誰に何を見せ、何をさせてよいか

社内システムは、社内の業務で、限られた人が使う仕組みです。使うのは社員だけとは限らず、業務委託や派遣、顧問のように、社外の立場で社内の業務に関わる人が使うこともあります。誰に、どこまで使わせるか。本人かどうかを、どう確認するか。どの情報を守るか。社内システムを内製すると決めたら、こうしたセキュリティ上の論点も、自分たちで考えることになります。誰に何を許すかを決めるだけでなく、それを実現する仕組みを用意し、維持するところまで、自分たちで担うからです。

この記事は、実務編の4つ目の問いを扱います。作る前に考える4つの問いの、最後です。「そのデータは何で、どれを正とするか」で決めたデータを、誰にどこまで使わせるかを決め、内製する側として何を考えておく必要があるかを見ます。技術的にどう実現するかは扱いません。それは作る段階で、作る人や専門家が考える論点です。

誰が、どこまで使えるのか

誰がどの情報を参照でき、どの操作ができるか。この範囲をアクセス権限として決めます。同じ仕組みを使う人でも、立場によって、見せてよい情報と許してよい操作は違います。

たとえば勤怠管理なら、役割ごとに必要な範囲はこう変わります。

役割	必要な範囲
社員本人	自分の勤怠
上長	部下の勤怠
総務担当者	全社員の勤怠
経営者	必要な集計

全員に同じ権限を与えればよいわけではありません。誰にどこまで許すかは、作る前に自社で決めておくことです。また、画面上で項目を隠しただけでは、アクセス権限を守ったことにはなりません。権限のない人が、その情報そのものにアクセスできないようにする必要があります。決めたとおりになっているかを確かめる話は「直しながら、使い続けられるか」で扱います。

本人かどうかを、どう確認するのか

ログインしてきた人が本人かどうかを確認する仕組みを、認証といいます。アクセス権限を決めても、利用者が誰なのかを確認できなければ、意味がありません。誰でも上長を名乗れるなら、上長にだけ部下の勤怠を見せると決めた意味がないからです。

会社ですでに利用者のアカウントを管理しているなら、その仕組みを社内システムのログインにも利用できる場合があります。一方、社内システム用に別のアカウントを持てば、その分だけ管理する対象も増えます。どちらにしても、ログインの画面ができることと、認証が安全にできていることは別です。安全かどうかを自社で判断できないなら、専門家に確認します。

認証とあわせて考えなければならないのが、利用者の管理です。入社した人がシステムを使えるようにし、退職した人は使えないようにする。この管理は、仕組みを使い続ける限り必要です。作った時点で終わりではなく、誰が使えるかを保ち続ける仕事が残ります。退職した人が社内システムを開ける状態は、社外の人にアクセス権が残っている状態です。

何を守らなければならないのか

「そもそも自分たちで作るべきか」では、扱う情報が漏れたときの影響の大きさで、どの業務から始めるかを選びました。ここでは、選んだ業務が扱う情報のうち、外に出してはいけないものを名指しします。顧客の情報、従業員の情報、営業に関わる情報が代表で、線の引き方は基本編の「何を渡し、何を伏せるか」と同じ考え方です。勤怠管理なら、出退勤の記録は従業員の個人情報であり、給与計算のもとにもなる情報です。

個人情報には法令上の義務があり、健康の情報のように、とくに慎重な扱いを求められる種類もあります。だから、仕組みに持たせる情報は、業務に要る最小限にします。勤怠管理の例なら、氏名・社員番号・所属と出退勤の時刻で足り、住所や家族の情報は要りません。要る項目は会社や業務で変わりますが、要らない情報を持たせないことが、いちばん確実な守り方です。

どこまで、自分たちで責任を持てるのか

ここまでの論点のうち、誰に権限を与え、誰を利用者として登録し、どのデータを入れるかは、既製のサービスを使っていても自社の判断です。違いは、既製のサービスではアクセス権限や認証の仕組みがあらかじめ用意されていることが多いのに対し、内製では、その仕組みを用意し、設定し、維持するところまで、自社で担う範囲になることです。

インターネットから利用できるようにすると、社外からのアクセスも考えなければなりません。利用する人が社内に限られていても、公開範囲が広がれば、考えるべきセキュリティも増えます。

一般に、次のようになるほど、自社が管理しなければならない範囲は広がり、難しさも上がります。

• 利用者の管理が複雑になる
• 社外から利用できるようになる
• 社外の人にも利用させる
• 扱う情報の重要度が高くなる

裏返せば、利用者を社員に限り、社内からの利用にとどめ、扱う情報を絞るほど、自分たちで管理できる範囲に収まります。

この問いの最後にあるのは、アクセス権限、認証、利用者の管理、情報の保護まで含めて、自社で責任を持ち続けられるか、です。すべてを自社で実現しなければならない、という意味ではありません。既製のサービスや外部の専門家を使いながらで構いません。大事なのは、自社で何を判断しなければならないのか、どこから先は専門家に確認する必要があるのかを、把握しておくことです。動くものができたら、決めたことが守られた形で業務に乗せられるかを「作ったものは、業務に乗せられるか」で見ます。

自社で決めることと、作る人が確認すること

論点	自社が決めること	作る人・詳しい人が確認すること
アクセス権限	誰に、どの情報とどの操作を許すか	決めたとおりにしか使えない作りになっているか
認証と利用者の管理	誰を利用者として登録し、誰を外すか。入退社のたびに、誰がその管理を続けるか	本人確認が安全にできているか。会社のアカウントを利用できるか。利用者の追加と停止が確実にできるか
守る情報	仕組みに持たせる情報を、業務に要る最小限にする。外に出してはいけない情報はどれか	権限のない人が、その情報に届かない作りになっているか
使える範囲	社外から使えるようにするか。社外の人にも使わせるか	社外から使えるようにするときに増える対策

つまずきやすいところ

• 全員に同じ権限を与える。 最初は数人で使うので、分けるほうが面倒に見えます。けれど、立場によって必要な範囲は違い、給与につながる集計ほど、本人と決める立場の人以外には見せません。
• ログインさえあれば安全だと思う。 ログインは入口の確認で、その先に、誰が何を参照でき、どの操作ができるかのアクセス権限が要ります。
• 退職者など、利用者の管理を忘れる。 使い始めたときの利用者のままになりがちです。誰が使えるかを保つ管理は、仕組みを使い続ける限り続きます。

まとめ

社内システムを内製するなら、誰にどこまで使わせるかを決め、利用者が本人であることを確認し、扱う情報を守る必要があります。さらに、入退社など利用者の管理も、仕組みを使い続ける限り続きます。こうした管理まで自社で続けられるかを考え、自社で判断できない部分は、既製のサービスや専門家の力を使います。

ここまでが、作る前に考える4つの問いです。動くものができたら、「作ったものは、業務に乗せられるか」へ続きます。