チーム向けの安全な社内ドキュメント作成の完全ガイド

適切に作成されていれば、社内ドキュメントはビジネスが成長する過程で一貫性とコヒーレンスを維持するための手段となります。しかし、不適切に作成された場合、それはお荷物となってしまいます。

社内ドキュメントの作成が後回しになると、2つの問題が発生します。

1つ目は整理が行き届かなくなることです。その結果、誤ったバージョン、埋もれてしまったポリシー、そして会社の規模が現在の半分だった頃から誰も更新していないオンボーディング資料などが生じることになります。2つ目はデータ漏えいです。機密データが、あるべきではない場所に保管されたままになってしまいます。

ほとんどのチームは1つ目の問題を管理しています（それに圧倒されていると感じているとしても）。2つ目の問題は解決するのがより困難ですが、対処しないとかなり危険な状態になります。

Sensitive internal data is a common breach vector across industries. Proton research shows that 39% of businesses report experiencing a cybersecurity incident caused by human error. Often, it’s just well-meaning colleagues making mistakes with sensitive files.

お客様のチームの業務を妨げることなく、機密データの安全性を維持する、社内ナレッジマネジメントの実践的なフレームワークをご紹介します。

組織（整理）の問題

社内ドキュメントが整理されていないと、すぐにそれに気づくことになります。その主な原因は、社内全体で発生するフラストレーションと混乱です。

たとえば、お客様のドライブに3つのバージョンの従業員ハンドブックがあり、さらに従業員数が10人だった頃から更新されていないオンボーディング資料があるとします。これにより、オンボーディングのプロセスが遅れて一貫性がなくなり、新入社員にお客様のビジネスの運営方法について誤った印象を与えてしまいます。

あるいは、いくつかの重要な社内ポリシーが明確にマークされたフォルダーに保管されておらず、メールのスレッドのどこかに埋もれているとします。マネージャーはポリシーについて推測せざるを得なくなり、一貫して適用することができなくなります。ある従業員には1つの回答が与えられ、別の従業員には異なる回答が与えられることになります。

整理が行き届いていない状態は、適切なシステムによって解決できます（これについては後ほど詳しく説明します）。しかし、フォルダー構造を改善するだけでは解決できない2つ目の問題があります。

セキュリティの問題

どれほどドキュメントストレージが整理されていても、それらのドキュメントを扱うプロセスやツールが不足していれば、機密情報が漏えいしてしまいます。

それは、共有されたGoogle シートに保管された給与体系、Slackのチャンネルに貼り付けられたソースコードやAPIキー、メールの添付ファイルとして送信された顧客との契約書、あるいは不注意に転送されて6つの受信トレイに放置されている、個人を特定できる情報を含む採用候補者の面接メモなどかもしれません。

このような見落とされやすい慣行がデータ侵害を引き起こすと、もはやフラストレーションを抱える同僚や滞ったプロセスに対処するだけでは済まなくなります。それどころか、レピュテーションリスク（評判の失墜）や、深刻な金銭的処罰（罰金）に直面することになります。

従業員記録、顧客情報、または財務の詳細など、これらのデータの多くは、GDPRの下で個人データまたは機密データに該当します。つまり、それらを扱う人は誰でも、データがどのように保管済みとなり、アクセスされ、共有されるかについて責任を負うことになります。そして、事故であってもその責任が削除されることはありません。

2022年、ユニクロの人事担当者が給与の問い合わせへの対応として、誤って従業員446人の給与データを含むPDFをメールで送信してしまいました。スペインのデータ保護当局は、ユニクロに27万ユーロの制裁金を科しました(新しいウィンドウ)。この侵害は、ハッカーによるものではありませんでした。日常的な人事プロセスにおける組織的な対策が欠如していたことが原因でした。

両方の問題を解決する社内ドキュメントシステムを構築する方法

構築するものを、安全な社内Wikiだと考えてみてください。社内ドキュメントには4つのカテゴリが必要になり、それぞれに異なる機密レベルとアクセス要件があります。

カテゴリ1：参照用ナレッジ

これは、すべての従業員が自分で見つけられるようにすべき資料です（社内ポリシー、ブランドガイドライン、ハウツーガイド、ツールマニュアル、組織チャートなど）。このカテゴリのセキュリティを確保することは、アクセスを制限することではなく、正確性を保つことです。バージョン管理（競合する5つのコピーを散在させるのではなく、1つの最新バージョンに保つこと）と、クリアな所有権（各ドキュメントを最新の状態に維持する責任を持つ指名された1人の担当者）に重点を置いてください。

カテゴリ2：チームおよびプロジェクトのナレッジ

ここは、ほとんどの日々の業務が実際に行われる場所です（プロジェクトプラン、プロセスドキュメント、会議メモ、ロードマップ、社内プレイブックなど）。これらは会社全体でのアクセスを必要としないため、代わりにチームレベルまたはプロジェクトレベルの権限で保護します。参照用ナレッジと同様に、各ドキュメントには指名された所有者と定期的な確認スケジュールが必要であり、そうしないと、いつの間にか内容が古くなってしまいます。

カテゴリ3：機密データおよび規制対象データ

これは最もリスクの高いカテゴリであり、すべての部門に存在します（財務報告や予測、法的契約、従業員や顧客の記録、戦略プラン、セキュリティ認証情報など）。これらには、必要とする特定の個人またはチームのみに制限された、厳格なアクセス制御が必要です（ここではパスワードだけでは不十分です。エンドツーエンド暗号化が必要です）。

この種のデータは、メールに添付したり、個人用ドライブに保存したり、有効期限のないリンクを介して共有したりするべきではありません。

Proton Driveは、ゼロ知識暗号化（Protonでさえもコンテンツを既読にする［読み取る］ことはできません）と、機密データを本来あるべき場所に保管するきめ細かなアクセス制御によって、このカテゴリを管理するビジネス向けクラウドストレージです。

カテゴリ4：外部に共有された資料

一部のドキュメントは、一時的に社内システムから持ち出す必要があります（新入社員向けのオンボーディングパック、契約業者やベンダーと共有されたファイル、プロジェクト中にクライアントに送信される資料など）。関係が完全に審査される前にアクセスを許可しなければならないことが多いため、これは非常に厄介です。解決策は簡単です。リンクが有効期限切れになるよう設定し、アドホックに許可するのではなくアクセスを事前に準備しておき、不要になった瞬間にそれを失効することです。

Proton Driveは、デフォルトでリンクの有効期限を設定するため、共有された資料は、誰も失効することを覚えている必要なく、自動的に有効期限切れになります。

安全な社内ナレッジマネジメントに適したプラットフォームの選択

私たちが概説したフレームワークは、どのようなプラットフォームでも使用できます。しかし、ルールを守ることを人に頼るのではなく、システムが自動的にフレームワークを強制してくれるプラットフォームは、どのプラットフォームでもよいというわけではありません。

共有されたリンクに手動プロセスで有効期限を設定したり、オフボーディング時にアクセス権を確認したり、チームの成長に合わせて権限ティアを維持したりすることに依存していると、どうしてもヒューマンエラーが入り込んでしまいます。しかし、適切なプラットフォームを使用すれば、お客様のフレームワークを自動化によって強制することができます。

お客様のプラットフォームに対する2つ目の要件は、プライバシー優先の設計です。多くのコンシューマークラス of プラットフォームは機密情報を保存するように設計されていません。実際、デフォルトでは、検索インデックスやAI機能に供給するためにドキュメントコンテンツを収集しています。

ほとんどの企業は、セキュリティで保護されていないGoogle ドライブのフォルダーに顧客データを保管することなど考えもしないでしょう。従業員のデータも同じ基準で扱われるべきです。適切なプラットフォームは、ルールの強制とエンドツーエンド暗号化の両方を実現します。

システムを稼働させ続けるための3つの決断

優れたクラウドプラットフォームはお客様のセキュリティフレームワークを適用してくれますが、どれほど優れたプラットフォームであっても、お客様に代わってドキュメントを確認し、更新することはできません。

管理されていないドキュメントは、2つのタイプのリスクを生み出します。

1つ目は法的リスクです。たとえば、古くなった懲戒手続きにより、労働審判の事例が無効になってしまうことがあります。

2つ目はカルチャー上のリスクです。公式ドキュメントが現実を反映していないと、従業員はそれに気づき、誰も管理していないのだと判断してしまいます。

以下の3つのルールに従うことで、その両方を回避できます：

すべてのドキュメントに指名された所有者を設定する（チームではなく）。チーム全体で共有された責任は、誰も自分の責任だと感じない責任になってしまいます。
確認日は後から追加するのではなく、作成時に設定する。3年間も確認されていない（または最後に確認されたのがいつであるかの記録がない）ドキュメントを、労働審判で弁護することは困難です。
ドキュメントは削除するのではなく、アーカイブする。ドキュメントを削除すると、お客様（または規制当局）がそれらにアクセスする必要が生じた場合にトラブルを招くことになります。明確にラベル付けされたフォルダーにそれらをアーカイブすることで、ドキュメントを回収不能にすることなく、システムをクリーンに保つことができます。

これらのいずれも、専任의ナレッジマネージャーを必要とはしません。一度決定を下し、四半期ごとに見直すという、わずか3つの決断を実行するだけです。