टीमों के लिए सिक्योर इंटरनल डॉक्यूमेंटेशन की पूरी गाइड

सही तरीके से किया गया इंटरनल डॉक्यूमेंटेशन ही वो चीज़ है जिससे कोई बिज़नेस बढ़ते वक्त में एक जैसा और सुसंगत रहता है। गलत तरीके से किया गया डॉक्यूमेंटेशन झंझट बन जाता है।

जब इंटरनल डॉक्यूमेंटेशन को बाद की सोच माना जाता है, तो दो समस्याएं पैदा होती हैं।

पहली है बेतरतीबी, जिससे गलत वर्ज़न, दबी हुई नीतियां, और ऐसे ऑनबोर्डिंग मटीरियल पैदा होते हैं जिन्हें कंपनी के आधे साइज़ पर पहुंचने के बाद से किसी ने अपडेट नहीं किया। दूसरी है डेटा उजागर होना: संवेदनशील डेटा ऐसी जगहों पे पड़ा रहता है जहां वो नहीं होना चाहिए।

ज़्यादातर टीमें पहली समस्या को संभाले हुए हैं (चाहे वो इससे बेचैन क्यों न महसूस करती हों)। दूसरी समस्या सुलझाना मुश्किल है, और अगर वो सुलझी न हो तो काफी ज़्यादा खतरनाक है।

सेंसिटिव इंटरनल डेटा हर इंडस्ट्री में लीक का एक आम ज़रिया है। Proton की रिसर्च दिखाती है कि 39% बिज़नेस ऐसी साइबर सिक्योरिटी इंसिडेंट की रिपोर्ट करते हैं जिनकी वजह इंसानी एरर होती है। अक्सर ये सिर्फ नेकनीयती सहकर्मियों की सेंसिटिव फ़ाइलों को संभालते वक्त होने वाली गलतियां होती हैं।

यहां इंटरनल नॉलेज मैनेजमेंट के लिए एक प्रैक्टिकल फ्रेमवर्क दिया गया है जो संवेदनशील डेटा को सुरक्षित रखता है, बिना आपकी टीम के लिए काम करना मुश्किल बनाए।

संगठन की समस्या

जब इंटरनल डॉक्यूमेंट्स बेतरतीब होते हैं, तो आपको जल्द ही इसका पता चल जाता है। ज़्यादातर पूरे बिज़नेस में पैदा होने वाली झुंझलाहट और उलझन की वजह से।

मान लीजिए आपकी ड्राइव में एम्प्लॉई हैंडबुक के तीन वर्ज़न हैं, साथ में ऐसे ऑनबोर्डिंग मटीरियल जो कंपनी के पेरोल पर 10 लोग होने के बाद से अपडेट नहीं हुए। इससे ऑनबोर्डिंग धीमा और बेतरतीब हो जाता है, और नए लोगों को आपके बिज़नेस के चलने के बारे में गलत समझ बनती है।

या मान लीजिए कंपनी की कई ज़रूरी नीतियां किसी साफ तौर पर मार्क किए हुए फोल्डर में नहीं, बल्कि किसी ईमेल थ्रेड में दबी पड़ी हैं। मैनेजरों को नीतियों के बारे में अंदाज़े से काम चलाना पड़ता है और वो उन्हें एक जैसे तौर पर लागू नहीं कर पाते। एक एम्प्लॉई को एक जवाब मिलता है, दूसरे को कोई और।

बेतरतीबी सही सिस्टम से ठीक हो सकती है (इसके बारे में हम थोड़ी देर में बात करेंगे)। लेकिन एक दूसरी समस्या है जिसे बेहतर फोल्डर स्ट्रक्चर से हल नहीं किया जा सकता।

सिक्योरिटी की समस्या

आपका डॉक्यूमेंट स्टोरेज चाहे कितना भी सुव्यवस्थित हो, अगर उन डॉक्यूमेंट्स से जुड़ी प्रोसेस और टूल खराब हैं, तो संवेदनशील जानकारी उजागर हो जाएगी।

ये सैलरी बैंड हो सकते हैं जो किसी शेयर की हुई Google Sheet में स्टोर किए हैं, सोर्स कोड या एपीआई की चाबियां जो किसी Slack चैनल में पेस्ट की हैं, कोई क्लाइंट कॉन्ट्रैक्ट जो अटैचमेंट के तौर पर ईमेल किया गया है, या उम्मीदवार के इंटरव्यू के नोट्स जिनमें व्यक्तिगत पहचान की जानकारी है, जो बिना सोचे-समझे फॉरवर्ड किए गए और अब छह इनबॉक्स में पड़े हैं।

जब ऐसी आसानी से नज़र अंदाज़ हो जाने वाली आदतें डेटा लीक की वजह बनती हैं, तो फिर आपका सामना झुंझलाए हुए सहयोगियों और रुके हुए प्रोसेस से नहीं होता। उसकी जगह आपके सामने होता है बदनामी का नुकसान और कड़े फाइनेंशियल जुर्माने।

इसमें से ज़्यादातर डेटा, चाहे वो एम्प्लॉई रिकॉर्ड्स हों, कस्टमर की जानकारी हो, या फाइनेंशियल जानकारी, GDPR के हिसाब से पर्सनल या संवेदनशील डेटा है। इसका मतलब है कि जो भी इसे हैंडल करता है, इसे स्टोर किए जाने, एक्सेस किए जाने और शेयर किए जाने के लिए वो ज़िम्मेदार है। और एक्सीडेंट होने से ज़िम्मेदारी हटाएं नहीं जाती।

2022 में, UNIQLO के HR स्टाफ के एक सदस्य ने पेरोल की एक रिक्वेस्ट के जवाब में गलती से ऐसा PDF ईमेल कर दिया जिसमें 446 एम्प्लॉई का सैलरी डेटा था। स्पेनिश डेटा प्रोटेक्शन अथॉरिटी ने UNIQLO पर € 2,70,000 का जुर्माना लगाया(नई विंडो)। ये लीक हैकर्स की वजह से नहीं हुआ। ये एक रूटीन HR प्रोसेस के आसपास संगठनात्मक उपायों की कमी की वजह से हुआ।

ऐसा इंटरनल डॉक्यूमेंटेशन सिस्टम कैसे बनाएं जो दोनों समस्याओं को हल करे

जो बना रहे हैं, उसे एक सिक्योर कंपनी विकी की तरह सोचें। आपको इंटरनल डॉक्यूमेंटेशन की चार कैटेगरी चाहिए होंगी, जिनमें से हर एक के संवेदनशीलता के लेवल और एक्सेस की ज़रूरतें अलग-अलग हैं।

कैटेगरी 1: रेफरेंस नॉलेज

ये वो मटीरियल है जो हर एम्प्लॉई को खुद ढूंढने में सक्षम होना चाहिए: कंपनी की नीतियां, ब्रांड गाइडलाइंस, हाउ-टू गाइड्स, टूल डॉक्यूमेंटेशन, ऑर्ग चार्ट। इस कैटेगरी को सुरक्षित रखना एक्सेस सीमित करने की बात नहीं है, बल्कि सटीकता की बात है। वर्ज़न कंट्रोल (एक अभी का वर्ज़न, न कि पांच टकराती हुई कॉपियां जो इधर-उधर घूम रही हों) और साफ ओनरशिप (हर डॉक्यूमेंट को अपडेट रखने के लिए एक नाम वाला ज़िम्मेदार व्यक्ति) पर फोकस करें।

कैटेगरी 2: टीम और प्रोजेक्ट नॉलेज

यहीं पर ज़्यादातर रोज़-रोज़ का काम सच में रहता है: प्रोजेक्ट प्लैन, प्रोसेस डॉक्यूमेंटेशन, मीटिंग नोट्स, रोडमैप, इंटरनल प्लेबुक। इसे पूरी कंपनी की एक्सेस की ज़रूरत नहीं है, तो इसे टीम-लेवल या प्रोजेक्ट-लेवल की परमिशन से प्रोटेक्ट करें। रेफरेंस नॉलेज की तरह, हर डॉक्यूमेंट को एक नाम वाला ओनर और रिव्यू का एक शेड्यूल चाहिए, वरना वो चुपचाप पुराना पड़ जाता है।

कैटेगरी 3: कॉन्फिडेंशियल और रेगुलेटेड डेटा

ये सबसे ज़्यादा रिस्क वाली कैटेगरी है, और ये हर डिपार्टमेंट में मौजूद है: फाइनेंशियल रिपोर्ट्स और फोरकास्ट, लीगल कॉन्ट्रैक्ट, एम्प्लॉई और कस्टमर रिकॉर्ड्स, स्ट्रैटेजिक प्लैन, सिक्योरिटी प्रमाण। इन्हें कड़ाई से सीमित एक्सेस चाहिए, जो सिर्फ उन खास लोगों या टीम तक हो जिन्हें इनकी ज़रूरत है। (यहां सिर्फ पासवर्ड काफी नहीं। आपको शुरु-से-अंत तक एन्क्रिप्शन चाहिए।)

इस तरह के डेटा को ईमेल से अटैच भी नहीं करना चाहिए, पर्सनल ड्राइव में सेव नहीं करना चाहिए, या ऐसे लिंक से शेयर नहीं करना चाहिए जिन पर समय खत्म होने की तारीख नहीं है।

Proton Drive एक बिज़नेस क्लाउड स्टोरेज है जो इस कैटेगरी को ज़ीरो-नॉलेज एन्क्रिप्शन के साथ हैंडल करता है, यानी Proton भी कंटेंट पढ़ नहीं सकता, साथ में ग्रैन्युलर एक्सेस कंट्रोल जो संवेदनशील डेटा को वहीं रखते हैं जहां वो रहना चाहिए।

कैटेगरी 4: बाहर शेयर किए हुए मटीरियल

कुछ डॉक्यूमेंट्स को आपके इंटरनल सिस्टम से अस्थायी तौर पर बाहर जाना पड़ता है: नए लोगों के लिए ऑनबोर्डिंग पैक, कॉन्ट्रैक्टर्स या वेंडर्स के साथ शेयर की गई फ़ाइलें, प्रोजेक्ट के दौरान क्लाइंट्स को भेजे गए मटीरियल। ये इसलिए नाज़ुक है क्योंकि अक्सर एक्सेस ऐसे वक्त पर देना पड़ता है जब रिलेशनशिप पूरी तरह जांची-परखी नहीं होती। इसका हल सीधा है: लिंक का समय खत्म होने के लिए सेट करें, एक्सेस को ऐड हॉक देने की बजाय पहले से तैयार रखें, और जिस पल ज़रूरत खत्म हो जाए, उसे वापस लें।

Proton Drive डिफॉल्ट तौर पर लिंक के लिए समय खत्म होने की तारीख सेट करता है, तो शेयर किए हुए मटीरियल का समय अपने-आप खत्म हो जाता है, बिना किसी को याद रखने की ज़रूरत के कि उन्हें वापस लेना है।

सिक्योर इंटरनल नॉलेज मैनेजमेंट के लिए सही प्लैटफॉर्म चुनना

हमने जो फ्रेमवर्क बताया है, वो किसी भी प्लैटफॉर्म पर इस्तेमाल हो सकता है। लेकिन कोई भी प्लैटफॉर्म ये नहीं सुनिश्चित कर सकता कि फ्रेमवर्क खुद लागू हो, बजाय इस पर निर्भर रहने के कि लोग उसका पालन करना याद रखें।

जब आप शेयर किए हुए लिंक पर समय खत्म होने की तारीख सेट करने, ऑफबोर्डिंग के वक्त एक्सेस का रिव्यू करने, और टीम बढ़ने के साथ परमिशन टियर बनाए रखने के लिए मैन्युअल प्रोसेस पर भरोसा करते हैं, तो इंसानी एरर आना तय है। लेकिन सही प्लैटफॉर्म के साथ, आपका फ्रेमवर्क ऑटोमेशन के ज़रिए लागू हो सकता है।

आपके प्लैटफॉर्म के लिए एक दूसरी ज़रूरत है: प्राइवेसी-फर्स्ट डिज़ाइन। कई कंज्यूमर-ग्रेड प्लैटफॉर्म संवेदनशील जानकारी स्टोर करने के लिए डिज़ाइन नहीं किए होते: दरअसल, डिफॉल्ट तौर पर वो अपनी खोज इंडेक्सिंग और AI की खासियतों में डालने के लिए डॉक्यूमेंट का कंटेंट इकट्ठा करते हैं।

ज़्यादातर कंपनियां कस्टमर डेटा को बिना सुरक्षा वाले Google Drive फोल्डर में स्टोर करने के बारे में सोच भी नहीं सकतीं। एम्प्लॉई डेटा को वही स्टैंडर्ड मिलना चाहिए। सही प्लैटफॉर्म एनफोर्समेंट और शुरु-से-अंत तक एन्क्रिप्शन दोनों को हैंडल करेगा।

तीन फैसले जो आपका सिस्टम चालू रखेंगे

एक अच्छा क्लाउड प्लैटफॉर्म आपका सिक्योरिटी फ्रेमवर्क लागू करेगा, लेकिन सबसे अच्छे प्लैटफॉर्म भी आपके लिए डॉक्यूमेंट्स चेक और अपडेट करें नहीं सकते।

बिना देखभाल वाला डॉक्यूमेंटेशन दो तरह का रिस्क पैदा करता है।

लीगल रिस्क है: मसलन, पुरानी हो चुकी डिसिप्लिनरी प्रोसीजर किसी ट्रिब्यूनल केस को अमान्य कर सकती है।

कल्चरल रिस्क है: जब ऑफिशियल डॉक्यूमेंटेशन हकीकत को दर्शाता नहीं, तो एम्प्लॉई इसे नोटिस करते हैं, और नतीजा निकालते हैं कि किसी के काबू में कुछ नहीं है।

ये तीन नियम फॉलो करें और आप दोनों से बच सकते हैं:

हर डॉक्यूमेंट का एक नाम वाला ओनर होता है (टीम नहीं)। टीम में शेयर की गई ज़िम्मेदारी वो ज़िम्मेदारी है जो किसी को महसूस नहीं होती
रिव्यू की तारीखें बनाते वक्त सेट होती हैं, बाद में नहीं जोड़ी जातीं। किसी डॉक्यूमेंट को ट्रिब्यूनल में बचाना मुश्किल है जब वो तीन साल से रिव्यू नहीं हुआ हो (या उसके आखिरी बार चेक होने का कोई रिकॉर्ड न हो)
डॉक्यूमेंट्स को संग्रह में रखें, उन्हें मिटा दें नहीं। डॉक्यूमेंट्स मिटाना मुसीबत बुलाता है अगर आपको (या किसी रेगुलेटर को) कभी उन्हें एक्सेस करें की ज़रूरत पड़े। उन्हें साफ तौर पर लेबल किए हुए फोल्डर में संग्रहित करने से आपका सिस्टम साफ रहता है, बिना डॉक्यूमेंट्स को वापस पाने से बाहर किए।

इनमें से किसी चीज़ के लिए एक समर्पित नॉलेज मैनेजर की ज़रूरत नहीं। बस तीन फैसले, एक बार किए हुए (और हर तिमाही दोबारा देखे हुए)।

इंटरनल HR डॉक्यूमेंटेशन के लिए एक कंप्लायंस चेकलिस्ट

याद रखें: डेटा कंट्रोलर आप हैं। ज़िम्मेदारी आपके क्लाउड प्रोवाइडर की नहीं, आपकी है।

क्या आपको पता है कि आपके सबसे संवेदनशील डॉक्यूमेंट्स — फाइनेंशियल, लीगल, एम्प्लॉई, या कस्टमर डेटा — तक किसकी एक्सेस है, और क्या वो लिस्ट अभी की है?
क्या संवेदनशील डॉक्यूमेंट्स रेस्ट में एन्क्रिप्ट किए हैं, सिर्फ ट्रांजिट में ही नहीं?
क्या संवेदनशील डॉक्यूमेंट्स के शेयर किए हुए लिंक की समय खत्म होने की तारीख है?
क्या एक्सेस वापस लेने के लिए कोई डॉक्यूमेंटेड प्रोसेस है, जब कोई कंपनी छोड़ता है या कोई प्रोजेक्ट खत्म होता है?
क्या आप किसके द्वारा कब क्या एक्सेस किया गया, इसका एक ऑडिट ट्रेल दे सकते हैं?
क्या संवेदनशील डेटा ऐसे क्षेत्राधिकार में स्टोर किया है जहां मजबूत निजता कानून हैं, जैसे स्विट्ज़रलैंड?
क्या हर डॉक्यूमेंट का एक नाम वाला ओनर और एक रिव्यू की तारीख है?
क्या पुराने पड़ चुके डॉक्यूमेंट्स को मिटा दें की बजाय संग्रह में रखा जाता है?

अगर आप इन सबका जवाब हां में दे सकते हैं, तो आपका डॉक्यूमेंटेशन सिस्टम अच्छे आकार में है।

एक सिक्योर ज्ञान-जगह जिस पर आपके एम्प्लॉई भरोसा कर सकें, और उसे देने वाला एक प्लैटफॉर्म

इस गाइड का फ्रेमवर्क आपको स्ट्रक्चर देता है। आपको ऐसे प्लैटफॉर्म की ज़रूरत है जो उसे लागू करे, ताकि आपके सेट किए हुए सिक्योरिटी स्टैंडर्ड इंसानों के उन्हें लागू करना याद रखने पर निर्भर न हों।

Proton Workspace को अपनाएं। सिक्योर कोलैबोरेशन का एक सूट, जो शुरु-से-अंत तक एन्क्रिप्शन पर बना है और दुनिया के सबसे मजबूत निजता क्षेत्राधिकारों में से एक, स्विट्ज़रलैंड में होस्ट है, Proton Workspace आपकी टीम को देता है: