企業SNSアカウントの権限管理と引き継ぎ手順｜担当者交代と乗っ取り対策

企業SNSアカウントの権限管理は、担当者が辞めると決まってから慌てて手をつける会社がほとんどです。結論から書くと、やることは三つに集約されます。

権限を「社内の決裁」と「管理画面の設定」の二層に分けて台帳へ書き出すこと、担当者の交代と退職のたびに回収の手順を回すこと、そして四半期に一度は棚卸をして使われていない権限を落とすことです。

実務でいちばん多く見かける詰まり方は、アカウントを開設した当時の担当者が自分の個人アカウントで管理権限を持ったまま退職し、後任が管理画面に入れなくなるという状態です。

投稿はできるのに広告アカウントが触れない、分析データは見られるのにメッセージの返信担当を追加できない、といった中途半端な状態も同じ根を持ちます。

誰がどの操作を持っているかを書いた資料が社内にないため、失われた権限を復旧する手段から調べ直すことになります。

そこでこの記事では、社内でどう決めるか（誰が承認し、誰が台帳を持つか）と、システム上どう設定するか（どの管理画面で誰に何を割り当てるか）を分けて説明します。

プラットフォームごとの画面名やロール名は改定されるため、本文では公式ヘルプで実際に読み取れた表記だけを使い、変わりうる部分は公式ページへの流れとして示します。

考え方の土台として、総務省「国民のためのサイバーセキュリティサイト」のアクセス制御・管理では、すべての利用者にすべての権限を与えるのではなく、最低限必要な利用者にのみ必要最低限のアクセスを許可することが大切だと説明されています。SNSアカウントも社内ファイルサーバーと同じ発想で設計できます。

企業SNSアカウントの権限管理は「社内の決裁」と「管理画面の設定」に分けて決める

企業SNSアカウントの権限管理とは、投稿・広告・分析・メッセージ対応といった操作ごとに、社内で誰が判断してよいかという決裁ルールと、管理画面で誰にどのロールを割り当てるかという設定を対応づけ、担当者が変わっても同じ状態を再現できるようにしておく運用を指します。

この二層を混ぜると設計が破綻します。社内の肩書と管理画面のロールは一致しないからです。広報部長が投稿内容の承認者であることと、広報部長が管理画面の最上位ロールを保持していることは、まったく別の話です。

承認は人の判断、ロールは操作の可否であり、判断する人が操作まで行える必要はありません。むしろ承認者が自分で投稿まで実行できてしまうと、第三者のチェックが働かない状態になります。

分けて考えると、交代時にやることも二本立てになります。社内側は「承認者を誰に付け替えるか」、システム側は「管理画面のロールを誰から誰へ移すか」です。

片方だけを実施して事故になるのは後者を忘れたときで、退職者のロールが残ったまま数か月が過ぎる、というのが典型です。総務省のアカウント管理でも、退職したユーザのアカウントが不正アクセスの入口になりうると挙げられています。

まず着手すべきは、権限台帳という一枚の表を作ることです。列は「対象アカウント」「操作の種類」「保持者」「社内の承認者」「付与日」「次回棚卸日」の六つに絞ります。凝った様式は不要で、表計算ソフト一枚で足ります。

仮の例として、記入済みの行を一つ挙げます（当社の実績ではなく、書き方を示すための架空の設定です）。

対象アカウント＝Instagram（企業広報）／操作の種類＝投稿の作成と公開／保持者＝広報部 担当A／社内の承認者＝広報部 マネージャーB／付与日＝2026年4月1日／次回棚卸日＝2026年7月1日。

ここまで書けていれば、担当Aが異動した日に何を外し、誰に付け替えるかは表を見るだけで決まります。

権限を設計する前に、社内の役割を四つに分けて書き出す

SNS運用における社内の役割分担とは、発信の最終責任を負う人、内容を承認する人、日々の投稿と返信を実行する人、権限と記録を点検する人を分けて定義し、それぞれが判断できる範囲を文章で固定しておくことを指します。

役割を分けないまま権限だけ配ると、あとから「この投稿は誰の判断で出たのか」を追えなくなります。分け方は業種や組織規模で変わりますが、企業アカウントであれば発信責任者・承認者・実務担当・棚卸担当の四つで足りることが多いです。

兼務は問題ありません。重要なのは、兼務していても役割ごとに判断できる範囲を書き分けておくことです。

役割の線引きの材料は公的な資料にもあります。総務省のSNSの正しい利用は、業務としてSNSで情報発信を行うときの注意点として、ブランドイメージを損なう発言をしない、第三者にアカウントを乗っ取られないようアカウント情報の適切な管理を行う、利用するサービスの規約を遵守する、メンテナンスなどでサービスが利用できないときの運用を決めておく、発信内容が著作権や肖像権の侵害に該当しないようにする、という点を挙げています。

このうちアカウント情報の管理と、サービスが止まったときの運用は、担当する役割を決めておかないと当日に誰も動けません。前者は棚卸担当、後者は発信責任者というように、あらかじめ持ち主を決めておきます。

役割の定義は、投稿ルールの文書と同じ場所に置くと運用が続きます。承認フローや禁止事項の決め方は企業SNS運用ガイドラインの作り方で扱っているため、この記事では役割と権限の対応づけに絞ります。

社内の役割	この役割が決めること	承認できる範囲	交代時に引き継ぐもの
発信責任者	アカウントを持ち続けるか、誰に管理権限を置くか	アカウントの開設と閉鎖、代行会社との契約	アカウント所有の根拠資料、契約書、権限台帳の原本
承認者	公開してよい内容かどうか	投稿・ストーリーズ・返信文面の公開可否	過去の差し戻し理由、表現の判断基準、禁止事項の一覧
実務担当	いつ何を出すか、返信をどう書くか	下書き作成、予約設定、定型返信の適用	投稿カレンダー、素材の保管場所、定型文の原稿
棚卸担当	誰の権限を落とすか、いつ点検するか	権限台帳の更新、棚卸結果の記録	台帳の更新履歴、前回の棚卸記録、未処理の残件

仮の例として、承認ルールを一文に固定した記入例を挙げます（架空の設定です）。「新商品に触れる投稿は、広報部マネージャーBが文面を承認し、価格に触れる場合は営業企画部Cの確認を経てから実務担当Aが公開する」。この一文があるだけで、担当Aが交代したときに後任へ渡す説明が短くなります。

管理画面の権限は「必要最低限」から割り当てる

最小権限とは、利用者に業務上必要な操作だけを与え、不要な操作は初めから割り当てない考え方を指します。総務省の解説では、職務や役割によって最小限の権限を付与し、部門によっては閲覧の権限のみを与える運用が例として示されています。

SNSの管理画面でも同じ設計ができます。投稿を作る人に広告の支払い設定まで渡す必要はありませんし、分析データだけ見たい経営層に投稿の公開権限は不要です。

上位ロールを配るほうが運用は楽ですが、退職時に回収する対象が増え、乗っ取られたときの被害範囲も広がります。

総務省のアクセス制御・管理では、人事異動や退職、新入社員の受け入れなどで人員構成が変わった際には、都度アクセス権設定の見直しを実施することが重要だと述べられています。

実務では、権限の申請フォームを一つ用意すると運用が安定します。項目は「対象アカウント」「付与したい操作」「その操作が必要な理由」「権限を外す予定日」「社内の承認者」の五つです。

理由と外す予定日を必須にすることで、目的が終わった権限が居座る事態を減らせます。

• 対象アカウント：どの媒体のどのアカウントか
• 付与したい操作：投稿、広告、分析閲覧、メッセージ対応のどれか
• その操作が必要な理由：担当する業務名で書く
• 権限を外す予定日：期限がない場合は次回の棚卸日を入れる
• 社内の承認者：役職ではなく氏名で書く

仮の例として、記入済みの申請を一件挙げます（架空の設定です）。対象アカウント＝Instagram（企業広報）／付与したい操作＝分析データの閲覧のみ／理由＝月次のリーチ報告を営業会議で共有するため／外す予定日＝2026年9月30日／承認者＝広報部 マネージャーB。

投稿権限を求められた申請でも、理由が「報告のため」であれば閲覧だけで足りると判断できます。

Instagram・Facebookはビジネスポートフォリオ側に権限を集約する

ビジネスポートフォリオとは、Metaが提供する企業向けの管理単位で、Facebookページ・Instagramアカウント・広告アカウントなどの資産と、そこへアクセスする人をまとめて扱う仕組みを指します。個人アカウントに資産をぶら下げるのではなく、組織側に資産を置き、人はそこへ紐づけるという構造です。

Instagramの引き継ぎで最も多い失敗は、企業のアカウントでありながら管理の起点が個人アカウントだけになっているケースです。個人アカウントを退職者が保持したまま連絡がつかなくなると、後任は管理画面に入る手段を持ちません。

逆に、組織側の管理単位へ資産を寄せておけば、人の出入りは「人を足す・人を外す」という操作で済みます。

アクセスの段階は公式ヘルプに明記されています。Metaビジネスヘルプセンターのビジネスポートフォリオとビジネスアセットのアクセス許可についてによれば、Meta Business Suiteには全権限と部分的なアクセス許可という2つのアクセスレベルがあり、どちらもビジネスポートフォリオとその中のビジネスアセットの両方に適用されます。

全権限は最高レベルのアクセス許可で、設定・メンバー・ツール・アセットのすべてを管理でき、ポートフォリオからアセットやメンバーを削除することも、ポートフォリオ自体を削除することもできると説明されています。

部分的なアクセス許可は、割り当てられたアセットまたはタスクに限って作業できる立場です。

部分的なアクセス許可には内訳があります。メンバーを追加したときに既定で割り当てられるのが「基本」で、割り当てられたビジネスアセットでのみ作業できる立場です。

コンバージョンAPIの設定やアクセストークンの作成を担うのは「アプリと統合」として分けられています。取引や請求書、消化額、支払い方法といった財務情報の閲覧や管理は、これらとは別の詳細オプションとして付与する形になっています。

投稿を作る担当者へ支払い情報まで渡す設計は、権限モデルの側でも避けられるようになっているということです。

期間を区切って人を入れる仕組みも用意されています。同ページによれば、メンバーを追加する際に一時的なアクセスを付与でき、その場合に割り当てられるのは基本的なアクセス許可のみで、期間は3日間から75日間までの範囲です。

有効期限が切れるとアクセス許可は自動的に取り消され、そのメンバーはビジネスポートフォリオおよび割り当てられているビジネスアセットから削除されると記載されています。

短期の制作案件やインターンの受け入れでは、この仕組みを使うほうが回収のもれを減らせます。

追加の流れも公開されています。Metaビジネスヘルプセンターのビジネスポートフォリオにユーザーを追加してビジネスアセットを割り当てるでは、Meta Business Suiteでビジネスポートフォリオの[設定]へ移動し、左側のメニューで[ユーザー]をクリックして、右上の[ユーザーを招待]から進む手順が示されています。この操作にはビジネスポートフォリオの全権限が必要で、[ユーザー]が表示されない場合は全権限を持っていない可能性があると注意書きが添えられています。同ページには、業務上必要となるレベルのアクセス許可のみを割り当てるようにという記載もあります。画面名やメニューの表記は改定されることがあるため、実際に設定する前に公式ヘルプで現在の表記を確認してください。

社内で先に決めておくべきことは三つあります。ビジネスポートフォリオの全権限を誰に持たせるか、その人が不在のときに代わって操作できる人を置くか、そして退職者を外す順番です。

順番を決めておく理由は、全権限を持つ人を先に外すと、残った人では他のメンバーを外せなくなる場合があるためです。

仮の例として、引き継ぎ前の確認シートに書いた一行を挙げます（架空の設定です）。確認項目＝Instagram（企業広報）の管理をビジネスポートフォリオ側から行えるか／確認者＝情報システム部D／確認日＝2026年5月12日／結果＝ポートフォリオ側から操作できる状態を画面上で確認、全権限の保持者は情報システム部Dと発信責任者Gの二名、退職予定者の個人アカウント経由でしか操作できない資産は残っていない。

LINE公式アカウントは「設定」＞「権限管理」でメンバーを追加する

LINE公式アカウントの権限管理とは、管理画面にログインできるメンバーを追加し、権限の確認と変更、削除、所属グループの確認を行う機能を指します。公式マニュアルでは、ログインユーザーを追加することで複数メンバーによる管理画面の運用ができるようになると説明されています。

LINEは他の媒体と手順が異なり、招待のしかたに特徴があります。LINEヤフーのLINE公式アカウント 権限設定マニュアルによれば、Web版管理画面では「設定」＞「権限管理」を選び、「メンバーの追加」から「URLを発行」を選択したうえで、発行された認証用URLをメールなどで相手へ共有します。

すでに権限を持つメンバーは、リストの「変更」から権限の種類を変更できます。管理アプリでは「設定」＞「権限」という流れになります。

同マニュアルには運用上の制約も明記されています。認証用URLは発行から24時間で失効し、一回の発行につき一人のユーザーのみ有効で使い回しはできません。

権限の種類を問わず1アカウントに対して100人までメンバーを登録でき、一人のユーザーが管理できるアカウント数の上限は100個です。追加されるユーザー側にも、LINEログインのためのメールアドレス設定が必要になります。

つまずく場面	公式マニュアルの記載	社内で先に決めておくこと
招待したのに相手が入れない	認証用URLは発行から24時間で失効する	発行は相手が対応できる時間帯に行い、未使用なら再発行する担当を決める
一本のURLを複数人へ転送した	一回の発行につき一人のユーザーのみ有効で使い回しはできない	人数分を個別に発行し、誰へ何本発行したかを台帳へ記録する
招待相手がログインできない	追加されるユーザーもLINEログインのためのメールアドレス設定が必要	招待前に相手側の設定状況を確認する手順を依頼文へ入れる
店舗が増えて管理が追いつかない	グループの権限を持つユーザーは、権限に応じて各LINE公式アカウントの設定変更やメッセージ配信などの利用も可能	グループへ入れる範囲と、グループ側で操作させる範囲を先に線引きする

仮の例として、認証用URLを送るときの依頼文を一本挙げます（架空の設定です）。「本日15時に認証用URLを送ります。発行から24時間で失効し、他の方へ転送しても使えません。受け取ったらその日のうちに手続きをお願いします。手続き後、管理画面に表示されるお名前をご返信ください。台帳へ記録します」。名前の返信まで求めるのは、台帳の保持者欄を空にしないためです。

個人アカウント依存と共有アカウントをどこで断ち切るか

共有アカウントとは、一つのIDとパスワードを複数人で使い回す運用形態を指します。誰が操作したかを記録から特定できないため、権限管理の観点では、個人ごとのログインを配る運用へ置き換えるのが基本となります。

総務省のアカウント管理では、正規のユーザー情報が攻撃者の手に渡る原因として、脆弱なパスワードの利用、漏洩したオンラインアカウントで使用しているパスワードと同じパスワードの利用、退職したユーザのアカウントの利用、テストアカウントの利用、長期間変更されていない共有アカウントの利用、ソーシャルエンジニアリングが挙げられています。SNS運用の現場は、このうち後ろの三つに当てはまりやすい環境です。

とはいえ、媒体によっては共有ログインを避けられない場面が残ります。その場合は、代替策を三つ組み合わせます。第一に、共有するのは一つの媒体に限定し、他の媒体へは持ち込まないこと。

第二に、パスワードは口頭やメールで渡さず、社内で承認されたパスワード管理ツールの共有機能を使うこと。第三に、その共有ログインを使える人の氏名を台帳へ書き、使う人が変わったタイミングでパスワードを変更することです。

パスワードの取り扱いについては、総務省の安全なパスワードの設定・管理に、第三者に教えない、電子メールでやりとりしない、他人の目に触れる場所に貼らない、といった点が示されています。複数のサービスで使い回さないことも同じページで求められています。

仮の例として、断ち切る手順を書いた記入済みの一行を挙げます（架空の設定です）。対象＝店舗運用で共有していたログイン／置き換え先＝各店舗の店長へ個別ログインを発行／実施日＝2026年6月3日／実施後の措置＝旧ログインのパスワードを変更し、使用者を情報システム部Dの一名に限定／台帳への記録＝完了。運用体制そのものを内製へ寄せる判断をしている場合は、SNS運用のインハウス化・内製化ガイドとあわせて、誰がログインを持つ状態を目指すのかを先に決めておくと手戻りが減ります。

担当者交代で引き継ぐのは権限・資産・判断基準の三系統

SNS担当者の引き継ぎとは、管理画面のロールを移す作業だけでなく、投稿素材や原稿などの資産の保管場所、そして過去の判断基準を後任が再現できる形で渡すことまでを含む一連の手続きを指します。

権限だけ移して引き継ぎが終わったことにすると、後任は投稿はできるが何を出してよいか分からない、という状態に置かれます。実際に引き継ぎ資料が薄い現場では、後任が最初の数週間、過去の投稿を眺めて手探りで書き方を推測することになりがちです。渡すべきものを三系統に分けて並べると、抜けが見つけやすくなります。

権限系は、管理画面のロール、広告アカウントへのアクセス、分析ツールの閲覧、メッセージ対応の割り当てです。資産系は、撮影素材の保管場所、編集前の原稿、外部ツールのアカウント、フォント・ロゴなどの利用許諾範囲です。

判断基準系は、承認の基準、過去に差し戻された理由、指標の定義と目標値です。指標の定義が引き継がれないと、後任が別の数え方で報告してしまい、前任期間との比較が成り立たなくなります。指標の決め方は法人Instagram KPI設計の方法で整理しています。

引き継ぎ期間は、前任と後任が同時に権限を持つ重なりの時期を作ります。重なりがないと、後任が操作できない状態で質問だけが積み上がります。重なりを終える日を先に決めておき、その日に前任の権限を落とすところまでを引き継ぎ計画に含めます。

仮の例として、引き継ぎシートに書いた一行を挙げます（架空の設定です）。項目＝月次レポートのリーチ集計／保管場所＝共有ドライブの広報フォルダ内、月次報告の様式ファイル／判断基準＝リーチは当月1日から末日までの合計、広告経由分は別欄へ分けて記載／前任＝担当A／後任＝担当E／重なり終了日＝2026年6月30日。

退職・異動が決まった日から何を回収するか

権限の回収とは、退職や異動が決まった時点から、管理画面のロール、認証手段、共有ログイン、外部ツールのアクセスを順に外し、外した事実を記録として残す手続きを指します。最終出社日にまとめて処理するのではなく、決まった日から順次進めるのが基本です。

回収を最終出社日に寄せると、当日の慌ただしさで取りこぼしが生じます。一方で早すぎると業務が止まります。そこで、業務に支障が出ない順に段階を分けます。

支払い設定や契約に関わる権限は早めに外し、日々の投稿権限は最後に外す、という順序が実務では扱いやすい形です。

回収の対象と期限を表にして、担当と完了の確かめ方まで書いておくと、引き継ぎのたびに同じ議論をせずに済みます。次の表は、総務省のアクセス制御・管理が示す「人員構成の変更時に都度見直す」という考え方を、SNS運用の作業へ落としたものです。

回収の対象	いつ外すか	誰が実施するか	完了をどう確かめるか
広告アカウントの支払い・請求関連の操作	退職が決まった時点	情報システム部	管理画面の利用者一覧から氏名が消えていることを画面で確認
組織側の管理単位に対する最上位の権限	後任へ同等の権限を付けた直後	発信責任者	後任が単独で他メンバーを追加・削除できることを実際に試す
外部の予約投稿ツールや分析ツール	最終出社日の前週	実務担当の後任	連携解除後に予約投稿が残っていないかを一覧で確認
投稿・ストーリーズの公開権限	最終出社日	棚卸担当	台帳の保持者欄を後任へ書き換え、旧保持者の行を履歴へ移す
共有ログインのパスワード	最終出社日	情報システム部	変更後のパスワードで自分がログインできることを確認
二段階認証の登録先と復旧コード	最終出社日	情報システム部	会社が管理する登録先だけが残っていることを設定画面で確認

回収の操作そのものも、媒体ごとに流れが決まっています。Metaビジネスヘルプセンターのビジネスポートフォリオから利用者を削除するでは、利用者を削除すると、その人のビジネスポートフォリオへのアクセス許可と、アクセス許可を持っていたビジネスアセットが取り消されると説明されています。操作にはビジネスポートフォリオの全権限が必要で、[設定]から[メンバー]を開き、対象者の名前をクリックして[削除]へ進む手順です。全権限を持つ別の人による承認が必要な場合、その承認は[設定]の[リクエスト]で行えるとも記載されています。

回収を実施する担当者がこの全権限を持っていないと、当日になって作業が止まります。

退職者が関わる情報の取り扱いは、SNSに限った話ではありません。IPA（情報処理推進機構）の組織における内部不正防止ガイドラインは、基本方針・資産管理・技術的管理・職場環境・事後対策などの10の観点のもと、合計33項目からなる対策を示しており、第5版では雇用の流動化による退職者増加のリスクを低減する人的管理の対策が追記されたと説明されています。同ページでは33項目のチェックシートも配布されています。

仮の例として、回収チェックの記入済みの一行を挙げます（架空の設定です）。対象者＝広報部 担当A（2026年6月30日 最終出社）／回収対象＝Instagram（企業広報）の投稿公開権限／外した日＝2026年6月30日／実施者＝棚卸担当F／確認方法＝管理画面のメンバー一覧を開き、担当Aの表示が消えていることを画面で確認／台帳の更新＝保持者欄を担当Eへ変更、担当Aの行は履歴タブへ移動。

二段階認証は「知識・所持・生体」のどれを組み合わせるかで決める

多要素認証とは、認証の3要素である「知識情報」「所持情報」「生体情報」のうち2つ以上を組み合わせて認証する方式で、そのうち2つの要素を使うものを2要素認証と呼びます。総務省の解説では、パスワードで認証した後に、利用者が持つ機器へ送ったパスコードを入力させる例などが示されています。

企業アカウントで二段階認証を設定するときに詰まるのは、技術ではなく「所持情報を誰の持ち物にするか」という点です。担当者の私物スマートフォンを登録すると、その人が退職した瞬間に会社側が認証を通せなくなります。

逆に、会社支給端末を登録しても、その端末を一人が持ち歩いていれば同じ問題が起きます。総務省の安全なパスワードの設定・管理は、利用するシステムで多要素認証の設定が可能な場合は積極的に利用することをすすめています。

設定するかどうかではなく、どの要素を会社の資産として持つかを決める話だと捉えるとよいでしょう。

プラットフォーム側に、メンバー全員へ二段階認証を求める設定が用意されている場合もあります。

MetaビジネスヘルプセンターのMetaビジネスポートフォリオのメンバーの二段階認証を必須にする方法によれば、必須にするかどうかを選べるのはビジネスポートフォリオの全権限を持つメンバーのみで、Meta Business Suiteの[設定]から[ビジネスポートフォリオの情報]を選び、[ビジネスオプション]の[二段階認証]で「管理者のみ」「全員」「なし」から選ぶ流れになっています。作成から90日未満のポートフォリオでは任意ですが、作成後90日を経過している特定のポートフォリオではセキュリティ上の理由により自動的に求められる場合があり、そのときはオフにできないと説明されています。

ここで押さえておきたいのは、この要件をオンにしても、実際に認証を設定するのはメンバー個人のアカウント側だという点です。

同ページには、要件をオンにすると、対象となるメンバーがビジネスポートフォリオへアクセスするために個人用Facebookアカウントで二段階認証を設定する必要があると書かれています。

会社が一括して決められるのは必須にするかどうかという一点であり、認証手段そのものは各メンバーの個人アカウントに紐づきます。だからこそ退職時にやるべきことは、その人の認証を解除することではなく、その人をポートフォリオから外すことになります。

認証の要素	企業アカウントでの具体例	引き継ぎで詰まりやすい点
知識情報	ログインパスワード、復旧用の質問	個人の記憶に依存すると退職後に再現できない
所持情報	認証コードを受け取る端末、認証アプリ、復旧コード	私物端末に登録すると会社側が認証を通せなくなる
生体情報	端末のロック解除に使う指紋や顔	本人以外は解除できないため、代替手段を併設しないと業務が止まる

運用として決めておくことは三点です。認証コードの受け取り先を会社が管理する連絡先にすること、復旧コードを発行したら印刷または暗号化して情報システム部門が保管すること、そして復旧コードを保管している場所と開封できる人を台帳へ書くことです。

復旧コードは、端末を紛失したときに唯一残る手段になり得るため、誰も場所を知らない状態は避けます。

仮の例として、設定記録の一行を挙げます（架空の設定です）。対象＝Instagram（企業広報）／方式＝認証アプリによるコード入力／登録端末＝情報システム部が管理する業務用端末（管理番号あり）／復旧コード＝印刷して総務部の施錠キャビネットへ保管、開封できるのは情報システム部Dと発信責任者Gの二名／記録日＝2026年5月20日。

乗っ取りが疑われたときに止める順番

アカウントの乗っ取りとは、正規の運用者以外がログインできる状態になり、投稿やメッセージ送信が第三者の操作で行われうる状況を指します。初動では、被害の拡大を止める操作と、プラットフォーム側への連絡、社内への報告を並行して進めます。

総務省の事例集には、SNSの公式アカウントが乗っ取られ、同時に偽アカウントも作成された事例が掲載されています。公式アカウントが乗っ取られたという事例では、乗っ取りや偽アカウントの作成が判明したときは当該アカウントの停止をSNSサービス提供者へ速やかに依頼すること、予防としては簡単なパスワードを避け、極力多要素認証を設定することが対処法と予防法として示されています。

社内で決めておくのは、判断する人と連絡先の並びです。兆候に気づいた実務担当がその場で判断すると、正常な投稿を誤って停止したり、逆に様子見のまま被害が広がったりします。次の並びで手順書へ落とすと迷いが減ります。

1. 気づいた人が、時刻・画面・気づいた内容を記録してから発信責任者へ連絡する
2. 発信責任者が、予約投稿の停止とパスワード変更を情報システム部門へ指示する
3. 情報システム部門が、認証手段の登録先を確認し、身に覚えのない登録があれば解除する
4. 発信責任者が、プラットフォームの窓口へ停止や復旧の依頼を出す
5. 広報が、告知の要否と文面を判断し、承認を経て公開する

告知の判断は、通常の炎上対応と重なる部分が多いため、企業SNS炎上を防ぐ7つの対策で扱っている対応フローと同じ窓口に寄せておくと、担当者が迷わずに済みます。

仮の例として、初動記録の一行を挙げます（架空の設定です）。検知日時＝2026年7月8日 9時12分／検知者＝実務担当E／内容＝身に覚えのないダイレクトメッセージの送信履歴を確認／一次対応＝9時20分に予約投稿を停止、9時31分にパスワード変更、9時45分に認証アプリの登録一覧から不明な登録を一件解除／報告先＝発信責任者G、情報システム部D。

運用代行会社へ渡す権限と、渡さない権限の線引き

運用代行における権限の範囲とは、委託先へ付与する管理画面の操作のうち、業務の遂行に必要なものと、発注者側が保持し続けるべきものを契約書と台帳の双方で線引きしておく取り決めを指します。

代行会社へ上位ロールごと渡してしまうと、契約が終わったときに発注者側が自社アカウントを取り戻せない事態が起こり得ます。

線引きの基本は、アカウントそのものの所有と、最上位の権限の保持は発注者側に残し、日々の業務に必要な操作だけを委託先へ渡す、という形です。

契約期間があらかじめ決まっている委託なら、期限を設定して付与できる仕組みが用意されている媒体もあるため、渡し方の選択肢として先に確認しておきます。

権限の種類	渡すかどうか	そう判断する理由
投稿の作成と公開	渡す	日々の運用に必要で、承認フローで内容の可否は担保できる
分析データの閲覧	渡す	改善提案の根拠になり、閲覧だけでは設定を壊せない
組織側の管理単位に対する最上位の権限	渡さない	契約終了時に発注者側が委託先を外せなくなる
広告の支払い方法の登録・変更	渡さない	支出に直結し、金銭の管理責任は発注者側にある
メンバーの追加と削除	原則として渡さない	誰が入れるかを委託先が決められる状態は、権限台帳が成立しなくなる

契約書には、権限の範囲だけでなく、返し方まで書きます。仮の例として、契約条項の一文を挙げます（架空の設定です）。

「乙は、本契約の終了日までに、甲が指定するアカウントに付与された乙および乙の従業者の権限をすべて削除し、削除後の管理画面の表示を甲へ提示して確認を受けるものとする」。削除だけでなく画面の提示まで書くのは、完了の証跡を残すためです。

委託先を選ぶ段階の確認項目はInstagram運用代行の契約前チェックリストに、契約条件で見落としやすい点はSNS運用代行の契約で失敗しない注意点12選にまとめています。

委託先が投稿を代行する場合、広告表記の要否は発注者側の責任範囲に残るため、企業SNSのステマ規制対応で示した表記の判断基準を、権限を渡す前に共有しておくと安全です。想定外の事態が起きたときの原因を知っておきたい場合は、SNS運用外注の失敗事例10選と原因も参考になります。

権限台帳と棚卸を運用に組み込む

権限の棚卸とは、付与済みの権限を定期的に一覧で見直し、使われていないもの、期限が過ぎたもの、退職者に残っているものを外す点検作業を指します。総務省の解説では、長期間利用されていないアカウントや削除すべきアカウントがないか定期的に確認し、不要なものは無効化または削除することがすすめられています。

台帳を作っただけでは、半年もすれば実態とずれます。ずれを戻す仕掛けが棚卸です。頻度は四半期に一度から始めれば十分で、日付を決めてカレンダーへ入れてしまうのが続けるこつです。総務省のアカウント管理にある「アカウントの棚卸」の考え方を、SNSの管理画面のメンバー一覧へ当てはめます。

棚卸で見るのは三つです。台帳に載っている人が管理画面にも載っているか、管理画面に載っている人が台帳にも載っているか、そして外す予定日を過ぎた権限が残っていないかです。二つ目の向きを忘れると、台帳に書かれないまま追加された権限を見逃します。

あわせて、操作の記録を残す設定があるかも確認します。総務省の監査ログの管理では、情報システムへのログイン・ログアウトなど認証の成功や失敗のログ、ファイルの参照や編集の成否のログが例として挙げられ、ログ自体が機密情報であるため取り扱いに注意が必要だと述べられています。

SNSの管理画面でも、誰がいつ操作したかを後から追える状態にしておくと、事故の原因究明が早くなります。

棚卸の範囲を広げると、アカウントそのものの見直しにもつながります。点検項目の並べ方は法人Instagramアカウント監査の項目一覧が、点検後に何を直すかの判断は企業Instagramアカウント分析と改善のやり方が参考になります。

仮の例として、棚卸記録の一行を挙げます（架空の設定です）。棚卸日＝2026年7月1日／対象＝Instagram（企業広報）、Facebookページ、LINE公式アカウント／台帳と管理画面の差異＝2件（台帳にない閲覧権限が1件、退職者の権限が1件）／処理＝閲覧権限は業務理由を確認のうえ台帳へ追記、退職者の権限は削除／次回＝2026年10月1日／実施者＝棚卸担当F。

よくある質問（FAQ）

Q1. 前任者と連絡が取れず、管理画面に誰も入れません。どこから手をつければよいですか。

まず、そのアカウントに紐づく会社側の資産を洗い出します。広告の請求先、連携している外部ツール、公式サイトに掲載しているアカウントのURLなどです。次に、各プラットフォームのヘルプから、アクセスできなくなったアカウントに関する申請窓口を探します。窓口の名称と必要書類は改定されるため、現在の案内を公式ヘルプで確認してください。並行して、復旧できなかった場合に新しいアカウントで再開する判断の期限を決めておくと、対応が長引いても事業側の予定が止まりません。

Q2. 社員が10人未満の会社でも、権限台帳まで作る必要がありますか。

人数が少ないほど一人が抱える権限は多くなり、その人が抜けたときの影響が大きくなります。様式は簡素で構いません。表計算ソフト一枚に、対象アカウント、操作の種類、保持者、承認者、付与日、次回棚卸日の六列があれば運用できます。むしろ作り込みすぎるほうが続かないため、四半期ごとの棚卸で更新できる分量に抑えるのが現実的です。

Q3. 二段階認証のコードを受け取る携帯電話番号は、誰のものにすべきですか。

担当者の私物ではなく、会社が管理する連絡先にするのが基本です。私物に登録すると、その人が不在や退職になった時点で認証を通せなくなります。あわせて、復旧コードを発行して情報システム部門が保管し、保管場所と開封できる人を台帳へ書いておきます。認証の要素は知識情報・所持情報・生体情報の3つに分類されるため、所持情報を会社の資産として持てているかという観点で点検すると判断しやすくなります。

Q4. 運用代行会社に投稿を任せていますが、権限はどこまで渡すのが妥当ですか。

日々の業務に必要な操作、たとえば投稿の作成と公開、分析データの閲覧までを渡し、アカウントの所有に関わる最上位の権限、支払い方法の登録と変更、メンバーの追加と削除は発注者側に残します。契約書には、権限の範囲に加えて、契約終了時に委託先側の権限をすべて削除し、削除後の画面を発注者へ提示する、という返し方まで書いておくと、終了時の作業が短くなります。

Q5. 棚卸はどのくらいの頻度で行うのが適切ですか。

四半期に一度から始めるのが現実的です。加えて、人事異動や退職、代行会社との契約開始・終了といった人員構成が変わる出来事があったときは、その都度見直します。定期の棚卸だけに頼ると、異動が集中する時期に処理が滞りやすくなるためです。棚卸の記録には、差異の件数と処理内容、次回の実施日を残しておくと、翌期の担当者が前回との違いを追えます。

Q6. 複数店舗でアカウントが増えてきました。管理はどう分ければよいですか。

店舗ごとに権限を切り分けたうえで、本部側に全店を横断して点検できる立場を一つ置く形が扱いやすいです。LINE公式アカウントにはアカウントをまとめて扱うグループの仕組みがあり、LINE公式アカウント 権限設定マニュアルでは、グループの権限を持つユーザーは権限に応じて各LINE公式アカウントの設定変更やメッセージ配信などの利用も可能だと説明されています。まとめて操作できる範囲は便利さと事故の起きやすさが表裏になるため、グループに入れる範囲を先に決めてから運用を始めてください。

まとめ：台帳・回収・棚卸の三つで権限管理は回る

企業SNSアカウントの権限管理は、特別な道具を導入しなくても始められます。必要なのは、権限台帳を一枚作ること、担当者が交代するときの回収手順を決めること、そして四半期ごとの棚卸をカレンダーへ載せることの三つです。どれも一度決めてしまえば、以後は同じ手順の繰り返しになります。

設計の指針は、社内の決裁と管理画面の設定を分けること、そして管理画面の権限は必要最低限から割り当てることです。

ロール名や設定の流れはプラットフォーム側の改定で変わるため、実際に設定する前には各社の公式ヘルプで現在の表記を確認する習慣をつけてください。

この記事で参照した総務省とIPAの資料は、SNSに限らず社内の情報資産全体に通用する考え方を示しています。

担当者の交代は、体制を見直す機会でもあります。誰がどの権限を持つべきかを書き出す作業は、そのまま運用体制の設計につながります。自社で抱えきれない部分をどう分担するかまで含めて整理したい場合は、現在の体制と課題を添えてご相談ください。