休職中のシステム権限、5つのリスクと対応手順

「休職に入ってもらったけど、システムのアカウントってどうすればいいんだろう……」。そう思いながら、気づけば数週間が経っていた——そんな経験はないでしょうか。退職とは違い、「いつか戻ってくる」という前提があるぶん、休職はシステム権限の対応が後回しになりがちです。しかし、その”放置”が情報漏洩リスクや労務トラブルの原因になることがあります。この記事では、休職中のシステム権限にまつわる5つのリスクと、会社規模・体制別の具体的な対応手順を整理します。

休職中のシステム権限を放置するとどうなるか

休職社員のアカウントを停止せずにいると、情報セキュリティ上の穴が生まれ続けます。「本人が悪意を持って操作するとは思えない」という信頼感があっても、リスク管理は性善説に頼るものではありません。

気づかないまま続く”不審なアクセス”

アクセスログを定期確認する体制がない企業では、休職中の社員がシステムにアクセスしていても数週間〜数ヶ月気づかないケースがあります。業務データの閲覧や、ファイルのダウンロードが静かに続いていた、という事態は決して稀ではありません。本人に悪意がなくても、「仕事が気になって確認してしまった」という行動が情報漏洩のリスクを生みます。

外部攻撃の踏み台になるリスク

使われていないアカウントは、フィッシング詐欺やパスワードリスト攻撃の標的になりやすい傾向があります。休職中の社員は業務メールを確認する頻度が下がるため、不審なメールに気づかず、アカウントが第三者に乗っ取られるリスクが高まります。その結果、社内ネットワーク全体への不正アクセスの入口になりかねません。

「会社が管理を怠った」と問われる法的責任

個人情報保護法第23条（現行法では安全管理措置として第20条に相当）は、個人情報取扱事業者に対して「組織的・技術的安全管理措置」を義務づけています。休職中社員の権限管理を怠って情報漏洩が起きた場合、会社側が「安全管理措置を講じていなかった」として責任を問われる可能性があります。罰則だけでなく、顧客や取引先への信頼失墜という実害も伴います。

休職中のシステム権限に関わる5つのリスク

放置が招くリスクは複数の層に分かれています。それぞれの性質を理解することで、どこから手をつければよいかが見えてきます。

内部情報の持ち出し・閲覧リスク

顧客リスト・契約書・財務データなど、機密性の高い情報に休職中もアクセスできる状態は、情報管理の観点で大きな穴です。本人に悪意がなくても、スマートフォンからのアクセス中に画面を第三者に見られる、誤ってデータを転送してしまうといった”うっかり漏洩”は起こりえます。

アカウント乗っ取りによる不正アクセスリスク

休職中はパスワード管理が緩みがちです。使い回しのパスワードや、セキュリティアップデートの見落としが重なると、第三者による不正ログインの被害に遭いやすくなります。この場合、被害を受けるのは当該社員だけでなく、社内システム全体です。

復職後の権限設定ミスによるトラブル

休職前の権限を「そのまま戻す」対応では、部署異動や担当業務の変更に合わせた権限の見直しが抜け落ちます。復職後に過剰な権限を持ったまま業務に戻ると、情報管理上の問題が生じる場合があります。権限管理は「停止するとき」だけでなく「戻すとき」のフローも重要です。

労務トラブルリスク（根拠なき停止の主張）

就業規則や情報セキュリティポリシーに根拠規定がないまま一方的にアカウントを停止すると、「不当な不利益措置だ」と主張されるリスクがあります。逆に、規程に明記し、休職前の面談で本人に説明しておけば、こうした主張への対抗根拠になります。

療養の妨げになるリスク（本人への配慮の誤解）

「業務メールを見られる状態にしておいた方が安心するだろう」という配慮から権限を残す判断をする経営者・担当者は少なくありません。しかし厚生労働省の「心の健康問題により休業した労働者の職場復帰支援の手引き」でも、休職中は仕事から離れて療養に専念することが回復の基本とされています。アクセス環境を残すことは、配慮ではなく治療の妨げになりえます。

アカウントを止めることへの心理的ハードルをどう乗り越えるか

「停止する＝本人を疑っている」という感覚が、適切な対応を遅らせる最大の障壁です。しかしアカウント停止は、疑いの表明ではなく会社の管理責任を果たすための標準的な対応です。

「疑い」ではなく「ルール」として伝える

本人への伝え方次第で、受け取り方は大きく変わります。「あなたを信頼していないから止める」ではなく、「会社のセキュリティルールとして、休職中はアカウントを停止することになっています」と、規程に基づく運用として説明することが重要です。このとき、すでに就業規則や情報セキュリティポリシーに明記されていれば、担当者が個人として判断しているのではなく会社のルールとして伝えられます。

休職前面談で事前に案内する

休職開始前の面談（産業医・上司・人事担当が関与するケースが多い）の場で、アカウント停止の取り扱いを口頭と書面の両方で案内しておくことが理想的です。「復職時には権限を戻す」という見通しも同時に伝えることで、不安感を和らげることができます。事前説明なく突然停止するより、納得感をもって受け入れてもらいやすくなります。

メンタルヘルス不調の場合の注意点

うつ病・適応障害などで休職している社員に対して、休職直後に複数の事務連絡をまとめて行うことは、本人の状態を悪化させることがあります。面談の場では要点を絞り、書面を後日郵送するといった配慮が有効です。ただし「配慮のあまり何も伝えない」では、後からトラブルの火種になります。伝える内容と伝え方の両方を設計することが大切です。

会社の体制別・対応の優先順位と手順

対応の内容は、会社の規模・IT体制・規程の有無によって変わります。自社の状況に照らして、まず何から着手すべきかを確認してください。

規程が整備されていない場合（多くの中小企業が該当）

まず緊急対応として、休職発生のたびに「その都度、経営者が判断する」という属人的な運用から脱することが先決です。次のステップとして、就業規則または情報セキュリティポリシーに「休職中のシステムアカウント管理」の条項を追加します。外部の社会保険労務士や情報セキュリティの専門家と連携して整備するのが現実的です。規程がないまま対応を重ねると、後から「根拠のない措置だった」と主張されるリスクが蓄積します。

専任IT担当がいない場合

多くの中小企業では、情報システム専任担当がおらず、総務や経営者がIT対応を兼務しています。この場合、アカウント管理のチェックリストをあらかじめ作成しておくことが有効です。クラウドサービス（Google WorkspaceやMicrosoft 365など）であれば、管理者権限を持つ担当者がアカウントの無効化・有効化を比較的簡単に行えます。対応履歴をスプレッドシートで記録しておくことも、後日の証拠として機能します。

産業医・外部支援がある場合

産業医や外部のEAP（従業員支援プログラム）を利用している場合、休職中の連絡ルールやシステム対応方針を産業医の意見も踏まえて設計できます。「本人の回復を阻害しない形でのアカウント停止」という方針を、医療・人事・IT管理の三者で共有しておくと、対応の一貫性が生まれます。

休職から復職までのシステム権限フロー

休職開始から復職までの一連の流れを事前に設計しておくことが、場当たり対応を防ぐ最善策です。以下に標準的なフローを示します。

アクセスログ保全の重要性

休職開始前後のアクセス履歴を取得・保全しておくことは、万一のトラブル対応に役立ちます。「休職直前にどのデータにアクセスしていたか」を後から確認できる状態にしておくことで、情報漏洩疑義が生じた際の調査がスムーズになります。クラウドサービスのログは保存期間に制限がある場合があるため、必要に応じてエクスポートして保管する運用を設けてください。

復職時の権限設計の注意点

復職は単なる「元の状態への復元」ではありません。業務負荷の軽減や担当業務の変更を伴う場合、それに合わせてシステム権限も再設計する必要があります。「復職＝全権限を戻す」という思い込みを排し、復職支援計画（リワークプランなど）と連動した権限設定を行うことが適切です。