SNSアカウント権限管理の基本｜退職・委託・乗っ取りに備える運用ルール

SNSアカウントの運用で最も多い相談は、投稿の企画やクリエイティブではなく「誰がログインできる状態になっているのか、もう誰も把握していない」という状態の立て直しです。担当者が三代交代し、代理店が二社入れ替わり、当時のパスワードだけが引き継がれてきた。そんなアカウントは決して珍しくありません。実際に事故が起きるまで、その危うさは可視化されないまま放置されます。

SNSアカウントは、企業のブランド資産でありながら、社内の情報システム部門の管理台帳から漏れやすい資産でもあります。基幹システムやグループウェアであれば入退社のタイミングでアカウントの発行と停止が自動的に走るのに、SNSだけはマーケティング部門の中で人から人へと手渡しされ、退職者のスマートフォンに認証アプリが残ったままになる。この非対称が、乗っ取りや内部からの不正利用を招く温床になっています。

この記事では、投稿ルールやガイドラインの話ではなく、権限・ログイン・緊急時対応という運用セキュリティの実務だけを扱います。プラットフォームごとに違う権限の仕組みを整理したうえで、退職・異動、代理店の委託と解除、端末の紛失、乗っ取りの発覚といった「事故が起きる場面」ごとに、何をどの順番で締めるかを具体的に示します。今日から自社のアカウントで手を動かせる粒度まで落として書いています。

SNSアカウントの権限管理とは運用の土台になる仕組み

SNSアカウントの権限管理とは、誰がどのアカウントに対してどこまでの操作をできるかを役割単位で定め、その役割が不要になった時点で確実に取り上げる一連の運用です。パスワードを共有して「知っている人だけが触れる」状態を、権限を付与して「許可された人だけが触れる」状態に置き換える作業だと言い換えてもよいでしょう。前者は誰が触ったのかを後から追えませんが、後者は操作の記録が残り、必要なぶんだけを渡して必要なときに剥がせます。

この違いは平常時にはほとんど意識されません。困るのは、担当者が辞めるとき、代理店を切り替えるとき、そして不正なアクセスが疑われたときです。パスワード共有で運用してきたアカウントは、この三つの場面すべてで手が止まります。誰にパスワードが渡っているか分からないため、変更しても安全になった確証が持てず、変更したことで他のメンバーの業務が止まる。結局「触らないでおこう」という判断になり、リスクが年単位で残ります。誰がどのアカウントの何に責任を持つのかを可視化する作業は、投稿の承認フローや広告費の決裁ラインを整えることにも直結します。

投稿ルールとは別のレイヤーで管理する

企業のSNSガイドラインは、多くの場合「何を投稿してよいか」「どんな表現を避けるか」「炎上時に誰が判断するか」を定めています。これは必要な文書ですが、権限管理とは扱うレイヤーが違います。ガイドラインが守ろうとしているのは発信内容の適切さであり、権限管理が守ろうとしているのはアカウントそのものの支配権です。内容が適切でも、支配権を失えば意味がありません。

実務上は、この二つを別の文書として管理するのが扱いやすい形です。ガイドラインは全社員に配る前提で書き、権限台帳と権限ルールは運用に関わる少人数だけが更新する前提で書きます。混ぜてしまうと、ガイドラインを改訂するたびに権限の記述が形骸化し、逆に権限を一人追加するだけでガイドラインの版数が上がるという不合理が生まれます。権限に関する記述は、必ず更新日と更新者が分かる形で管理してください。

権限管理が甘い組織に共通する状態

数多くの企業アカウントを見てきた経験から言えば、権限管理が崩れている組織にはいくつかの共通したサインがあります。ひとつは、アカウントに紐づくメールアドレスが個人名のものになっていること。もうひとつは、二段階認証の認証コードを受け取る端末が、現在の担当者ではない誰かのスマートフォンであること。そして三つめは、管理者権限を持つ人数を即答できないことです。

これらは単独ではただの不備ですが、重なると復旧不能な状態を生みます。個人名のメールアドレスが退職で失効し、認証アプリの入った端末が返却されず、管理者が誰も残っていない。この三つが揃った時点で、アカウントの回復にはプラットフォームへの申請と本人確認の長いやり取りが必要になり、その間の運用は完全に止まります。

• アカウントの連絡先が個人名のメールアドレスや個人携帯の番号になっている
• 二段階認証の設定端末が誰の手元にあるのか、台帳で確認できない
• 管理者権限を持つ人数と氏名を、その場で答えられない

SNS運用の事故は権限設計の穴から起きている

不正ログインの大半は、高度な技術的攻撃ではなく、パスワードの管理の甘さと人の出入りという運用上の穴から起きています。警察庁・総務省・経済産業省が2025年3月に公表した「不正アクセス行為の発生状況及びアクセス制御機能に関する技術の研究開発の状況」によると、2024年（令和6年）の不正アクセス行為の認知件数は5,358件で、前年から954件、約15.1％減少しました。件数は減少傾向にあるものの、内訳を見ると企業のSNS運用にとって無視できない構造が浮かび上がります。

同資料では、2024年に検挙された不正アクセス行為のうち他人のIDやパスワードを使う「識別符号窃用型」が511件で、手口別の90％以上を占めています。さらにその511件を手口ごとに分解すると、最も多いのは「パスワードの設定・管理の甘さにつけ込んで入手」で174件、全体の34.1％でした。次に多かったのは「識別符号を知り得る立場にあった元従業員や知人等による犯行」で107件、20.9％を占めます。前年の68件から約1.57倍に増えており、退職者・元関係者のリスクが数字として顕在化していることが分かります。フィッシングサイトによる窃取は41件、8.0％にとどまるため、外部からの巧妙な攻撃よりも社内のパスワード運用と人の出入りの処理を締めるほうが、投じる労力に対する効果がはるかに大きいと言えます。実務では、日常の運用、担当者の入れ替わり、外部委託の開始と終了、端末の紛失、乗っ取りの発覚という五つの場面に切り分けて着手すると、対策の順番が見えてきます。この記事の後半はその順序に沿って構成しているため、自社で次に確実に発生する場面から読み進めてください。

プラットフォームごとに権限の仕組みは大きく違う

SNSの権限管理に共通の正解はなく、プラットフォームごとに設計が違うため個別に対応が必要です。Meta系はビジネス単位でアセットと人を紐づける仕組みが最も整っており、LINE公式アカウントは権限の段階が明快です。この差を知らないまま「全社統一ルール」を作ると、実装できない項目が並ぶだけの文書になります。複数の資産をまとめて管理できるMeta系とTikTokから先に着手するのが効率的です。

Meta系はアセット単位で切り分ける

Facebookページ、Instagramのプロアカウント、広告アカウント、ピクセル、カタログといった資産は、Metaビジネスマネージャの配下に置くことで人と資産の紐づけを一元管理できます。ここで重要なのは、社員を登録する「ユーザー」と、外部企業を登録する「パートナー」が明確に分かれていることです。代理店をユーザーとして個人単位で招待してしまうと、代理店側の担当者交代のたびに自社が招待と削除を手作業で追う必要が生じます。

権限の粒度も設計上のポイントです。ページに対しては、コンテンツの作成、メッセージへの返信、コミュニティ活動の管理、広告の作成、インサイトの閲覧といったタスク単位で渡す範囲を選べます。広告運用だけを委託するのであれば、ページには広告に関するタスクだけを渡し、広告アカウントにはキャンペーンを管理する権限だけを渡すのが妥当な線です。ビジネス全体を触れる管理者アクセスを外部に渡すのは、どんな事情があっても避けてください。

Xは公式の権限付与で共有を置き換える

X（旧Twitter）には、パスワードを共有せずに複数人でひとつのアカウントを運用するための権限付与の仕組みがあります。設定内のセキュリティとアカウントアクセスの項目から招待を有効にし、メンバーを管理者またはコントリビュータとして追加する流れです。コントリビュータは投稿や返信といった運用作業ができ、管理者はメンバーの管理まで行えます。

この仕組みを使う実務的な意味は二つあります。ひとつは、ログイン情報の共有そのものを不要にできること。もうひとつは、複数の端末やIPから同じ認証情報でログインすることによる不自然な挙動の検知を避けられることです。パスワードを回して複数人が同時に触る運用は、規約上の懸念に加えて、アカウントの一時制限という実務リスクも抱えています。

TikTokとYouTubeとLINEの押さえどころ

TikTokはビジネスセンターに広告アカウントとTikTokアカウントを集約し、メンバーとパートナーそれぞれにアセット単位のアクセス権を割り当てる構造になっています。管理者ロールはメンバーとアセットの両方を管理できるため、社内で二名までに絞り、残りは標準ロールで運用するのが扱いやすい形です。財務系の上位ロールは広告費の確認や請求管理に関わるため、経理部門の担当者に限定して付与します。

YouTubeは、チャンネルがブランドアカウントに紐づいていることが権限分離の前提条件になります。個人のGoogleアカウントで直接作ったチャンネルは、そのままでは他者に権限を渡せません。ブランドアカウント化した上でYouTube Studioの権限設定を使えば、編集者や制限付き編集者として渡すことで収益情報を見せずに動画のアップロードだけを委託できます。LINE公式アカウントは権限の段階が明快で、配信権限を持たない運用担当者を使えば、作成までは任せて配信の最終判断だけを社内に残す運用が組めます。

最小権限の原則をSNS運用の役割に落とし込む

権限設計の原則は「業務に必要な最小限だけを渡し、必要がなくなったら取り上げる」の一文に集約できます。理屈としては誰もが同意する原則ですが、実際の現場で崩れるのは、権限を渡す判断が「その人が困らないように」という配慮で行われるからです。渡しすぎた権限は誰も困らせないため、削る動機が生まれません。だから運用側で、役割ごとの権限の上限を先に決めておく必要があります。

実務で機能するのは、役割を四つ程度に割り切ってしまうやり方です。細かく分けるほど正確になりますが、更新されない台帳は正確でも意味を持ちません。運用リーダー、投稿担当、広告担当、外部パートナーの四区分に加えて、閲覧だけの経営・関連部門枠を用意すれば、ほとんどの企業アカウントは表現できます。

役割を四つに割り切る

この表の使い方は、まず自社の現状を書き込んでから理想形と比べることです。現状を埋めると、たいていの企業で「投稿担当のはずの人が管理者権限を持っている」「退職した広告担当がまだメンバーに残っている」といった不一致が二つか三つ見つかります。この不一致を潰す作業が、権限整備の第一歩になります。

役割の割り当てで迷いやすいのは、兼務している人の扱いです。運用リーダーが広告も見ているケースは中小規模の企業では普通ですが、その場合も「兼務している人に二役分の権限を渡す」と記録し、兼務が解けたときにどちらを外すのかまで書いておきます。記録がなければ、兼務解除後も両方の権限が残り続けます。

管理者は二名を上限にする

管理者権限を持つ人数の目安は二名です。一名では、その人が退職や長期休職に入った瞬間にアカウントの支配権を失うリスクが生じます。三名以上では、誰が権限の付与と削除に責任を持つのかが曖昧になり、退職時の締め処理が漏れます。二名にして、その二名が互いの権限状態を確認し合う体制が最も破綻しにくい形です。

この二名には、部門長のような役職者と、実務を回している運用リーダーを組み合わせるのが実践的です。役職者だけでは緊急時に動けず、実務者だけでは異動や退職の情報が事前に入ってきません。

ログインの守り方は二段階認証と共有アカウントの解消から

ログインの防御は二段階認証の有効化と共有アカウントの解消という二つの作業でほぼ完成します。前述の一次データが示すとおり、パスワードの設定・管理の甘さが手口の三分の一を占めているため、ここを塞ぐことの効果が最も大きいためです。逆に言えば、この二つを終えていない状態でセキュリティツールの導入を検討するのは順序が違います。ただし作業中は一時的にログインできなくなる可能性があるため、繁忙期や大型キャンペーンの直前ではなく、投稿の予約が消化できている時期を選んで実施してください。

二段階認証は個人端末依存を断つ

二段階認証で最も見落とされるのは、認証コードを受け取る手段が特定個人に依存していないかという点です。担当者の私物スマートフォンのSMSに認証コードが届く設定は、その人が休んだ日にログインできず、その人が辞めたときに支配権を失います。運用に耐えるのは、社用端末に入れた認証アプリと、複数人がアクセスできるバックアップコードの保管を組み合わせた形です。

バックアップコードの保管場所は、パスワード管理ツールの共有金庫が現実的です。表計算ソフトのファイルやチャットの固定メッセージに置くのは、閲覧できる範囲が広がりすぎるため避けてください。認証アプリを入れた端末が誰の管理下にあるかを台帳に記録し、端末を交換したら台帳も同時に更新する運用まで含めて初めて機能します。

共有パスワードをやめる移行手順

共有パスワードから権限付与への移行は、いきなり切り替えるのではなく、並走期間を設けるのが安全です。まず現在のパスワードを変えずに、プラットフォームの権限機能で必要なメンバーを追加します。全員が自分の権限でログインして操作できることを確認してから、共有していたパスワードを変更し、その新しいパスワードは管理者二名だけが知る状態にします。

この順序で進めれば、業務が止まる時間をほぼゼロにできます。逆にパスワード変更を先に行うと、権限付与が済んでいないメンバーの作業が止まり、緊急対応として再度パスワードを共有するという後戻りが発生します。一度後戻りすると、次に着手する心理的コストが跳ね上がるため、手順の順序は守ってください。

代理店・外部委託に権限を渡すときの線引き

外部への権限付与で守るべき線は、所有権は自社に置いたまま操作権限だけを貸すという一点です。アカウントを代理店の名義で作ってもらったり、代理店のビジネスマネージャの配下にページを置いたままにすると、契約終了時に資産の移管交渉が発生します。移管に応じてもらえたとしても、フォロワーや広告の学習データを引き継ぐ手続きに数週間かかることがあり、その間キャンペーンは打てません。

実務上のチェックポイントは、契約前の段階でアカウントとビジネスマネージャの所有関係を図に描いてもらうことです。口頭の説明では「自社のものです」と言われても、実際にはページが代理店側のビジネスに紐づいていることがあります。ビジネス設定の所有アセット一覧のスクリーンショットを提出してもらうのが、最も確実な確認方法です。

所有権は自社に置いたまま権限だけを貸す

具体的な設計としては、自社名義のビジネスマネージャやビジネスセンターを先に作り、その配下にページ、Instagramアカウント、広告アカウントを置きます。そのうえで代理店をパートナーとして招待し、業務に必要なアセットにだけアクセス権を渡します。この形にしておけば、契約終了時の作業はパートナー登録を削除するだけで済み、資産は一切動きません。

広告アカウントの支払い方法にも同じ考え方を適用します。代理店のクレジットカードで支払っている状態は、請求の透明性が下がるだけでなく、アカウントの実質的な支配権が相手側に残る状態でもあります。自社の支払い方法を登録し、代理店にはキャンペーンを管理する権限だけを渡すのが、費用の把握と権限管理を両立させる形です。

委託解除を前提に設計する

委託の開始時に決めておくべきことは、終了時の手順です。誰が権限を削除するか、削除後に残るデータは何か、引き継ぎ資料として何を受け取るか。この三つを契約書か覚書に書いておけば、関係が良好でないまま終わる場合でも作業が進みます。

引き継ぎ資料として最低限受け取るべきは、投稿のアーカイブ、広告の設定内容とクリエイティブの元データ、そして分析レポートの過去分です。プラットフォーム上のデータは権限を外した瞬間に見えなくなるため、権限削除の前に取得を終えることが前提になります。順序を逆にすると、取り戻すために再度権限を渡すという不合理が生じます。

委託契約そのものに盛り込むべき条項や、契約前に確認すべき項目の全体像については、以下の記事で詳しく整理しています。

SNS運用hub

SNS運用委託の契約書チェックリスト｜業務範囲・著作権・炎上時対応で失敗しない

🕒️

SNS運用を外部に委託する際、料金やサービス内容ばかりに目が向きがちですが、実は契約書の内容こそがトラブルを左右する重要なポイントです。業務範囲や著作権の帰属、炎上時の対応分担といった条件が曖昧なまま契約してしまうと、後から「言った・言わない」のトラブルに発展しかねません。実際に、契約内容の認識の食い違いから、追加費用の請求やアカウントの引き継ぎをめぐる争いに発展するケースは少なくありません。SNS運用は、投稿の制作や配信だけでなく、ユーザー対応や分析、時には広告運用まで含む幅広い業務です。だから...

退職・異動が決まったら48時間で締める権限処理

退職や異動の情報が入ったら、最終出社日を基準に48時間以内で権限処理を完了させるのが実務上の目安です。前述の一次データで元従業員や知人による不正アクセスが107件、20.9％を占めていたことを踏まえれば、この処理の徹底が最も費用対効果の高い対策になります。しかも必要な作業はほとんどが数分で終わるものばかりで、投資は時間だけです。

難しいのは、作業そのものではなく情報の流れです。人事部門が退職を把握した情報が、SNSアカウントの権限を管理している担当者に届く経路が設計されていない企業が多くあります。退職手続きのチェックリストに「SNSアカウント権限の削除」という項目を一行加えるだけで、この漏れの多くは防げます。

最終出社日の前に済ませること

最終出社日より前に済ませるべきなのは、引き継ぎに関わる作業です。運用中のキャンペーン設定の説明、予約投稿の内容確認、進行中のインフルエンサーや取引先とのやり取りの共有。これらは権限を持っている状態でなければスムーズに進まないため、権限剥奪の前に完了させます。引き継ぎ会は口頭ではなく画面を共有しながら行い、その録画を残しておくと後の確認コストが大幅に下がります。

もう一つ前倒しで済ませるべきは、その人が管理者だった場合の管理者権限の付け替えです。後任または現任の管理者を先に追加し、正常に操作できることを確認してから、退職者の管理者権限を外します。この順序を守らなければ、管理者が一時的にゼロになる瞬間が生まれ、権限の追加自体ができなくなる恐れがあります。

最終出社日以降に必ず確認すること

最終出社日を過ぎたら、削除したはずの権限が本当に消えているかを別の管理者が確認します。自分で削除して自分で確認する形では、操作の途中で保存し忘れた場合に気づけません。プラットフォームのメンバー一覧を開いて画面を保存し、権限台帳の該当行に削除日と確認者を書き込むところまでを一連の作業とします。

加えて確認したいのが、退職後一週間程度のログイン履歴です。ほとんどのプラットフォームには最近のログイン情報や接続中の端末を確認する機能があり、見慣れない端末やアクセス元が残っていればセッションを終了させられます。退職者本人に悪意がなくても、ログイン状態のまま返却された端末が第三者の手に渡るという経路は現実に存在します。

端末紛失と私物端末という見落としやすい入口

端末の紛失は、権限管理の設計が最も試される場面です。ログイン状態のスマートフォンが紛失すれば、パスワードを知らない第三者でもアカウントを操作できてしまいます。二段階認証を設定していても、その認証アプリが同じ端末に入っていれば防壁として機能しません。紛失時はまずすべてのセッションを終了させ、そのうえでパスワードを変更し、二段階認証を再設定する順序で動きます。

認証アプリと端末の紐付けを台帳に書く

台帳に書くべきは、アカウント名、二段階認証の方式、認証アプリを入れている端末の識別情報、その端末の管理者、そしてバックアップコードの保管場所です。この五項目が揃っていれば、紛失の連絡を受けてから対応を開始するまでの時間を数分に短縮できます。逆に揃っていなければ、まず現状把握から始めることになり、その間も操作は可能な状態が続きます。

端末の交換や機種変更は、この台帳が最も陳腐化しやすいタイミングです。社用端末の入れ替え作業に「SNSアカウントの認証アプリ移行と台帳更新」を必須項目として組み込んでください。情報システム部門の端末管理手順に一行加えるだけで、運用が回るようになります。

私物端末での運用を許すときの条件

私物端末でのSNS運用を完全に禁止できる企業は少数派です。現場の投稿は撮影した端末からそのまま行うのが自然で、社用端末を配布していない部門もあります。禁止するかどうかを議論するよりも、許す場合の条件を明文化するほうが実効性があります。画面ロックの設定、紛失時の連絡先と連絡期限、退職時に何を削除するか、この三点だけでも決めておく価値があります。

条件を決めるうえで重要なのは、私物端末は認証の要素として使わせないという線引きです。投稿の操作は私物端末から行ってよいが、二段階認証のコードを受け取る端末は社用のものに限る。この分離ができていれば、私物端末が紛失しても支配権は自社に残ります。

• 画面ロックと生体認証を有効にし、自動ロックまでの時間を短く設定する
• 紛失や盗難に気づいた時点で、時間帯を問わず定められた連絡先に報告する
• 退職や異動の際に、アプリのログアウトとアカウント情報の削除を目視で確認する

乗っ取りを早く見つけるための監視と通知の設計

乗っ取りへの備えで最も費用対効果が高いのは、異常なログインを早く知る通知の設計です。不正なアクセスを完全に防ぐことは現実には難しく、被害の大きさは気づくまでの時間でほぼ決まります。深夜に不審なログインがあった場合、翌朝の出社時に気づくのか、その場で管理者の端末に通知が届くのかで、投稿される内容の量が変わります。

通知の宛先を個人メールにしない

推奨するのは、アカウントの連絡先を運用チームの共有アドレスやメーリングリストにし、そのアドレスに届いたメールを社内チャットの運用チャンネルに転送する構成です。これで少なくとも複数人の目に触れる状態が作れます。異常なログインの通知だけは、通常の運用連絡と混ざらない専用のチャンネルに流すのが確実です。

共有アドレスへの切り替えには副次的な効果もあります。パスワードの再設定メールも共有アドレスに届くようになるため、担当者が不在でも管理者がアカウントを回復できます。個人アドレスに紐づいたアカウントは、その個人が連絡不能になった瞬間に回復手段を失うため、この切り替えは権限管理の中でも優先度の高い作業です。

月次で見るログの項目

通知が即時の検知を担う一方で、じわじわと進む異常は定期的なログの確認でしか見つかりません。月に一度、十分程度の時間を取って確認すれば十分です。見るべきは、メンバー一覧に見覚えのない人がいないか、接続中の端末に不明なものがないか、外部ツールとの連携に不要なものが残っていないか、そして投稿の削除や設定の変更が記録されていないかです。

特に外部ツールの連携は、放置されやすい領域です。過去に試用しただけの分析ツールや投稿予約ツールが、いまも投稿権限を持ったまま連携されていることがあります。連携を解除しても投稿データは消えないため、使っていないものは迷わず外してください。連携ツールは実質的に権限を持つ一人のメンバーと同じであり、台帳にも記載すべき対象です。

• メンバーと権限の一覧に、退職者や契約終了した委託先が残っていないか
• 接続中の端末やアクティブなセッションに、見覚えのない端末がないか
• 連携している外部ツールとAPIキーのうち、現在使っていないものがないか
• 投稿の削除や設定変更の履歴に、担当者の作業と一致しない記録がないか

乗っ取り発覚から初動60分の動き方

乗っ取りが疑われたときに最初にやるべきは、パスワードの変更ではなく不要な権限とセッションの切り離しです。攻撃者が既に権限を持つメンバーとして自分を追加していたり、外部アプリの連携でアクセストークンを取得していた場合、パスワードだけを変えても操作は続けられます。順序を間違えると、対応したつもりで被害が伸び続けるという最悪の展開になります。

最初にやるのは権限の切り離し

セッションの終了は、ほとんどのプラットフォームで設定画面から数クリックで実行できます。同時に、メンバー一覧を開いて見覚えのないアカウントを削除し、連携アプリの一覧から不要なものをすべて解除します。この三つを終えてからパスワードを変更し、二段階認証を再設定する。この順序が守られているかどうかが、被害を数分で止められるか数時間続くかを分けます。

作業の記録も同時に取ってください。何時何分に何を実行したかを時系列で残しておくと、後の原因究明と社内報告が格段に楽になります。スクリーンショットを撮りながら進めるだけで十分で、整った報告書は落ち着いてから作れば構いません。

公表と再開の判断

公表の要否は、不正な投稿やDMが外部に届いたかどうかで判断します。フォロワーに向けて不審なリンクが送られた場合は、被害の拡大を防ぐために速やかな告知が必要です。逆に投稿される前に止められたのであれば、社内の記録と再発防止に留めるという判断もあり得ます。基準を事前に決めておけば、判断に要する時間を短縮できます。

運用の再開は、侵入経路の特定と権限の見直しが終わってからにします。原因が分からないまま再開すると、同じ経路で再度侵入される可能性が残ります。再開の告知では、事実関係と対応内容を簡潔に述べるだけで十分で、過度に詳細な説明は攻撃者への情報提供にもなりかねません。

炎上や不正投稿が外部に露出した場合の初動対応と告知文の考え方は、以下の記事で具体的に扱っています。

SNS運用hub

SNS炎上初動マニュアル｜発生から24時間でやること・謝罪判断・再発防止まで整理

🕒️

企業のSNSアカウントを運用していると、ある朝突然、通知欄が普段の何十倍もの速度で流れ始めることがあります。前日まで平穏だった投稿に批判的な引用が積み上がり、まとめサイトに転載され、社内の別部署から「うちのSNS、大丈夫ですか」と連絡が入る。この最初の数時間をどう動くかで、その後の被害規模と信頼回復までの期間は大きく変わります。ところが多くの企業では、炎上対策といえば投稿前のチェック体制やガイドラインの整備にとどまっており、実際に火が付いた後の行動手順が用意されていません。担当者が個人の判断で投稿...

権限管理を続けるための台帳と四半期棚卸し

権限管理が続かない最大の理由は、整備した状態を維持する仕組みがないことです。維持のために必要なのは、権限台帳という一枚の記録と、四半期に一度の棚卸しという定期作業の二つだけです。台帳は表計算ソフトの一枚のシートで十分で、書き出してみると把握していなかったアカウントや連携ツールが必ず二つか三つ出てきます。

台帳に書く項目を固定する

台帳の項目を増やしすぎると更新されなくなります。上記の六項目に絞り、それ以上の情報は必要になったときに追加する方針が現実的です。特に効果が大きいのは、次回の確認予定日を列として持つことです。日付が入っていれば棚卸しの対象が自動的に絞られ、全件を毎回見直す必要がなくなります。

もう一つ有効なのは、権限削除の記録を残す列です。削除は完了すると台帳から行が消えるため、あえて履歴として残しておかないと「いつ外したか」が分からなくなります。退職者の権限をいつ誰が削除したかという記録は、監査対応でも社内の説明でも必ず求められる情報です。

棚卸しは四半期に一度で十分

棚卸しの頻度は四半期に一度が現実的な落としどころです。毎月では負担が重く形骸化し、年に一度では退職者の権限が最長で一年近く残ります。四半期ごとであれば、作業時間は一回あたり一時間程度で収まり、抜けが生じても三か月以内に検出できます。人事の異動時期に合わせて実施日を固定すると、忘れにくくなります。

棚卸しの手順は、台帳とプラットフォームの実際のメンバー一覧を突き合わせるだけです。台帳にあって実物にないもの、実物にあって台帳にないもの、この二種類の差分を洗い出して処理します。差分がゼロになることは稀で、毎回いくつかは見つかります。見つかることが正常であり、見つからない回が続いたら台帳の更新が止まっている可能性を疑ってください。

権限管理にかかる体制と費用の考え方

権限管理に必要な投資は、初期整備の工数と維持の工数に分けて考えるとほぼ見通せます。アカウントが五つ前後の企業であれば、初期整備は担当者一名で二日から三日、維持は四半期ごとに一時間程度が目安です。2026年8月時点でも、この作業のほとんどは各プラットフォームの標準機能で完結するため、追加のツール費用は必須ではありません。

費用が発生するのは、パスワード管理ツールの共有金庫と、複数アカウントを一元管理するSNS管理ツールの二つです。前者は一人あたり月額数百円から千円程度の水準で、権限管理の効果に対して投資額は小さいため優先度が高い支出です。後者は投稿の承認フローや権限の細分化が必要な規模になってから検討するもので、アカウント数が少ないうちは標準機能で足ります。

工数は初期整備と維持で分けて見る

初期整備でまとまった時間が必要なのは、現状の棚卸しと、ビジネスマネージャなど上位の管理画面への集約作業です。特に既存アカウントを上位の管理画面の配下に移す作業は、所有権の確認や本人確認の手続きを伴うため、待ち時間が発生します。この待ち時間を見込まずに切り替え日を決めると、想定より一週間から二週間ずれることがあります。

維持の工数は、四半期の棚卸しに加えて、入退社と委託の開始終了ごとの処理です。これらは一件あたり十分程度で終わりますが、発生を検知する経路がないと処理そのものが漏れます。工数の見積もりよりも、人事や購買の手続きに一行を組み込む調整のほうが実質的な作業になります。

ツールに払う前に整えること

SNS管理ツールには権限を細かく分ける機能や承認フローを組む機能があり、複数店舗や複数ブランドを運用する規模では効果を発揮します。ただし、ツールは自社の権限設計をそのまま写すものであり、設計がないままツールを入れても管理対象が増えるだけです。台帳と役割の定義を先に作り、それをツールで表現するという順序を守ってください。

また、ツールを導入するとツール自体がアカウントへの権限を持つ存在になり、ツール上のメンバー管理とプラットフォーム側の権限管理という二重の管理対象が生まれます。棚卸しの範囲にツールも含めておく必要があります。

運用体制そのものを外部に委託する場合の費用感や、内製との比較については以下の記事で相場を整理しています。

SNS運用hub

SNS運用代行の費用はいくら？相場・料金体系・費用内訳をわかりやすく解説

🕒️

SNSの普及により、企業の集客やブランディングにおけるSNS運用の重要性はますます高まっています。しかし、継続的な投稿やコメント対応、分析・改善などをすべて自社だけで行うのは、想像以上に手間と時間がかかります。そこで近年注目されているのが「SNS運用代行サービス」になります。SNS運用代行サービスを依頼する際、費用相場や料金体系について事前に把握しておくと、予算計画も組みやすくなります。当記事では、SNS運用代行の費用相場や料金体系、内訳、費用が増す主な要因などを解説しています。適切なサービスを選ぶための参...

権限を預けられる運用パートナーの見極め方

権限を預ける相手を見極める最も確実な方法は、権限設計に関する質問への答え方を見ることです。セキュリティに配慮している運用会社は、こちらが尋ねる前に「アカウントは御社名義で作ってください」「弊社はパートナーとして招待していただく形が望ましいです」と提案してきます。逆に管理者権限を要求してくる相手は、意図の善悪を問わず、社内の運用体制が権限分離を前提にしていないと考えられます。

契約前に聞く質問

契約前に確認したいのは、所有関係、権限の範囲、そして終了時の手順の三点です。所有関係については、アカウントとビジネスマネージャの名義を明示してもらいます。権限の範囲については、業務に必要な最小の権限が何かを相手側から提案してもらいます。終了時の手順については、権限の削除と引き継ぎ資料の受け渡しをどう進めるかを書面で確認します。

この三点に明確に答えられる会社は、実務の蓄積があると考えて差し支えありません。逆に「一般的にはこうしています」と曖昧に流す回答が続く場合は、自社アカウントの分離管理ができていない可能性を疑ってください。

断られたら赤信号になる要求

こちらから出す要求のうち、断られた時点で契約を見直すべきものがいくつかあります。自社名義のビジネスマネージャの配下にアセットを置くこと、管理者権限は自社が保持すること、支払い方法は自社のものを登録すること。この三つはいずれも運用の実務に支障を与えないため、断る合理的な理由が乏しいものです。

技術的にできないという説明を受けた場合は、プラットフォームのヘルプで確認してください。主要なプラットフォームはいずれもパートナー枠での権限付与に対応しており、2026年8月時点でこの構成が取れないケースはほとんどありません。

運用会社の選定基準や、実績の見極め方を含む全体像は以下の記事にまとめています。

SNS運用hub

SNS運用会社の選び方とおすすめ10社を紹介！業務内容・費用相場・メリットまで解説

🕒️

SNS運用は、認知拡大やブランディング、売上向上など、企業のマーケティングに欠かせない施策の1つです。しかし実際には、「何を投稿すればよいかわからない」「継続的に運用する時間や人手が足りない」「成果が出ているのか判断できない」といった悩みを抱える企業も少なくありません。こうした課題を解決する手段として注目されているのが、SNS運用会社への依頼です。SNS運用会社に依頼することで、戦略設計からコンテンツ制作、投稿管理、分析・改善までを一貫して任せることができ、自社の負担を抑えながら成果につなげやすくなり...

社内に定着させるルールと教育の設計

権限管理を社内に定着させるには、ルールを短くして、判断が必要な場面を減らすことが効果的です。長い規程は読まれず、読まれない規程は守られません。運用に関わる人が覚えるべきことは、権限を渡すときは管理者に依頼する、退職と異動が決まったら申告する、不審なログイン通知を見たら即報告する、この三つに絞れます。

教育も同様に、頻度と分量より確実性を重視します。年に一度、三十分の説明で構いません。重要なのは、実際の画面を見せながら「この操作が権限の付与にあたる」「ここに通知が届く」と具体的に示すことです。抽象的な注意喚起は行動を変えませんが、自分が触る画面と結びついた説明は記憶に残ります。

ルールは一枚にまとめる

この一枚は、運用に関わる人が机やチャットのピン留めから即座に開ける場所に置きます。分量が増えたら、詳細は別紙に移して一枚の側は要点だけに保ちます。一枚に収まらなくなった時点で、ルールが実務から乖離し始めているサインだと考えてください。

更新のきっかけを決めておくことも重要です。プラットフォームの権限機能に変更があったとき、運用体制が変わったとき、そして四半期の棚卸しで差分が多かったとき。この三つのタイミングで見直すと決めておけば、放置による陳腐化を避けられます。

年一回の確認で風化を防ぐ

年に一度の確認では、ルールの読み合わせよりも実際の権限状態を全員に見せるほうが効果があります。メンバー一覧を画面共有し、いま誰が何の権限を持っているかを可視化すると、参加者の側から「この人はもう関わっていない」という指摘が出て、管理者が気づかない実態を拾えます。他社で起きた乗っ取りの事例を添えると当事者意識も生まれます。

投稿判断や禁止表現を含む社内ガイドラインそのものの作り方は、以下の記事で手順を追って解説しています。

SNS運用hub

企業SNSガイドラインの作り方｜投稿ルール・禁止表現・社員運用の基準を整える

🕒️

企業のSNSアカウントを立ち上げたものの、「何を投稿してよくて、何がダメなのか」が担当者の感覚に委ねられたまま運用されている企業は少なくありません。担当者が変わるたびに投稿のトーンが揺れたり、社員が個人アカウントで自社の話題に触れてよいのか判断できずに萎縮したりするのは、いずれも判断基準が文書化されていないことが原因です。SNSガイドラインは、こうした判断のばらつきをなくし、担当者が迷わず投稿でき、万一の際にも組織として説明できる状態をつくるための土台になります。ところが実際には、他社の雛形をその...

まとめは権限管理を仕組みで守る

SNSアカウントの権限管理は、特別な技術ではなく、決めて記録して定期的に見直すという地味な運用の積み重ねで成立します。パスワードの共有をやめ、管理者を二名に絞り、退職と委託終了のタイミングで確実に権限を外す。この三つを回せるようになった時点で、事故の大半は防げる状態になります。作業のほとんどが数分で終わるものであり、必要なのは着手の意思決定だけです。

• 権限管理の出発点は、パスワード共有から権限付与への移行にある。プラットフォームの標準機能で足りるため、追加コストはほぼかからない
• 不正アクセスの手口では元従業員や知人による犯行が20.9％を占める。退職・異動時の48時間以内の締め処理が、最も費用対効果の高い対策になる
• 維持の仕組みは権限台帳と四半期の棚卸しの二つで足りる。台帳に次回確認日を持たせれば、作業は一回一時間程度で収まる

まずは無料でSNSアカウント診断を

自社のSNSアカウントがいまどんな権限状態にあるのか、棚卸しから手をつけたいという段階でご相談いただくケースが増えています。ハーマンドットでは、企業SNSの運用代行とあわせて、権限構成の可視化と整備の支援を行っています。アカウントの所有関係、管理者の人数、代理店との権限の切り分け、退職者の残存権限といった観点で現状を確認し、優先度をつけた改善案をお渡しします。

権限を渡す前の設計も、渡してしまった後の巻き直しも、対応した経験があります。代理店名義になっているアカウントの移管、認証端末が退職者の手元にあるケースの復旧、乗っ取り発覚後の初動支援まで、実務のフェーズを問わずご相談いただけます。まずは現状をお聞かせいただければ、どこから着手すべきかを具体的にお伝えします。

初回相談は完全無料・所要時間30分・オンライン対応可能です。権限台帳のひな形もあわせてお渡ししますので、社内整備の第一歩としてお気軽にご利用ください。