Kompletny przewodnik po bezpiecznej dokumentacji wewnętrznej dla zespołów

Prowadzona prawidłowo, dokumentacja wewnętrzna pozwala firmie zachować spójność podczas rozwoju. Prowadzona źle, staje się obciążeniem.

Gdy dokumentacja wewnętrzna jest traktowana po macoszemu, pojawiają się dwa problemy.

Pierwszym jest dezorganizacja, która skutkuje błędnymi wersjami, zapomnianymi zasadami oraz materiałami do onboardingu, których nikt nie zaktualizował, odkąd firma miała połowę swojego obecnego rozmiaru. Drugim jest narażenie danych: poufne dane znajdujące się w miejscach, w których nie powinno ich być.

Większość zespołów radzi sobie z pierwszym problemem (nawet jeśli czuje się nim przytłoczona). Drugi problem jest trudniejszy do rozwiązania, ale znacznie groźniejszy, gdy pozostaje nierozwiązany.

Sensitive internal data is a common breach vector across industries. Proton research shows that 39% of businesses report experiencing a cybersecurity incident caused by human error. Often, it’s just well-meaning colleagues making mistakes with sensitive files.

Oto praktyczny schemat zarządzania wiedzą wewnętrzną, który zapewnia bezpieczeństwo poufnych danych, nie utrudniając pracy Twojemu zespołowi.

Problem z organizacją

Gdy w dokumentach wewnętrznych panuje chaos, szybko się o tym dowiesz. Głównie z powodu frustracji i zamieszania, jakie wywołuje to w Twojej firmie.

Załóżmy na przykład, że na Twoim dysku znajdują się trzy wersje podręcznika dla pracowników oraz materiały do onboardingu, które nie były zaktualizowane, odkąd firma zatrudniała 10 osób. Sprawia to, że wdrożenie nowych pracowników jest powolne i niespójne, a nowo zatrudnionym daje błędne wyobrażenie o funkcjonowaniu Twojej firmy.

Załóżmy też, że kilka ważnych zasad firmy nie znajduje się w wyraźnie oznaczonym folderze, ale jest ukrytych gdzieś w wątku wiadomości. Menedżerowie muszą zgadywać, jakie obowiązują zasady, i nie mogą ich konsekwentnie egzekwować. Jeden pracownik otrzymuje jedną odpowiedź, a inny zupełnie inną.

Brak organizacji można naprawić za pomocą odpowiedniego systemu (wrócimy do tego za chwilę). Istnieje jednak drugi problem, którego nie da się rozwiązać za pomocą lepszej struktury folderów.

Problem z bezpieczeństwem

Niezależnie od tego, jak dobrze zorganizowana jest Twoja przestrzeń dyskowa na dokumenty, jeśli brakuje odpowiednich procesów i narzędzi do ich obsługi, poufne informacje zostaną ujawnione.

Mogą to być przedziały wynagrodzeń przechowywane w udostępnionym Arkuszu Google, kod źródłowy lub klucze interfejsu API wklejone na kanale Slack, umowa z klientem wysłana w wiadomości jako załącznik lub notatki z rozmów kwalifikacyjnych zawierające dane osobowe, niedbale przekazane dalej i zalegające w sześciu skrzynkach odbiorczych.

Gdy tak łatwo ignorowane praktyki doprowadzą do naruszenia ochrony danych, nie będziesz już tylko zmagać się ze sfrustrowanymi współpracownikami i zablokowanymi procesami. Zamiast tego musisz liczyć się ze stratami wizerunkowymi i surowymi karami finansowymi.

Większość tych danych — czy to akta pracowników, informacje o klientach czy szczegóły finansowe — to dane osobowe lub wrażliwe podlegające przepisom GDPR. Oznacza to, że każdy, kto nimi zarządza, jest odpowiedzialny za to, jak są przechowywane, udostępniane i jak uzyskiwany jest do nich dostęp. A przypadkowe zdarzenia nie usuwają odpowiedzialności.

W 2022 roku pracownik działu HR firmy UNIQLO odpowiedział na prośbę o listę płac, przypadkowo wysyłając w wiadomości plik PDF zawierający dane o wynagrodzeniach 446 pracowników. Hiszpański organ ochrony danych ukarał firmę UNIQLO grzywną w wysokości 270000 €(nowe okno). Naruszenie to nie zostało spowodowane przez hakerów. Wynikało ono z braku środków organizacyjnych wokół rutynowego procesu HR.

Jak zbudować system dokumentacji wewnętrznej, który rozwiąże oba problemy

Pomyśl o tym, co budujesz, jak o bezpiecznej firmowej wiki. Będziesz potrzebować czterech kategorii dokumentacji wewnętrznej, z których każda ma inny poziom poufności i wymagania dotyczące dostępu.

Kategoria 1: Wiedza referencyjna

Są to materiały, które każdy pracownik powinien być w stanie znaleźć samodzielnie: zasady firmy, wytyczne dotyczące marki, instrukcje, dokumentacja narzędzi, wykresy organizacyjne. Zabezpieczenie tej kategorii nie polega na ograniczaniu dostępu, ale na dokładności. Skoncentruj się na kontroli wersji (jedna aktualna wersja, a nie pięć sprzecznych kopii krążących po firmie) i jasnym podziale własności (jedna wyznaczona osoba odpowiedzialna za aktualizowanie każdego dokumentu).

Kategoria 2: Wiedza o zespołach i projektach

To tutaj toczy się większość codziennej pracy: plany projektów, dokumentacja procesów, notatki ze spotkań, harmonogramy, wewnętrzne poradniki. Nie wymaga to dostępu dla całej firmy, więc zabezpiecz te materiały uprawnieniami na poziomie zespołu lub projektu. Podobnie jak w przypadku wiedzy referencyjnej, każdy dokument potrzebuje określonego właściciela i harmonogramu przeglądów, inaczej szybko stanie się nieaktualny.

Kategoria 3: Dane poufne i regulowane

To kategoria o najwyższym ryzyku i występuje w każdym dziale: raporty i prognozy finansowe, umowy prawne, akta pracowników i klientów, plany strategiczne, dane logowania bezpieczeństwa. Wymagają one ściśle ograniczonego dostępu, wyłącznie dla konkretnych osób lub zespołów, które ich potrzebują. (Samo hasło tu nie wystarczy. Potrzebujesz szyfrowania end-to-end.)

Tego rodzaju dane nie powinny być również dołączane do wiadomości, zapisywane na dyskach osobistych ani udostępniane za pomocą linków bez daty wygaśnięcia.

Proton Drive to przestrzeń dyskowa w chmurze dla firm która obsługuje tę kategorię za pomocą szyfrowania zero-knowledge — nawet Proton nie może przeczytać tej zawartości — a także szczegółowych mechanizmów kontroli dostępu, które pozwalają zachować poufne dane tam, gdzie powinny się znajdować.

Kategoria 4: Materiały udostępniane na zewnątrz

Niektóre dokumenty muszą tymczasowo opuścić Twój system wewnętrzny: pakiety onboardingowe dla nowych pracowników, pliki udostępniane kontrahentom lub dostawcom, materiały wysyłane do klientów podczas realizacji projektu. Jest to kłopotliwe właśnie dlatego, że dostęp często musi zostać przyznany przed pełnym zweryfikowaniem relacji. Rozwiązanie jest proste: ustawiaj wygasanie linków, planuj dostęp z wyprzedzeniem zamiast przyznawać go ad hoc i unieważniaj go w momencie, gdy nie jest już potrzebny.

Proton Drive domyślnie ustala daty wygaśnięcia linków, więc udostępniane materiały wygasają automatycznie, bez konieczności pamiętania o ich unieważnieniu.

Wybór odpowiedniej platformy do bezpiecznego zarządzania wiedzą wewnętrzną

Przedstawiony przez nas schemat można wdrożyć na dowolnej platformie. Jednak nie każda platforma gwarantuje, że zasady będą egzekwowane automatycznie, zamiast polegać na pamięci pracowników.

Błąd ludzki jest nieunikniony, gdy polegasz na procesach ręcznych w celu ustawiania dat wygaśnięcia udostępnionych linków, kontrolowania dostępu podczas offboardingu i utrzymywania poziomów uprawnień w miarę rozwoju zespołu. Jednak dzięki odpowiedniej platformie Twój schemat działania może być egzekwowany automatycznie.

Istnieje drugi wymóg dotyczący Twojej platformy: projekt stawiający na prywatność. Wiele platform konsumenckich nie zostało zaprojektowanych do przechowywania poufnych informacji: w rzeczywistości domyślnie pobierają one zawartość dokumentów, aby zasilać nimi swoje mechanizmy indeksowania wyszukiwania i funkcje AI.

Większość firm nawet nie pomyślałaby o przechowywaniu danych klientów w niezabezpieczonym folderze na Dysku Google. Dane pracowników zasługują na ten sam standard. Odpowiednia platforma zapewni zarówno automatyczne egzekwowanie zasad, jak i szyfrowanie end-to-end.

Trzy decyzje, dzięki którym Twój system będzie sprawnie działać

Dobra platforma w chmurze wymusi stosowanie schematu bezpieczeństwa, ale nawet najlepsze platformy nie sprawdzą i nie zaktualizują dokumentów za Ciebie.

Niezarządzana dokumentacja niesie za sobą dwa rodzaje ryzyka.

Istnieje ryzyko prawne: przykładowo, przestarzała procedura dyscyplinarna może unieważnić sprawę przed sądem pracy.

Istnieje ryzyko kulturowe: gdy oficjalna dokumentacja nie odzwierciedla rzeczywistości, pracownicy to zauważają i dochodzą do wniosku, że nikt nad niczym nie panuje.

Przestrzegaj tych trzech zasad, aby uniknąć obu tych problemów:

Każdy dokument ma przypisanego właściciela (nie zespół). Odpowiedzialność podzielona na cały zespół to odpowiedzialność, której nikt nie czuje.
Daty przeglądu są ustalane w momencie tworzenia, a nie dodawane później. Trudno obronić dokument przed sądem pracy, jeśli nie był on przeglądany od trzech lat (lub nie ma śladu, kiedy był ostatnio sprawdzany).
Archiwizuj dokumenty, zamiast je usuwać. Usuwanie dokumentów oznacza kłopoty, jeśli Ty (lub organ regulacyjny) kiedykolwiek będziecie musieli uzyskać do nich dostęp. Archiwizowanie ich w jasny sposób w oznaczonym folderze pozwala utrzymać porządek w systemie, nie uniemożliwiając odzyskania dokumentów.

Nic z tego nie wymaga dedykowanego menedżera wiedzy. Wystarczą three decyzje podjęte raz (i weryfikowane co kwartał).

Lista kontrolna zgodności dla wewnętrznej dokumentacji HR

Pamiętaj: to Ty jesteś administratorem danych. Odpowiedzialność nie spoczywa na dostawcy usług chmurowych, ale na Tobie.

Czy wiesz, kto ma dostęp do Twoich najbardziej poufnych dokumentów — danych finansowych, prawnych, pracowniczych lub danych klientów — i czy ta lista jest aktualna?
Czy poufne dokumenty są zaszyfrowane w spoczynku, a nie tylko podczas przesyłania?
Czy udostępnione linki do poufnych dokumentów mają daty wygaśnięcia?
Czy istnieje udokumentowany proces unieważniania dostępu, gdy ktoś odchodzi z firmy lub projekt się kończy?
Czy jesteś w stanie przedstawić ścieżkę audytu pokazującą, kto, do czego i kiedy uzyskał dostęp?
Czy poufne dane są przechowywane w jurysdykcji o silnych przepisach dotyczących prywatności, takiej jak Szwajcaria?
Czy każdy dokument ma przypisanego właściciela i datę przeglądu?
Czy zastąpione dokumenty są archiwizowane, a nie usuwane?

Jeśli na wszystkie te pytania możesz odpowiedzieć twierdząco, Twój system dokumentacji jest w dobrym stanie.

Bezpieczna baza wiedzy, której Twoi pracownicy mogą zaufać, oraz platforma do jej obsługi

Schemat opisany w tym przewodniku zapewnia strukturę. Potrzebujesz platformy, która będzie go egzekwować, aby ustalone przez Ciebie standardy bezpieczeństwa nie zależały od tego, czy pracownicy będą pamiętać o ich stosowaniu.

Nie musisz szukać dalej — oto Proton Workspace. Ten bezpieczny pakiet do współpracy, oparty na szyfrowaniu end-to-end i hostowany w Szwajcarii, jednej z jurysdykcji o najbardziej rygorystycznych przepisach dotyczących prywatności na świecie, zapewnia Twojemu zespołowi: