ISMSや内部統制のために、kintoneのアクセス権を見直して記録を残す方法

アプリごとではなく、人ごとに並べます。監査で聞かれるのは「この人に、この権限が要るか」だからです。

アクセス権は、アプリ・レコード・フィールドの3か所にあります。行の順番で結果が変わるので、順番も残します（くわしくは「kintoneのアクセス権を一覧で確認する方法」）。
特に見ておきたいのは、［アプリ管理］と［ファイル書き出し］です。アプリ管理の権限があれば、アプリの設定を変えたり、アプリを削除したりできます。

アプリの外の権限も、表の最後に足しておきます。

• cybozu.com共通管理者と、kintoneシステム管理者になっている人
• 最初からある［Administrator］が「停止中」のままか（サイボウズは、ふだんは使わず停止中にしておくよう案内しています）

kintoneシステム管理者でも、閲覧の権限がないアプリは、アプリの一覧に出ません（台帳屋が検証環境で確認）。一覧に出たアプリだけを見直すと、漏れが出ます。
見直しの範囲には「一覧に出ないアプリがないか」を確かめた結果も書いておきます。

退職した人を「停止中」にしても、アプリのアクセス権からは消えません（台帳屋が検証環境で確認）。停止中の人はログインできず、利用ユーザーにも数えられないため、気づきにくくなります。
残ったまま、REST APIでアクセス権を保存し直すと、エラー（GAIA_IL26）になります。手順2の一覧と照らし合わせて、外してください（くわしくは「退職者や異動者が設定されているアプリを探す方法」）。

アクセス権を直したら、アプリを更新して運用中のアプリに反映します。記録の「確認日」は、更新したあとの日付にします。

1つのアプリなら、台帳屋の権限チェッカー（無料）で、3か所のアクセス権を1画面に並べ、ExcelやCSVに保存できます。