月曜の朝、経理担当のBさんが業務システムにログインしようとすると、すでに誰かがログインした状態になっていた。画面には見覚えのない下書きの請求データが残っている。慌てて周囲に聞いてみると、先週末に退職した契約社員が最後に使っていたアカウントだった。共有PCの電源は落とされていたが、システム側のセッションは切れておらず、誰でもそのまま操作を続けられる状態だったのだ。幸い実害はなかったが、Bさんは背筋が寒くなったという。
似たような光景は、中小企業の現場で決して珍しくない。事務所に一台だけある共有PCを複数人で使い回し、いちいちログアウトするのが面倒だからと同じアカウントのまま作業を引き継ぐ。パスワードを覚えているのは総務担当者だけで、新人にもベテランにも同じIDを使わせている。こうした運用が積み重なった結果、システムの中では「誰が何をしたか」が実質的にわからなくなっている。問題が起きて初めて、ログを遡っても操作者を特定できないという事実に気づくのである。
中小企業で多重ログイン・セッション放置が起きる構造的な理由
この問題は担当者の意識の低さではなく、業務システムの作り方と運用体制の両方に原因がある。まず一つ目は、アカウント発行の手間だ。個人ごとにアカウントを作成し、権限を設定し、退職や異動のたびに削除や変更をするという運用は、専任の情報システム担当者がいない会社にとって負担が大きい。結果として、共有アカウント一つで済ませてしまう選択が合理的に見えてしまう。
二つ目は、セッションタイムアウトの概念がそもそも設計に組み込まれていないシステムが多いことだ。古い業務システムやExcelベースの管理台帳には、ログイン状態を自動的に切る仕組みがなく、一度ログインすれば誰かが手動でログアウトするまで開きっぱなしになる。共有PCではブラウザを閉じるだけで作業を終えたつもりになりがちだが、システム側のセッションはサーバー上で生き続けていることが多い。
三つ目は、同時ログイン制限という考え方自体が現場に浸透していないことだ。同じアカウントに複数人が同時にログインできてしまうシステムでは、誰かがログインしたままでも別の人が普通にログインできてしまう。エラーも警告も出ないため、そもそも問題として認識される機会がない。
セッション管理を放置すると業務にどう影響するか
まず起きるのが、操作の追跡不能だ。データの誤入力や削除が発生したとき、共有アカウントで複数人が使っていると、誰の操作かを特定できない。原因究明ができないまま再発防止策も打てず、同じミスが繰り返される。
次に、退職者アカウントの放置は情報漏えいのリスクに直結する。パスワードを変更しないまま退職者のIDが生き続けていれば、社外から不正にアクセスされる余地が残る。実際に被害が出るかどうかは別として、監査や取引先からセキュリティ体制を問われたときに説明できない状態は、それ自体が信用問題になる。
三つ目は、内部統制上の説明責任が果たせなくなることだ。会計や個人情報を扱うシステムでは、誰がいつどのデータにアクセスしたかを示せることが取引先や金融機関からの信頼につながる。多重ログインが常態化していると、この最低限の説明責任すら果たせず、いざというときに会社として弱い立場に立たされる。
セッション管理を仕組み化する方法
個人アカウントの原則化とID棚卸し
まず取り組むべきは、一人一アカウントを原則にすることだ。すべてを一度に切り替えるのは難しくても、新規入社者から個人アカウントに統一し、既存の共有アカウントは半年から一年程度の移行期間を設けて段階的に廃止していく。あわせて、四半期に一度など定期的にアカウント一覧を棚卸しし、退職者や異動者のIDが残っていないかを確認する運用を決めておく。
セッションタイムアウトの設計
一定時間操作がない場合に自動的にログアウトする仕組みを入れることで、共有PCの閉め忘れによるリスクを大幅に減らせる。タイムアウトの時間は業務の性質によって調整する必要があり、会計や個人情報を扱う画面は短めに、参照だけの画面はやや長めにするなど、画面や権限ごとに差をつける設計が現実的だ。
同時ログイン制限
同じアカウントで複数端末から同時にログインできないようにするだけで、誰かがログインしたまま席を離れているという状況を検知しやすくなる。すでにログイン中のアカウントで別端末からログインしようとした場合に警告を出す、あるいは先のセッションを自動的に切断するといった仕組みは、システム改修の規模としても比較的小さく導入しやすい。
操作ログとの連携
セッション管理は、それ単体では意味を持ちにくい。誰がいつログインし、どの画面でどんな操作をしたかという操作ログと組み合わせて初めて、何かあったときに追跡できる状態になる。ログイン・ログアウトの記録と、データの登録・変更・削除の記録をひもづけて保存しておくことが、セッション管理を実効性のあるものにする土台になる。
導入時に気をつけたいこと
セッションタイムアウトを厳しくしすぎると、現場からは真っ先に不満が出る。入力作業の途中で電話対応や来客対応が入り、数分席を外しただけで強制ログアウトされてしまうと、作業を最初からやり直すことになりかねない。特に紙の書類を見ながら長時間かけて入力するような業務では、タイムアウトが短すぎることが逆に生産性を下げてしまう。
共有PCの扱いにも注意が要る。倉庫や店舗など、複数人が交代で同じ端末を使う現場では、一人一アカウントの原則をそのまま当てはめると、かえって現場の手間が増える場合がある。こうした環境では、端末側に業務専用のログインユーザーを用意しつつ、システム側では個人を識別できる仕組みを別に設けるなど、現場の実情に合わせた設計が必要になる。ルールだけを本部が一方的に決めて現場に押しつけると、結局は形骸化して元の運用に戻ってしまう。
現実的な進め方
すべてを一気に変えようとせず、リスクの大きいところから優先順位をつけて着手するのが現実的だ。まずは金銭や個人情報に関わるシステムから、個人アカウント化とタイムアウト設定を進める。次に退職者アカウントの棚卸しルールを決め、人事の退職手続きとシステム側のアカウント削除を必ずセットで行うフローを作る。同時ログイン制限や操作ログとの連携は、既存システムの改修が必要になることが多いため、次のシステム更新や改修のタイミングに合わせて計画に組み込んでおくとよい。
現場の理解を得るためには、なぜこの変更が必要なのかを丁寧に説明する時間も欠かせない。セキュリティのためと言うだけでなく、誰かの操作ミスが自分の責任にされてしまう事態を防ぐためでもあると伝えると、当事者として受け止めてもらいやすくなる。
壁を越えて働く人たちのために、仕組みでできることがある
共有PCの前で立ったまま次の作業に追われる人、退職する同僚の引き継ぎに追われて細かい設定変更まで手が回らない人、限られた人数でシステムも現場も両方見なければならない人。中小企業の日々の業務は、こうした人たちの踏ん張りによって成り立っている。セッション管理という地味な仕組みは、そうした人たちの努力を裏切らないための備えだ。誰が何をしたかがきちんと記録され、退職者のIDが確実に閉じられ、共有端末でも安心して席を離れられる。そんな当たり前が整っているだけで、現場で踏ん張る人たちは余計な不安を抱えずに、目の前の仕事に集中できるようになる。壁を越えて働く人たちを支えるのは、大きな投資である必要はない。今ある業務システムを少しずつ見直していくことから、その一歩は始められる。