代理店、サプライヤー、施工会社、保守会社。多くの企業は、こうした外部パートナーに受発注システムや見積もりツール、保証ポータルなどのWebシステムを提供し、そのためのIDを発行しています。社員のIDは人事の手続きと連動して止まりますが、外部パートナーのIDは、取引先の担当者が辞めても異動しても、誰にも知らされないまま残り続けます。
このガイドでは、外部パートナーのIDを「発行から削除まで」正しく保つための考え方と実務を、定義・リスク・方法の比較・進め方・チェックリストの順に整理します。
外部パートナーID管理とは
外部パートナーID管理とは、自社の社員ではない取引先の担当者に発行したIDを、発行・権限付与・棚卸し・削除までのライフサイクル全体で管理することです。英語では Partner Identity Management、B2B IAM（B2B Identity and Access Management）と呼ばれる領域にあたります。
対象になるのは、たとえば次のようなIDです。
- 代理店・特約店・販売店の担当者が使う受発注システム、価格表、販促ポータルのID
- サプライヤーが使う調達・見積もり・品質書類のポータルのID
- 施工会社・協力会社・保守会社が使う工事管理や点検報告のシステムのID
- 業務委託先のスタッフが使う社内システムのID
どれも「自社の業務システムに、自社が雇用していない人が入る」という点が共通しています。この一点が、社員IDとは異なる管理を必要とする理由です。
社員IDの管理との違い
社員IDの管理は、入社・異動・退職（いわゆる Joiner / Mover / Leaver）という人事のイベントを起点に動きます。人事システムに退職日が入れば、IDaaS や IGA がそれを受けてアカウントを止めます。外部パートナーのIDには、この起点がありません。
| 社員のID | 外部パートナーのID | |
|---|---|---|
| 本人の情報源 | 自社の人事システム | 相手企業の中にあり、自社からは見えない |
| 入社・退職の通知 | 人事の手続きで自動的に届く | 届かない。届いても数週間〜数か月遅れる |
| 人数と入れ替わり | 把握できている | 取引先の数だけ増え、入れ替わりも多い |
| 承認者 | 上長・情シス | 自社の営業担当、相手企業の管理者など、関係者が多い |
| 棚卸し | 人事データと突き合わせられる | 突き合わせる相手がなく、Excel と問い合わせに頼りがち |
つまり外部パートナーのIDは、「人事に連動して止まる」という社員IDの前提が成り立たない領域です。仕組みで手当てしない限り、IDは増える一方になります。
管理できていないと何が起きるか
1. 放置ID（ゾンビID）が積み上がる
退職した担当者や、取引が終わった会社のIDが有効なまま残ります。パスワードを使い回していれば、元担当者や第三者がログインできる状態です。アクセス権を持つ人が増えるほど、情報漏えいの入口も増えます。棚卸しをしてみると、想像以上の割合が使われていないことが珍しくありません。実際に株式会社キッツでは、外部パートナーのIDの約30%がゾンビIDだと判明しました（導入事例）。
2. 新しい担当者がすぐに使えない
反対に、新しい担当者のIDは、申請書、自社の営業担当、情シスの順に回覧されて、使えるまでに数週間かかることがあります。その間、代理店は電話やFAXで発注し、自社の担当者が代わりに入力する、といった非効率が生まれます。
3. 棚卸しが年に一度の大仕事になる
取引先ごとに「この人はまだ在籍していますか」と確認を回し、Excel の台帳と突き合わせる作業は、アプリが増えるほど重くなります。返事が返ってこなければ、IDは結局残ります。
4. ライセンス費が無駄になる
ユーザー数で課金されるSaaSやローコード基盤では、使われていない外部ユーザーのIDにも費用がかかり続けます。
5. 監査で説明できない
「誰が、いつ、どのシステムに入れたか」「辞めた人のIDはいつ止めたか」を聞かれたとき、記録がなければ答えられません。ISMS や J-SOX の監査で指摘を受けやすいポイントです。
なぜ既存の仕組みでは解けないのか
外部パートナーのID管理に使われてきた方法には、それぞれ得意な範囲と限界があります。
| 方法 | 得意なこと | 外部パートナーで足りないこと |
|---|---|---|
| Excel・スプレッドシートの台帳 | すぐ始められる | 更新が人手頼み。アプリごとに台帳が分かれ、実態とずれていく |
| アプリごとの自社開発 | 業務に合わせて作れる | アプリの数だけユーザー管理を作り、保守し続ける必要がある |
| 認証基盤（IdP・CIAM） 例：Auth0、Amazon Cognito、Entra External ID | ログインとSSOを安全に提供する | 「誰が、どの会社の、どのチームで、何に入れるべきか」というライフサイクルの管理は守備範囲外 |
| IGA（ID統制） 例：SailPoint、Saviynt | 社員の権限を人事に連動して統制する | 人事データが起点のため、外部パートナーには起点がない。棚卸しは「確認を回して回答を待つ」方式が中心 |
| 外部パートナーIDライフサイクル基盤 例：Tactna | 外部パートナーのIDを、委任・自動棚卸し・記録で管理する | 社員IDの人事連動はIGAや既存のIDaaSに任せる |
認証基盤は「ログインできること」を、IGA は「社員の権限が人事と合っていること」を保証します。その間にある「外部の人のIDを、発行から削除まで正しく保つこと」が、これまで欠けていたレイヤーです。従業員向けと顧客向けのID管理の違いは「EIAM vs CIAM」でも解説しています。
外部パートナーID管理の5つのステップ
ステップ1：IDと利用先を一か所に集める
まず、どのアプリに、どの会社の、誰のIDがあるかを一か所で見られるようにします。アプリごとにユーザー管理が分かれていると、「この人を止める」という操作が一度で済みません。認証を共通化し、1つのIDで必要なアプリに入れる構成にしておくと、以降のステップがすべて楽になります。
ステップ2：会社とチームの単位で責任者を決める
個人単位で管理しようとすると、自社の担当者が相手企業の人事異動を追いかけることになります。代わりに「代理店A社の管理者は誰か」を決め、その会社のユーザーに責任を持ってもらいます。IDはすべて、どこかの会社・チームに属している状態にします。
ステップ3：追加と承認をパートナーに委任する
相手企業の管理者が、自社の担当者を自分で追加・承認できるようにします。付与できる権限はポリシーで決めておくので、勝手に権限が広がることはありません。申請書と回覧がなくなり、新しい担当者は参画した日から使えるようになります。この考え方は「委任管理（デリゲーション）」と呼ばれます。詳しくはパートナー・セルフサービスをご覧ください。
ステップ4：棚卸しを「確認」から「利用実績」に変える
「まだ必要ですか」と確認を回す方式では、返事がない限りIDが残ります。そこで、一定期間ログインのないIDを自動でロックし、管理者に通知し、解除がなければ削除する、という利用実績を基準にした方式に切り替えます。休職などの例外は、対象から外すか期間を長く設定します。連携しているアプリからも同時に消えるようにすれば、削除漏れもなくなります。詳しくは自動棚卸しをご覧ください。
ステップ5：すべての変更を記録し、いつでも出せるようにする
作成、権限の変更、ロック、削除を、誰が・いつ・どのルールで行ったかを記録します。年に一度まとめて棚卸しをするのではなく、常に最新の状態が見えていれば、監査の質問にはその場で答えられます。詳しくはライフサイクル記録をご覧ください。
監査・制度との関係
外部パートナーのIDは、社内のセキュリティ規程や監査の対象から漏れやすい一方で、要求事項としてはしっかり含まれています。
- ISMS（ISO/IEC 27001:2022）：附属書Aの管理策には、アクセス制御（5.15）、識別情報の管理（5.16）、アクセス権（5.18）、供給者関係における情報セキュリティ（5.19）などがあり、外部の利用者のアクセス権も付与・見直し・削除の対象になります。
- J-SOX（IT全般統制）：財務報告に関わるシステムへのアクセス管理が評価されます。取引先が入力する受発注や請求のシステムでは、外部ユーザーのIDも確認の対象になりえます。
- サプライチェーンのセキュリティ：取引先を経由した侵入が問題になるなかで、自社のシステムに入れる取引先の人を把握し、不要なアクセスを残さないことが求められています。
どの枠組みでも問われるのは、「誰が何に入れるかを把握しているか」「不要になったアクセスを速やかに止めているか」「その証拠を出せるか」の3点です。上の5つのステップは、そのまま監査への答えになります。
外部パートナーID管理チェックリスト
自社の状況を確認するための10項目です。「いいえ」が多いほど、放置IDが残っている可能性が高い状態です。
- 外部パートナーのIDの総数を、アプリをまたいで即答できる
- すべてのIDが、どの会社・チームに属しているか分かる
- 取引先ごとに、ユーザーに責任を持つ管理者が決まっている
- 新しい担当者が、申請から当日〜数日で使い始められる
- 担当者の退職や異動を、自社が知らなくてもIDが止まる仕組みがある
- 一定期間使われていないIDを、自動で検知している
- IDを止めると、連携しているすべてのアプリから同時に消える
- 取引が終わった会社のIDを、まとめて止められる
- 作成から削除までの履歴を、監査に出せる形で持っている
- 使われていないIDのライセンス費を把握している
事例：株式会社キッツ
バルブメーカーの株式会社キッツは、代理店をはじめとする外部パートナー向けのデジタルサービスを広げるにあたり、その共通のID管理基盤としてTactnaを採用しました。一定期間ログインのないIDを自動でロックし、確認のうえ全システムから削除する運用に切り替えた結果、約30%を占めていたゾンビIDの放置をゼロにし、ID管理・棚卸し業務の工数を約70%削減しています。
詳しくはキッツ様の導入事例をご覧ください。
まとめ
外部パートナーのIDは、人事に連動して止まるという社員IDの前提が成り立たないため、放っておくと増える一方です。責任者を決め、追加と承認をパートナーに委任し、棚卸しを利用実績で自動化し、すべてを記録する。この4つを仕組みにすることで、オンボーディングの速さとセキュリティ、監査への説明を同時に満たせます。