先に結論一時アカウント、期限、最小権限、操作記録、終了後停止を一つの申請で管理します。
目的と必要範囲を申請する
障害調査、設定変更、更新、データ確認など目的を明記し、対象環境、画面、データ、作業時間を決めます。本番データが不要なら匿名・複製環境を使います。
顧客情報、金額、医療介護情報などを見る必要性を責任者が確認します。口頭だけで常設権限を渡しません。
個人別・期限付き・最小権限にする
保守会社共通IDではなく作業者を識別し、必要な役割と期間だけ付与します。管理者権限が必要な操作は、依頼側承認や立会いを検討します。
IP、VPN、二要素認証など利用環境に合う制限を使います。終了時刻を過ぎた権限は停止し、再作業は再申請します。
画面共有とデータ持出しを分ける
画面共有で確認できる作業にDBコピーを渡しません。ファイルやログが必要な場合は、項目、期間、匿名化、保管先、削除日を決めます。
遠隔操作は利用者の許可なく開始せず、開始・終了を表示します。パスワードや秘密キーを通常のチャットへ送らず、安全な共有方法を使います。
操作と終了を依頼側も確認する
ログイン、閲覧、変更、出力を記録し、作業報告の対象・結果・未解決を照合します。重要設定は変更前後と戻し方を残します。
作業後はアカウント、セッション、共有リンク、取得ファイルを停止・削除し、必要な監視を続けます。契約終了や担当変更時にも全アクセスを棚卸しします。
相談前にそろえるもの
- 作業目的・対象環境
- 個人別・期限付き権限
- 二要素認証・接続制限
- 持出し・保管・削除
- 操作記録・終了確認
全部そろっていなくても構いません。分かる範囲を確認し、業務ルールや金額に関わる部分は担当者と一緒に決めます。