第四回では移行の順序を決めました。取引データより先にマスターデータ、期限を設けない並行稼働ではなく終了日を宣言した並行稼働、そして成功のしるしはただひとつ、誰かが言われなくても古いファイルを開かなくなることです。データは今、新しい住まいに移りました。

それと同時に、ファイルの世界には存在しなかった問いが生まれます。誰かがその問いを無視していたからではなく、ファイルにはその問いを立てる手段がなかったからです。その問いとは、誰が何を見るのか、です。これは IT 部門にとってのセキュリティの問題ではありません。あなたにとっての業務上の問題です。その答えによって、各社員が会社について、同僚について、そしてお客様について何を知り得るかが決まるからです。

ファイルが知っている答えはひとつだけ：開いているか、閉じているか

スプレッドシートは多くの用途で優れた道具ですが、権限管理はその中に入りません。レベルはひとつだけで、たどり着いた人はすべてを見られます。ある人には表示され別の人には隠れる列もなければ、経理担当者は読めて営業担当者は読めない行もありません。ときどきファイルにかけられるパスワードでさえ、この構図を変えません。パスワードが守るのは扉であって中身ではなく、扉を越えればその奥にあるものはすべて見えてしまいます。

さらに重要なのは、コピーが増えていくことです。ある項目をひとつ確認してもらうために同僚にファイルを送ると、完全なコピーがその人のパソコンに恒久的に残ります。その人は手伝ってくれる人に転送し、ファイルはメール、チャット、USB メモリを経て、一年前に退職した社員のノートパソコンにたどり着きます。あなたは誰にも恒久的なアクセスを与えたことはありませんが、コピーがあなたに代わってそれを与えてしまい、一度外に出たら取り消す方法はありません。

誰も気づかないまま毎日さらされている三つのもの

経営者に、自社のファイルが何をさらしているかを尋ねると、たいていは売上の数字を思い浮かべます。しかし、もっと静かに行き来し、もっと重要な三つのものがあります。

  • 給与。給与ファイルは通常、経理担当者の手元のシートとして始まり、次に人事部門が必要とし、さらに銀行振込を実行する人が確認します。コピーは三つ、そのどれにも社内全員の給与が載っています。漏えいに悪意は必要ありません。通りがかった同僚が読める画面で誰かがファイルを開くだけで十分です。チームへの影響はどんな金銭的損失よりも重いものです。給与の比較は、元には戻らない形で職場の人間関係を傷つけるからです。
  • 利益率と特別価格。販売シートそのものに、たいてい原価、許容される値引き幅、大口顧客向けの特別価格が載っています。営業担当者が売るために必要なのは価格であって、原価ではありません。両方を同時に目にすると交渉での振る舞いが変わり、あなたの特別価格は、競合他社に移る最初の社員とともに市場に出回ります。
  • 顧客データ。氏名、携帯電話番号、住所、ときには身分証明書や登記書類の画像。これは会社の情報であるだけではありません。あなたを信頼して預けてくれた人々の個人データです。そして、社内の慣行ではなく法律上の義務を伴うのもこの項目です。これについては後ほど改めて触れます。

注目してほしいのは、三つのどれもが決定によってさらされたわけではないということです。営業担当者が原価を見るべきだと決めた人はいません。その列が、たまたま別の理由で必要なファイルの中にあっただけです。まさにそこが問題です。ファイルの世界では、さらされている状態が初期設定であり、例外を作るには、日々のプレッシャーの中では誰もしない意図的な努力が必要なのです。

システムが最初にもたらすのは、見栄えのよい画面ではない

システムに移行したとき、最初の本当の違いは見た目でも速さでもありません。誰が何を見るのかという問いを立てられるようになり、答えられるようになることです。実務上の違いは四つあります。

  • 権限は人ではなく役割に結びつく。営業の役割が何を見られるかを一度定義すれば、その役割に就く全員がそれを引き継ぎます。新しく入った人のために一から考え直す必要はなく、部署を異動する社員の見える範囲は、誰かがたまたま思い出したときではなく、役割とともに変わります。
  • 権限は項目単位まで細かくできる。営業担当者は、同じ行にある利益率を見ることなく、顧客レコード全体と注文履歴を見ることができます。ファイルでは不可能なことが、よく設計されたシステムでは当たり前です。
  • 誰が閲覧し誰が編集したかの記録が残る。このログは社員を監視するための道具というより、言い争いを終わらせるための道具です。ある数字が変わり、誰がいつ変えたのかと全員が尋ねるとき、システムは一秒で答えます。決着をつける根拠のないまま、問いが互いの非難に変わってしまうことはありません。これはまさに、本シリーズ第一回の四つ目のサインが述べていたことです。
  • アクセスは即座に取り消せる。社員が退職したとき、アカウントを無効にすれば、その人のアクセスはただちに、完全に終わります。一方、長年の勤務の中でその人があなたのファイルから持ち出したコピーは手元に残り、取り戻す方法も、何部あるのかを知る方法さえありません。

法的な側面：顧客データは整理整頓の問題ではない

顧客データはほかの二つとは違います。取り扱いを誤った代償は社内の気まずさではなく、法的な責任だからです。サウジデータ・人工知能庁（SDAIA）が監督する個人データ保護法は、王国内にいる個人の個人データを処理するあらゆる組織に、規模による適用除外なしに適用されます。同法は組織に対し、そのデータを保護すること、目的に必要な範囲を超えて収集しないこと、データを脅かす侵害を報告することの責任を課しています。

この義務を日々の実務と並べてみてください。数百件の顧客レコードを含むファイルがチャットアプリで三人の社員に送られ、それぞれの私用スマートフォンに自動保存されている。この状況では、データのコピーがどこに存在するのか、誰がそれにアクセスできるのか、顧客から求められたときにどう削除すればよいのかが分かりません。これと、データを一か所にまとめ、定められた権限のもとで保持するシステムとの違いは、洗練されているかどうかの問題ではありません。法令を遵守できるか、できないかの違いです。

これらの義務については個人データ保護法の実務ガイドで詳しく解説し、最もよくあるケースである、顧客データが会話の中で行き来する状況については顧客との会話と法律で取り上げました。小規模な企業向けのより広い保護の全体像については、中小企業のためのサイバーセキュリティガイドをご覧ください。

Origami の視点

スプレッドシートで回してきた会社のためにカスタムシステムを構築するとき、権限マトリクスは引き渡しの段階ではなく設計の段階に属します。理由は実務的なものです。権限は最後に付け足す設定ではなく、画面の分け方、レポートの作り方、そして機密項目が通常の項目とどこで分けられるかを形づくる判断だからです。それを後回しにすると、一部を作り直さなければ後から制限をかけられないシステムができあがります。

また、私たちはこのマトリクスを理論上のリストからではなく、その会社が今日実際に回っている役割から作り始めます。業務の現実から離れて設計された権限は仕事を止めてしまい、チームは手近で最も速い方法、たいていはデータのファイルへのエクスポートで、それを迂回するからです。そうなれば、誰も使わないシステムに費用を払ったうえで、出発点にそのまま戻ってしまいます。この考え方は、私たちがサービス全体で構築するすべてのものに通じています。仕事が実際にどう行われているかを尊重しない統制は長続きしません。

業務を止めずに権限を設定する

初回導入でよくある失敗は、厳しすぎることです。すべてを閉じて申請があれば開けるという運用にすると、チームは一週間を承認待ちで過ごし、システムの使い方を覚える前にシステムを嫌うことを覚えてしまいます。次の順序で進めれば、それを避けられます。

  • 名前ではなく役割から始める。会社に実際にある役割のリストを書き出します。経理担当、営業担当、倉庫担当、支店長などです。通常は十未満の役割で全社員をカバーでき、役割のリストは毎月変わる人のリストよりはるかに管理しやすいものです。
  • まず機密項目を明示する。給与、原価、利益率、許容値引き、顧客の本人確認書類。どの会社でも短いリストで、各項目について明確に決めれば、問題の大半は解決します。
  • 閲覧と編集を分ける。ある数字を見る必要がある人全員が、それを変更する必要があるわけではありません。編集なしの閲覧は最も安全で、業務への影響も最も少ない権限であり、ほとんどの場合それで十分です。
  • エクスポートを独立した権限にする。これはいつも忘れられます。データをファイルにエクスポートできる人は、ワンクリックで上記のすべてを迂回できてしまいます。この権限を誰が持つかを決め、すべてのエクスポートがほかの操作と同じようにログに残るようにしてください。
  • チームに変化があるたびにリストを見直す。新しい人の加入、部署間の異動、あるいは雇用関係の終了。数か月ごとの定期的な見直しで、たいてい退職者のアカウントや、すでに終わった一時的な業務の権限の残りが見つかります。

全体を貫く原則はシンプルです。各自が仕事に必要なものを見られること、そして仕事に必要なものはすべて見られること。前半はあなたを守り、後半はシステムがチームに迂回される障害物になるのを防ぎます。

次回予告

誰が何を見るのかは決まりました。残るのは、そもそも何を見るのかという問いです。次回は、毎月末に手作業で作っていたレポートを取り上げ、システムの中のレポートが、対象の月がとうに過ぎてからようやく終わる集計作業ではなく、今この瞬間を映す画面になる理由を説明します。その後、移行後の最初の三十日間と、その間によく起きる不具合を扱って本シリーズを締めくくります。

参考資料