Den komplette vejledning til sikker intern dokumentation til teams

Udført korrekt er intern dokumentation den måde, en virksomhed forbliver konsistent og sammenhængende på, efterhånden som den vokser. Udført dårligt bliver den en belastning.

Når intern dokumentation er en eftertanke, opstår der to problemer.

Det første er uorden, hvilket resulterer i forkerte versioner, glemte politikker samt onboarding-materialer, som ingen har opdateret, siden virksomheden var halvdelen af sin nuværende størrelse. Det andet er dataeksponering: følsomme data, der ligger steder, hvor de ikke burde være.

De de fleste teams administrerer det første problem (selvom de føler sig overvældet af det). Det andet problem er sværere at løse, men betydeligt mere farligt, når det ikke bliver det.

Sensitive internal data is a common breach vector across industries. Proton research shows that 39% of businesses report experiencing a cybersecurity incident caused by human error. Often, it’s just well-meaning colleagues making mistakes with sensitive files.

Her er en praktisk ramme for intern vidensstyring, som holder følsomme data sikre uden at gøre det sværere for Deres team at udføre deres arbejde.

Organisationsproblemet

Når interne dokumenter er uorganiserede, finder De hurtigt ud af det. Hovedsageligt på grund af den frustration og forvirring, det skaber i Deres virksomhed.

Lad os for eksempel sige, at der er tre versioner af medarbejderhåndbogen på Deres drev, plus onboarding-materialer, der ikke er blevet opdateret, siden virksomheden havde 10 personer på lønningslisten. Dette gør onboarding langsom og inkonsekvent og giver nye medarbejdere det forkerte indtryk af, hvordan Deres virksomhed fungerer.

Or lad os sige, at flere vigtige virksomhedspolitikker ikke ligger i en tydeligt markeret mappe, men er begravet et sted i en e-mailtråd. Lederne må gætte sig frem til politikkerne og kan ikke håndhæve dem konsekvent. Én medarbejder får ét svar, en anden får et andet svar.

Uorden kan afhjælpes med det rette system (det vender vi tilbage til om lidt). Men der er et andet problem, som De ikke kan løse med en bedre mappestruktur.

Sikkerhedsproblemet

Uanset hvor velorganiseret Deres dokumentlagerplads er, vil følsomme oplysninger blive eksponeret, hvis processerne og værktøjerne, der håndterer disse dokumenter, er mangelfulde.

Det kan være lønrammer, der er lagret i et delt Google-ark, kildekode eller API-nøgler, der er indsat i en Slack-kanal, en kundekontrakt sendt via e-mail som en vedhæftning, eller noter fra samtaler med kandidater, der indeholder personligt identificerbare oplysninger, som er blevet videresendt skødesløst og nu ligger i seks indbakker.

Når praksisser som disse, der let overses, forårsager et databrud, kæmper De ikke længere kun med frustrerede kolleger og forhindrede processer. I stedet risikerer De omdømmeskade og alvorlige økonomiske bøder.

Mange af disse data, uanset om det er medarbejderregistreringer, kundeoplysninger eller økonomiske detaljer, er personlige eller følsomme data i henhold til GDPR. Det betyder, at den, der håndterer dem, er ansvarlig for, hvordan de lagres, deles, og hvordan der fås adgang til dem. Og uheld fjerner ikke skylden.

I 2022 besvarede en HR-medarbejder hos UNIQLO en anmodning om lønoplysninger ved utilsigtet at sende en e-mail med en PDF, der indeholdt løndata for 446 medarbejdere. Det spanske datatilsyn gav UNIQLO en bøde på 270.000 €(nyt vindue). Databruddet var ikke forårsaget af hackere. Det skyldtes manglen på organisatoriske foranstaltninger omkring en rutinemæssig HR-proces.

Sådan opbygger De et internt dokumentationssystem, der løser begge problemer

Tænk på det, De bygger, som en sikker virksomhedswiki. De får brug for fire kategorier af intern dokumentation, hver med forskellige følsomhedsniveauer og adgangskrav.

Kategori 1: Referenceviden

Dette er det materiale, som enhver medarbejder selv skal kunne finde: virksomhedspolitikker, retningslinjer for brandet, vejledninger, dokumentation af værktøjer, organisationsdiagrammer. Sikring af denne kategori handler ikke om at begrænse adgang – det handler om nøjagtighed. Fokuser på versionsstyring (én aktuel version, ikke fem modstridende kopier, der flyder rundt) og et tydeligt ejerskab (én navngiven person, der er ansvarlig for at holde hvert dokument opdateret).

Kategori 2: Team- og projektviden

Dette er stedet, hvor det meste af det daglige arbejde reelt foregår: projektabonnementer, procesdokumentation, mødenoter, køreplaner, interne playbooks. Det kræver ikke adgang for hele virksomheden, så beskyt det i stedet med tilladelser på team- eller projektniveau. Ligesom referenceviden har hvert dokument brug for en navngiven ejer og en revisionskadence, ellers bliver det stille og roligt forældet.

Kategori 3: Fortrolige og regulerede data

Dette er kategorien med den højeste risiko, og den findes i alle afdelinger: økonomiske rapporter og prognoser, juridiske kontrakter, medarbejder- og kunderegistreringer, strategiske abonnementer, sikkerhedslegitimationsoplysninger. Disse kræver strengt begrænset adgang, som er begrænset til de specifikke personer eller det team, der har brug for dem. (En adgangskode er ikke nok her. De har brug for end-to-end kryptering.)

Disse typer data bør heller ikke vedhæftes e-mails, gemmes på personlige drev eller deles via links uden udløbsdato.

Proton Drive er en skylagerplads til virksomheder der håndterer denne kategori med nul-kendskab kryptering — ikke engang Proton kan læse indholdet — plus detaljerede adgangskontroller, der holder følsomme data der, hvor de skal være.

Kategori 4: Eksternt delte materialer

Nogle dokumenter er nødt til at forlade Deres interne system midlertidigt: onboarding-pakker til nyansatte, filer delt med eksterne konsulenter eller leverandører, materialer sendt til kunder under et projekt. Dette er kompliceret netop fordi, der ofte skal gives adgang, før et forhold er fuldt godkendt. Løsningen er enkel: Indstil links til at udløbe, forbered adgang frem for at give den ad hoc, og tilbagekald den i det øjeblik, der ikke længere er brug for den.

Proton Drive indstiller som standard udløbsdatoer for links, så delte materialer udløber automatisk, uden at nogen behøver at huske at tilbagekalde dem.

Valg af den rette platform til sikker intern vidensstyring

De rammer, vi har skitseret, kan bruges på enhver platform. Men ikke en hvilken som helst platform kan sikre, at rammerne håndhæver sig selv i stedet for at være afhængige af, at folk husker at følge dem.

Menneskelige fejl sniger sig uundgåeligt ind, når De forlader Dem på manuelle processer til at indstille udløbsdatoer på delte links, gennemgå adgang ved offboarding og opretholde tilladelsesniveauer, efterhånden som teamet vokser. Men med den rette platform kan Deres rammer håndhæves gennem automatisering.

Der er et andet krav til Deres platform: et design, der sætter privatlivet først. Mange platforme til almindelige forbrugere er ikke designet til at lagre følsomme oplysninger: Faktisk indsamler de som standard dokumentindhold for at fodre deres søgeindeksering og AI-funktioner.

De fleste virksomheder ville ikke drømme om at lagre kunde-data i en usikker Google Drive-mappe. Medarbejderdata fortjener samme standard. Den rette platform vil håndtere både håndhævelse og end-to-end kryptering.

Tre beslutninger, der holder Deres system kørende

En god skyplatform vil håndhæve Deres sikkerhedsrammer, men selv de bedste platforme kan ikke kontrollere og opdatere Deres dokumenter for Dem.

Uvedligeholdt dokumentation skaber to typer risici.

Der er en juridisk risiko: For eksempel kan en forældet disciplinærprocedure ugyldiggøre en sag ved en domstol.

Der er en kulturel risiko: Når officiel dokumentation ikke afspejler virkeligheden, bemærker medarbejderne det og konkluderer, at ingen har kontrollen.

Følg disse tre regler, så kan De undgå begge dele:

Hvert dokument har en navngiven ejer (ikke et team). Ansvar, der deles i et team, er et ansvar, ingen føler
Revisionsdatoer fastsættes ved oprettelsen, ikke tilføjet senere. Det er svært at forsvare et dokument ved en domstol, når det ikke er blevet revideret i tre år (eller der ikke er nogen registrering af, hvornår det sidst blev kontrolleret)
Arkiver dokumenter, slet dem ikke. Sletning af dokumenter medfører problemer, hvis De (eller en tilsynsmyndighed) nogensinde får brug for at få adgang til dem. At arkivere dem i en tydeligt mærket mappe holder Deres system rent uden at gøre dokumenterne umulige at genfinde

Intet af dette kræver en dedikeret vidensmanager. Blot tre beslutninger, der tages én gang (og tages op til overvejelse hvert kvartal).

En tjekliste for overholdelse af regler for intern HR-dokumentation

Husk: De er den dataansvarlige. Ansvaret ligger ikke hos Deres skyudbyder, det ligger hos Dem.

Ved De, hvem der har adgang til Deres mest følsomme dokumenter — økonomiske, juridiske, medarbejder- eller kundedata — og er listen opdateret?
Er følsomme dokumenter krypteret, når de lagres, og ikke kun under overførsel?
Har delte links til følsomme dokumenter udløbsdatoer?
Er der en dokumenteret proces for at tilbagekalde adgang, når nogen stopper, eller et projekt afsluttes?
Kan De fremvise et revisionsspor over, hvem der fik adgang til hvad og hvornår?
Er følsomme data lagret i en jurisdiktion med stærke love om privatlivets fred, som f.eks. Schweiz?
Har hvert dokument en navngiven ejer og en revisionsdato?
Bliver forældede dokumenter arkiveret i stedet for slettet?

Hvis De kan svare ja til alt dette, er Deres dokumentationssystem i god stand.

En sikker videnbase, som Deres medarbejdere kan have tillid til, og en platform til at levere den

Rammerne i denne vejledning giver Dem strukturen. De har brug for en platform, der håndhæver den, så de sikkerhedsstandarder, De har sat, ikke afhænger af, at mennesker husker at anvende dem.

Søg ikke længere end Proton Workspace. En sikker samarbejdssuite, bygget på end-to-end kryptering og hostet i Schweiz, en af verdens stærkeste jurisdiktioner for privatliv, giver Proton Workspace Deres team: