー残量と、休暇中のサポート契約窓口を確認できているか
→ 地味な項目だが、休暇明け初日の業務停止を防ぐために確認しておきたい
デバイスの台数が増えるほど、休暇前の一斉確認は手作業では追いつきません。デバイス管理機能で端末の状態を一覧化し、未対応の端末だけを抽出して対応する運用が現実的です。デバイス管理をアウトソースしたい場合は、Device倉庫プランのような外部委託の選択肢もあります。
6. 証明書・ドメイン・保守契約の更新期限
□ SSL/TLS証明書の有効期限が休暇期間中〜直後に切れないか
→ 証明書の失効はWebサイトやAPI連携の停止に直結し、休暇中は復旧に時間がかかる
□ 社内ドメイン・独自ドメインの更新期限を確認できているか
→ 更新漏れはメールやWebサイトなど広範囲に影響する重大なトラブルになる
□ サーバー・ネットワーク機器・複合機などのハードウェア保守契約・リース契約の期限を確認できているか
→ 保守契約が切れた状態で機器が故障すると、復旧が長期化する
□ 外部委託先(SES・保守ベンダー等)との契約更新・稟議のスケジュールを確認できているか
→ 稟議が休暇を挟んで止まると、契約更新のタイミングを逃す可能性がある
□ サイバー保険など、インシデント対応に関わる保険契約の有効性を確認できているか
→ インシデント発生時に保険が使えないと、対応コストが全額自社負担になる
契約更新日や保守期限をExcelなどの台帳だけで管理していると、休暇前の一斉確認で見落としが発生しやすくなります。契約管理機能でリマインダーを設定しておくと、更新期限が近づいた段階で自動的に気づける状態を作れます。
7. バックアップ・BCP観点の確認
□ 主要システムのバックアップが直近で正常に完了しているか
→ バックアップジョブの失敗は気づかれないケースが多く、目視確認が有効
□ バックアップからの復旧テストを、可能であれば休暇前に一度実施できているか
→ バックアップが取れていても、復旧手順自体に問題があるケースがある
□ 各SaaS・システム・ネットワーク機器のログ保存期間が十分か
→ インシデント発生時の原因調査は、必要な期間のログが残っていることが前提
□ ログ監視・異常検知の通知先(メール・Slack等)が休暇中も届く設定になっているか
→ 通知先が担当者個人のみだと、休暇中は誰にも気づかれない状態になる
□ 災害時・大規模障害時のBCP(事業継続計画)における情シスの初動対応範囲を再確認できているか
→ 大規模障害時に情シスがどこまで対応するかを事前に整理しておく
バックアップとログの保全は、休暇中に何が起きたかを後から正確に把握するための土台になります。担当者本人しか復旧手順を知らない状態は特にリスクが高いため、休暇前に一度、誰でも参照できる形で手順を整理しておくと安心です。
休暇中・休暇明けの対応も、休暇前の準備とあわせて設計しておく
休暇前の準備がどれだけ完璧でも、休暇「中」に何かが起きたときの初動フローと、休暇「明け」に何から手をつけるかが決まっていなければ、対応の質は担当者の休暇前の記憶力に依存してしまいます。ここまでの準備を「仕組み」として機能させるために、休暇中と休暇明けの対応も合わせて整理しておきましょう。
休暇前:緊急時エスカレーション体制と承認フローの調整
□ 休暇中の緊急連絡先リスト(情シス担当者・情報システム責任者・外部ベンダー・回線事業者)を最新化できているか
→ 古い連絡先のまま放置されていると、緊急時に誰にも連絡がつかない
□ 各SaaS・ネットワーク・データセンターのサポート窓口の休暇中営業時間を確認できているか
→ ベンダー側も休業している可能性があり、復旧時間は平常時より長くなる前提で計画する
□ インシデント発生時の初動対応フロー(誰に連絡し、何を止めるか)を1枚資料に整理できているか
→ 個人の知識に依存していると、担当者不在時に判断が止まる
□ アカウント発行・権限変更などの申請承認を、休暇中は誰が代行するか決定できているか
→ 承認者が長期不在のまま放置されると、業務が完全にストップする
□ 承認者が長期不在になるワークフローがあれば、一時的にフローを変更できているか
→ 代理承認者をワークフロー上でも正式に設定し、承認漏れを防ぐ
緊急連絡先や承認フローは、他のすべての確認作業が終わった後の「最後の仕上げ」として位置づけるのがおすすめです。ここまでのカテゴリで洗い出した対応事項の抜け漏れを、最終的にこの体制でカバーできる状態にしておきましょう。
休暇中:何かが起きたときに、記憶に頼らず動ける状態にしておく
休暇中に対応が必要な事態が起きた場合、担当者本人が対応できるとは限りません。だからこそ、休暇前に整理した初動対応フローと緊急連絡先を、実際に代理対応する人がすぐ見られる場所に置いておくことが重要です。
□ 初動対応フロー・緊急連絡先リストを、社内Wikiや共有ドライブなど代理対応者がアクセスできる場所に配置できているか
□ 「まず誰に連絡するか」「何を最初に止めるか」を、休暇中に対応する人にも事前に口頭で伝えられているか
□ 休暇中に発生したインシデント・対応内容を、簡単なメモでも記録に残せているか
□ 緊急連絡先本人が実際に不在・応答不可の場合の「次の連絡先」も決められているか
休暇中の対応は、事前準備の「答え合わせ」の場でもあります。想定外の事態が起きた場合は、対応内容を必ず記録に残し、休暇明けの引き継ぎと今後の改善に活かしましょう。
休暇明け:最初の1日で状況を立て直すための確認事項
休暇明けにゼロから状況を把握し直すと、それだけで半日以上かかってしまうことがあります。休暇前に「休暇明けに確認すべきことリスト」を用意しておくと、立て直しにかかる時間を大きく圧縮できます。
□ 休暇中に記録されたインシデント・アラートのログを確認し、対応漏れがないかチェックできているか
□ 未処理チケット・保留中の承認申請の状況を確認し、優先度をつけて処理できているか
□ 休暇中に代理対応した内容の引き継ぎを受け、必要であれば追加対応できているか
□ 休暇中〜休暇直後に期限を迎えた証明書・契約更新の処理状況を確認できているか
□ 休暇中に新たに発表された脆弱性情報がないか、主要なセキュリティ情報源を確認できているか
情シス担当者が1人体制の場合、こうした業務改善やIT統制の構築自体を外部に相談する選択肢もあります。上場準備や情シス立ち上げの支援まで含めて検討したい場合は、Admina Digital Workforceのようなアウトソースサービスも参考になります。
よくある質問(FAQ)とまとめ
Q. ネットワーク機器やサーバー室まで含めると項目が多すぎます。優先順位はどう考えればよいですか?
A. インシデント発生時の被害範囲・初動速度に直結する「アカウント無効化」「緊急連絡先の最新化」「バックアップの正常性確認」を最優先とし、次点でVPN/ファイアウォールの脆弱性対応、証明書の期限確認に時間を割くと、限られた時間でも大きくリスクを下げられます。
Q. オンプレ機器を持たずクラウド中心の環境でも、この網羅版は必要ですか?
A. オンプレ機器や物理入退室の項目は該当なしとしてスキップして構いません。ただしVPN・Wi-Fi・証明書更新・保守契約の期限管理はクラウド中心の環境でも共通して発生する確認事項です。
Q. SaaSとデバイス以外の項目も含めた棚卸しを、手作業以外で効率化する方法はありますか?
A. 契約更新期限やアカウント状況など「期限管理」が絡む項目は、SaaS管理ツールやカレンダー連携で自動削除やアラートを設定しておくと、休暇前に慌てて確認する必要がなくなります。平時から一元管理しておくことが、休暇前対応の負荷そのものを下げる近道です。
Q. 休暇中に緊急連絡先の担当者が誰も対応できない場合、どうすればよいですか?
A. 緊急連絡先を1人だけに絞らず、「本人が対応できない場合の次の連絡先」まで事前に決めておくことが有効です。1人体制の企業では、外部ベンダーやアウトソースサービスを緊急時のセカンドラインとして契約しておく方法もあります。
まとめ
長期休暇は、不正アクセスやマルウェア感染への対応リソースが手薄になる、セキュリティ上のリスクが高い期間です。SaaSやPCの確認だけでなく、ネットワーク機器、サーバー室の物理環境、証明書・契約の期限、BCP観点まで含めた確認を、毎回同じチェックリストで行う運用にしておくことで、担当者の異動や引き継ぎがあっても対応品質を保てます。さらに、休暇前の準備だけでなく、休暇中の初動フローと休暇明けの立て直し手順まで含めて設計しておくことで、「休暇前は完璧だったのに休暇中に対応が止まった」という事態を防げます。GW・夏季休暇・年末年始と年に複数回使うことを想定し、社内Wikiやタスク管理ツールにテンプレートとして登録しておくことをおすすめします。
本記事の内容に誤り等がございましたら、こちらからご連絡ください。
監修
Admina Team
情シス業務に関するお役立ち情報をマネーフォワード Adminaが提供します。
SaaS・アカウント・デバイスの管理を自動化し、IT資産の可視化とセキュリティ統制を実現。
従業員の入退社対応や棚卸し作業の工数を削減し、情報システム部門の運用負荷を大幅に軽減します。
中小企業から大企業まで、情シス・管理部門・経営層のすべてに頼れるIT管理プラットフォームです。
