RPA導入時のセキュリティチェックリスト

RPA導入時は、①ロボットが使用するアカウントの権限を必要最小限にする、②操作ログを記録・監査できるようにする、③認証情報をロボット内にハードコーディングしないという3点が最低限のチェックポイントです。

なぜこの3点が重要か

ロボットのアカウント権限が広すぎると、誤動作が発生した際に想定以上のシステムに影響が及ぶリスクがあります。また、操作ログを残していないと、問題発生時に原因の特定が難しくなります。認証情報をシナリオ内に直接書き込むことも、漏えいリスクの観点から避けるべき設計です。

導入時に確認したい項目

• ロボット専用アカウントの権限範囲
• 操作ログの記録・保管期間
• 認証情報の管理方法（外部の認証情報管理サービスの利用など）
• 異常時に自動停止する仕組みの有無

特に複数の業務システムにまたがってロボットを稼働させる場合は、テスト環境での十分な検証と、異常時に自動停止する仕組みをあわせて設計することを強くおすすめします。

特に、退職者や異動者が使っていたアカウントをロボット用に流用してしまうケースは、権限管理の観点から避けるべき典型的な失敗例です。ロボット専用のアカウントを新規に発行し、人のアカウントとは明確に分離して管理することをおすすめします。

また、定期的に権限設定を棚卸しし、不要になったアクセス権限が残っていないかを確認することも重要です。業務の変更や担当者の異動に伴って、ロボットに付与すべき権限も見直す必要があります。

加えて、ロボットが扱うデータの中に個人情報が含まれる場合は、通常の業務システムと同等以上の管理レベルを適用することをおすすめします。

導入初期の設計段階から、こうした観点を盛り込んでおくことが望ましいです。