退職者のアカウントはいつ削除する？止める・移す・消す3段階の考え方と消し忘れチェックリスト（M365・Google）

01この記事でわかること（3行まとめ）

• 答えは「まず止める。消すのはデータを移した後」です。ログインを止めるのは退職の時点で遅れず、削除はメールやファイルの引き継ぎが終わってからです。
• 公的資料に「何日以内」という数字は見つかりません。「ただちに」「遅滞なく」と書かれているので、自社の期限は「最終日の終業時」のように決めます。
• 消し忘れはメール以外で起きます。SaaS、共有パスワード、VPN、SNS、貸与端末まで、1枚のチェックリストで確かめます。

02公的資料はいつと書いているか

調べた範囲では、日数を決めた公的な基準は見つかりませんでした。資料が使っている言葉は次のとおりです。

経済産業省のハンドブックは、途中で辞める人については、申し出を受けた後速やかに秘密情報へのアクセス権を削除するなどの対策も紹介しています。業務内容によっては、退職予定者のアクセス権をしかるべきタイミングで適切に制限することも考えられる、という書き方です。つまり、退職日より前から絞ることも選択肢に入ります。

なお、「営業秘密管理指針」は別の角度の資料です。営業秘密として守られるための条件を説明するもので、人事異動や退職ごとのパスワード変更については、情報漏えい対策として有効でも、秘密管理性を満たすために必須ではないとしています。削除の期限を決めた資料ではありません。「法律で何日以内と決まっている」という説明を見かけたら、根拠を確かめてください。

03図鑑が勧める3段階：止める、移す、消す

公的資料の言葉を実務に落とすと、次の3段階になります。期限の例は図鑑の提案です。業種や契約に合わせて決めてください。

「止める」と「消す」を分けるのが大事です。消すのを急ぐとデータを失います。Google Workspace は削除後20日間、Microsoft 365 は約30日間で戻せなくなります。逆に「引き継ぎが終わるまで何もしない」と、誰でも入れる状態が続きます。先に止めておけば、消すのは落ち着いてできます。

有給休暇の消化で最終出社と退職日が離れる場合は、どちらを基準にするかを先に決めてください。連絡手段を残す必要があるなら、権限を絞った上で残す、という判断もあります。例外を作ったら、いつまでかを台帳に書きます。業務委託や派遣も同じです。経済産業省のハンドブックは「退職者等」に、契約期間が満了した派遣労働者なども含めています。IPAの内部不正防止ガイドラインも、委託先の従業員の異動や退職によるアカウントの削除漏れを防ぐため、体制が変わったら委託元に報告してもらう例を挙げています。

04消し忘れチェックリスト：退職の日までの確認

• メール：サインインを止めた。転送先を決めた。個人アドレスへの自動転送が残っていない。
• Microsoft 365／Google Workspace：パスワード変更、セッション、アプリのアクセスを確かめた。
• クラウド保存：共有リンクとオーナーを確かめた。外部共有の相手を見直した。
• SaaS：会計、給与、勤怠、顧客管理、チャット、名刺、Web会議、広告、EC、ホームページの管理画面。
• 共有パスワード：本人が知っていたものをすべて変えた。Wi-Fi、複合機、NAS、共有アカウントを含む。
• VPN・リモート接続：アカウントと証明書を止めた。リモートデスクトップやテレワークの権限も止めた。
• SNS・動画：公式アカウントの管理者を外した。パスワードと多要素認証の電話番号を変えた。
• ドメイン・サーバー：管理の連絡先が本人のアドレスでない。
• ネットバンキング：利用者の削除と、ワンタイムパスワードの機器の回収。
• 貸与端末：パソコン、スマホ、USB、セキュリティキーを回収した。遠隔でのデータ消去が必要か判断した。
• 入館：IDカード、入館証、鍵を回収し、解錠できなくなったことを確かめた。
• 記録：誰が、いつ、何を止めたかを残した。

項目を増やす基準は、IPAの規程サンプルの言い方が分かりやすいでしょう。返還物には、印刷物や記憶媒体などの資料や媒体、パソコンやスマートデバイスなどの情報機器、IDや鍵などのアクセス権を含める、としています。つまり、アカウントだけでなく「渡したもの全部」が対象です。

リストの元になるのは、入社のときに何を渡したかの記録です。IPAの「実例で学ぶサイバーセキュリティリスク事例集」（2026年3月）のコラムは、使われていないSaaSアカウントはなりすましなどの入口になりやすいとし、人事異動や退職のたびに「アカウント棚卸しチェックリスト」で一括停止する運用を勧めています。入社時の手続きと同じ表を使い、退職時に1行ずつ消していくと漏れが減ります。

05Microsoft 365 の手順（公式の7ステップ）

Microsoft は「元従業員を削除する」という解説で、次の順番を示しています。

1. サインインを止めます。Microsoft 365 管理センターの「ユーザー」→「アクティブなユーザー」で名前を選び、「パスワードのリセット」を行います。続けて「アカウント」タブの「すべてのセッションからサインアウト」を選びます。さらに「サインインのブロック」で「このユーザーのサインインをブロックする」を選び、「変更の保存」を選びます。
2. メールボックスの内容を保存します。必要なら保留を設定するか、Outlook（デスクトップ版）で .pst ファイルに書き出します。
3. モバイルデバイスをワイプしてブロックします。Exchange 管理センターの「受信者」→「メールボックス」でユーザーを選び、「モバイル デバイスの管理」から操作します。
4. メールを転送するか、共有メールボックスに変換します。転送は名前を選び、「メール」タブの「メール転送の管理」で設定します。
5. OneDrive と Outlook のデータへのアクセス権を別の従業員に渡します。
6. ライセンスを削除します。「ライセンスとアプリ」タブでチェックを外します。支払いを減らすなら「課金」→「お使いの製品」でライセンスの数を減らします。
7. ユーザーアカウントを削除します。「ユーザーの削除」を選びます。

Microsoft の説明で、特に覚えておきたい点が4つあります。

• ブロックは有効になるまで最大24時間かかることがあります。すぐ止めたいときは、先にパスワードをリセットします。
• Outlook on the web を使っている人は、すぐにサインアウトされないことがあります。
• 転送や共有メールボックスを設定した場合は、アカウントを削除してはいけません。Microsoft は、転送と共有メールボックスを維持するのにアカウントが必要だとしています。
• アカウントを削除すると約30日間は復元できますが、それを過ぎると戻せません。ライセンスを外した場合も、メールなどのデータは30日間保持の後に完全に削除されます。

共有メールボックスは、50GB より小さければライセンスの支払いが不要とされています。Active Directory から同期している会社は、Microsoft 365 側で削除できないので、社内の Active Directory で操作します。乗っ取りが疑われる場合の手順は別物です。Microsoft 365 乗っ取りの記事を見てください。

06Google Workspace の手順

1. 止めます。管理コンソールの「ディレクトリ」→「ユーザー」でユーザーにカーソルを合わせ、「その他のオプション」→「ユーザーを停止」を選び、「停止」で確定します。ユーザーはサービスを使えなくなり、データは残ります。
2. 入口をふさぎます。Google のヘルプは、退職後のデータ保護として、デバイスのワイプ、再設定用のメールアドレスと電話番号の削除、パスワードの変更、OAuth アプリのトークンの取り消し、ログイン Cookie のリセット、セキュリティキーとアプリ パスワードの取り消しを挙げています。
3. データを移します。「アプリ」→「Google Workspace」→「ドライブとドキュメント」の「オーナー権限を譲渡」や、データ移行サービス、エクスポートなどを使います。
4. 削除します。「その他のオプション」→「ユーザーを削除」で、「このユーザーのデータのオーナー権限を別のユーザー（マネージャーなど）に譲渡する」を選び、移行先を指定します。
5. 宛先を残すなら転送します。データを残した後で、ユーザー宛のメールを別の Google Workspace アドレスに転送できます。

注意点も押さえてください。

• 停止中のアカウントも課金の対象です。Google は、不要なアカウントへの請求を避けるには停止ではなく削除するよう案内しています。
• 削除後に復元できるのは20日間です。移行しなかったデータは失われます。
• データだけ長く残したいなら、アーカイブ ユーザー（AU）のライセンスという選択肢があります。これにもライセンス料がかかります。
• オーナーを移しても、そのファイルにアクセスできる人は変わりません。個人の Google アカウントなど組織外の人とはオーナーを移せません。元のオーナーは、アカウントの削除か権限の変更をしない限り編集できます。
• 本人だけが所有する YouTube チャンネルなどのブランド アカウントは、停止で使えなくなることがあります。先に別の所有者を追加してください。

07メールの扱いと個人情報の注意

退職者のアドレスに届くメールは、取引先からの大事な連絡かもしれません。すぐアドレスごと消すのか、しばらく残すのかは、次の順で決めると整理しやすくなります。

メールボックスには、顧客や取引先の個人情報が入っています。個人情報保護委員会のガイドライン（通則編）は、個人データを取り扱う従業者の範囲を絞るアクセス制御や、正当なアクセス権を持つ人かを確かめる識別と認証を、安全管理措置として挙げています。引き継ぎ先だからといって全員に公開せず、必要な人に絞ってください。古いメールを消すときは、容易に復元できない方法で削除し、責任ある立場の人が確かめ、記録を残す考え方も同じガイドラインにあります。

もう一つ、本人の私的なやり取りが混じっている場合があります。会社のメールを誰が何の目的で見るのかを決めずに読み始めると、後でもめます。退職者のメールの閲覧そのものを直接定めた公式の説明は見つかりませんでしたが、委員会のQ&A（5-7）は、従業者のモニタリングについて、目的を特定して社内規程などに定め明示すること、責任者と権限を定めること、ルールを定めて運用を確かめることを留意点に挙げています。参考にして、入社時から「会社のメールは業務のもので、退職後は担当者が引き継ぎのために見ることがある」と規程で伝えておくと安心です。判断に迷うときは弁護士や社労士に相談してください。

本人が辞める前に、個人のアドレスへの自動転送を仕込んでいないかも確かめます。IPAのひな形は、社用メールを個人のアドレスに転送することを禁止する例を載せています。消し忘れや持ち出しで個人データが漏れた疑いがあるときは、報告の対象になることがあります。個人情報保護委員会のガイドラインは、不正の目的によるおそれがある漏えいの行為者には従業者も含まれると説明しています。手順は個人情報が漏れたかもしれないときの記事にまとめました。

08消し忘れで起きた事故：公的資料で確かめられたもの

公的資料で確かめられた例を挙げます。IPAの事例集は社名を載せていないので、図鑑も社名を書きません。国内の企業が「退職者のアカウントの消し忘れが原因」と公式に発表した例は、今回の調べでは確かめられませんでした。

CISAの例は米国のものですが、学ぶことが多い事例です。公表によると、認証情報は別のデータ侵害で漏れたものを攻撃者が入手した可能性が高いとされています。元従業員本人の犯行とは限らないのです。そこから社内 VPN の範囲で接続し、別の管理者の認証情報も見つかっていました。CISAは、不要なアカウントを速やかに消す手順を整え、退職者のアカウントが削除されネットワークに入れなくなるようにする継続的な管理を勧めています。

国内の数字もあります。警察庁・総務省・経済産業省の公表によると、令和7年に検挙された不正アクセスのうち、他人のID・パスワードを使った型は399件でした。そのうち「識別符号を知り得る立場にあった元従業員や知人等による犯行」は61件（15.3%）です。この数字は知人なども含み、元従業員だけの数ではありません。同じ資料は対策として、IDの削除またはパスワードの変更を速やかに行うよう求めています。

IPAの事例集によると、ASM診断（インターネットから見える資産の診断）を受けた中小企業126社のうち101社で、ログインに使う ID やパスワードの流出が検出されました。退職した人のパスワードも、どこかで漏れている可能性を考えておくべきです。漏れの見つけ方はメールアドレス漏洩の確認の記事にあります。

09共有パスワードと共有IDが一番の抜け穴

アカウントを消しても、本人が共有のパスワードを覚えていれば入れます。IPAの内部不正防止ガイドラインの事例27は、まさにこの形です。ガイドライン第4.0版も、共有IDはなるべく使わず、やむを得ず使うなら誰が使ったか分かるようにすることを勧めています。

退職者が出るたびに全部変えるのは大変です。だから普段から共有を減らします。パスワードの管理はパスワード管理の分類から調べられます。SNSの本人確認で困ったときはX、Instagram、Facebookの乗っ取りの記事に、取り戻す手順を載せています。公式アカウントを個人のアカウントに紐づけていると、辞めた後に取り戻せないことがあるので、会社のアドレスで管理してください。

10VPNと貸与端末：見落としやすいところの確認

• VPN：Microsoft や Google のアカウントとは別に管理していることが多いので、機器の管理画面や契約先で確かめます。
• 証明書や接続アプリ：本人の端末に入っていないか確かめ、失効させます。
• リモートデスクトップ：社内のパソコンのアカウントも消します。
• 端末の返却：返却時に、本人が設定したパスワードも出してもらいます。
• 端末の初期化：中身の確認と引き継ぎが終わってから、データを消します。

経済産業省のハンドブックは、中途退職の場合は申し出を受けてから速やかに貸与の記録媒体や情報機器を返却させ、返却時には利用者が設定したパスワードも提出させる例を挙げています。必要に応じて、使っていたパソコンを回収し、退職までは初期化したものを貸す方法も紹介しています。ここまでするかは、扱う情報の重さで決めてください。

IPAのガイドラインは、機器を回収して復元できない方法でデータを消し、チェックリストや証跡で見えるようにすることを勧めています。他人に回す前に中身を消すときは、個人情報保護委員会のガイドラインの削除の考え方も参考になります。暗号化の回復キーが本人の個人アカウントに入っていないかも確かめてください。VPN 機器の守り方そのものはVPNの脆弱性対策の記事に、社外からの接続の選び方は法人VPNの分類に任せます。

11消し忘れを防ぐ仕組みの作り方

1. 入社の手続きで渡したアカウントと機器を、1人1行の表に書きます。
2. 退職の連絡が人事や総務から担当者へ必ず届くよう、流れを決めます。IPAの規程サンプルの「退職時のチェックリスト」が土台に使えます。
3. 止めた日、消した日、確かめた人を表に残します。
4. 半年に1度、契約中の SaaS の利用者一覧と在籍者を照らし合わせます。
5. 長く使われていないアカウントがないかを見ます。規程サンプルも、特権アカウントについて、IDが一定期間使われなかった場合の削除や無効化に触れています。

照らし合わせの頻度は図鑑の提案です。IPAの内部不正防止ガイドラインのチェックシートには、「異動又は退職により不要となった利用者ID及びアクセス権を、ただちに削除していますか？」という問いがあり、実施済み・着手・未実施で答える形です。自社の点検の目安に使えます。

IPAは、中小企業の自社診断（25項目）でも「データの共有設定を必要な人に限定していますか？」を聞いており、対策例に退職時の変更（削除）が入っています。全体の進め方は中小企業のセキュリティ対策の記事へ。相談できる会社は情報漏えいの悩みやコンサル・体制づくりから探せます。

12困ったときの相談先

13よくある質問