Den guiden till säker intern dokumentation för team

Rätt utförd är intern dokumentation hur ett företag förblir konsekvent och sammanhängande när det växer. Felaktigt utförd blir den en belastning.

När intern dokumentation blir en efterhandskonstruktion leder det till två problem.

Det första är oorganisering, vilket resulterar i felaktiga versioner, dolda policyer, onboarding-material som ingen har uppdaterat sedan företaget var hälften av sin nuvarande storlek. Det andra är dataexponering: känsliga data som ligger på platser där de inte borde vara.

De flesta team hanterar det första problemet (även om de känner sig överväldigade av det). Det andra problemet är svårare att lösa, men betydligt farligare när det inte görs.

Sensitive internal data is a common breach vector across industries. Proton research shows that 39% of businesses report experiencing a cybersecurity incident caused by human error. Often, it’s just well-meaning colleagues making mistakes with sensitive files.

Här är ett praktiskt ramverk för intern kunskapshantering som håller känsliga data säkra utan att göra det svårare för ditt team att utföra sina jobb.

Organisationsproblemet

När interna dokument är oorganiserade märker du det snart. Främst på grund av den frustration och förvirring det skapar i din verksamhet.

Låt oss till exempel säga att det finns tre versioner av personalhandboken i din drive, plus onboarding-material som inte har uppdaterats sedan företaget hade 10 personer på lönelistan. Detta gör onboardingen långsam och inkonsekvent, och ger nyanställda fel intryck av hur din verksamhet fungerar.

Eller låt oss säga att flera viktiga företagspolicyer inte ligger i en tydligt markerad mapp, utan är begravda någonstans i en e-posttråd. Chefer lämnas att gissa sig till policyer och kan inte upprätthålla dem konsekvent. En anställd får ett svar, en annan får ett annat.

Oorganisering går att åtgärda med rätt system (vi återkommer till det inom kort). Men det finns ett andra problem som du inte kan lösa med en bättre mappstruktur.

Säkerhetsproblemet

Hur välorganiserat ditt dokumentlagringsutrymme än är, om processerna och verktygen som hanterar dessa dokument brister, kommer känslig information att exponeras.

Det kan handla om lönespann lagrade i ett delat Google-kalkylblad, källkod eller API-nycklar inklistrade i en Slack-kanal, ett kundkontrakt skickat som en e-postbilaga, eller intervjuanteckningar för kandidater som innehåller personligt identifierbar information, som slarvigt vidarebefordrats och nu ligger i sex inkorgar.

När metoder som dessa, som lätt kan förbises, orsakar ett dataintrång, kämpar du inte längre bara med frustrerade kollegor och hindrade processer. Istället riskerar du anseendeskada och allvarliga ekonomiska sanktioner.

Mycket av dessa data, oavsett om det är personalregister, kundinformation eller ekonomiska detaljer, är personuppgifter eller känsliga uppgifter enligt GDPR. Det innebär att den som hanterar dem ansvarar för hur de lagras, hur man får åtkomst till dem och hur de delas. Och olyckshändelser tar inte bort ansvaret.

År 2022 svarade en HR-medarbetare på UNIQLO på en löneförfrågan genom att av misstag skicka en PDF via e-post som innehöll lönedata för 446 anställda. Den spanska dataskyddsmyndigheten bötfällde UNIQLO med 270000 euro(nytt fönster). Intrånget orsakades inte av hackare. Det orsakades av avsaknaden av organisatoriska åtgärder kring en rutinmässig HR-process.

Så bygger du ett internt dokumentationssystem som löser båda problemen

Tänk på det du bygger som ett säkert företags-wiki. Du kommer att behöva fyra kategorier av intern dokumentation, var och en med olika känslighetsnivåer och åtkomstkrav.

Kategori 1: Referenskunskap

Detta är material som varje anställd ska kunna hitta på egen hand: företagspolicyer, varumärkesriktlinjer, instruktioner, verktygsdokumentation, organisationsdiagram. Att säkra denna kategori handlar inte om att begränsa vem som kan få åtkomst till den – det handlar om noggrannhet. Fokusera på versionskontroll (en aktuell version, inte fem motstridiga kopior som flyter runt) och ett tydligt ägarskap (en namngiven person som ansvarar för att hålla varje dokument uppdaterat).

Kategori 2: Team- och projektkunskap

Det är här det mesta av det dagliga arbetet faktiskt sker: projektplaner, processdokumentation, mötesanteckningar, färdplaner, interna spelböcker. Hela företaget behöver inte få åtkomst till detta, så skydda det med behörigheter på team- eller projektnivå istället. Precis som med referenskunskap behöver varje dokument en namngiven ägare och en granskningscykel, annars blir det tyst inaktuellt.

Kategori 3: Konfidentiella och reglerade data

Detta är den mest riskfyllda kategorin och den finns på varje avdelning: finansiella rapporter och prognoser, juridiska kontrakt, medarbetar- och kundregister, strategiska planer, inloggningsuppgifter för säkerhet. Dessa kräver strikt begränsad åtkomst, begränsad till de specifika personer eller team som behöver dem. (Ett lösenord räcker inte här. Du behöver end-to-end-kryptering.)

Denna typ av data bör inte heller bifogas i e-post, sparas på personliga drivar eller delas via länkar utan utgångsdatum.

Proton Drive är ett molnlagringsutrymme för företag som hanterar denna kategori med zero-knowledge- kryptering – inte ens Proton kan läsa innehållet – plus detaljerade åtkomstkontroller som håller känsliga data där de ska vara.

Kategori 4: Externt delat material

Vissa dokument måste tillfälligt lämna ditt interna system: onboarding-paket för nyanställda, filer som delas med entreprenörer eller leverantörer, material som skickas till kunder under ett projekt. Detta är knepigt just för att åtkomst ofta måste beviljas innan en relation har utvärderats fullt ut. Lösningen är enkel: ställ in länkar att löpa ut, förbered åtkomst i förväg snarare än att bevilja den ad hoc, och återkalla den i samma ögonblick som den inte längre behövs.

Proton Drive ställer in utgångsdatum för länkar som standard, så att delat material löper ut automatiskt utan att någon behöver komma ihåg att återkalla dem.

Att välja rätt plattform för säker intern kunskapshantering

Det ramverk vi har beskrivit kan användas på vilken plattform som helst. Men det är inte vilken plattform som helst som kan säkerställa att ramverket upprätthåller sig självt istället för att förlita sig på att människor kommer ihåg att följa det.

Mänskliga fel smyger sig oundvikligen in när du förlitar dig på manuella processer för att ställa in utgångsdatum på delade länkar, granska vem som kan få åtkomst till uppgifter vid offboarding och upprätthålla behörighetsnivåer när teamet växer. Men med rätt plattform kan ditt ramverk upprätthållas genom automatisering.

Det finns ett andra krav på din plattform: en design med integritet i första rummet. Många plattformar för konsumenter är inte utformade för att lagra känslig information: faktum är att de som standard samlar in dokumentinnehåll för att mata sina sökindexeringar och AI-funktioner.

De flesta företag skulle inte drömma om att lagra kunddata i en osäkrad Google Drive-mapp. Personaldata förtjänar samma standard. Rätt plattform kommer att hantera både efterlevnad och end-to-end-kryptering.

Tre beslut som håller ditt system igång

En bra molnplattform kommer att upprätthålla ditt säkerhetsramverk, men även de bästa plattformarna kan inte kontrollera och uppdatera dina dokument åt dig.

Ounderhållen dokumentation skapar två typer av risker.

Det finns en juridisk risk: ett föråldrat disciplinförfarande kan till exempel ogiltigförklara ett domstolsärende.

Det finns en kulturell risk: när officiell dokumentation inte återspeglar verkligheten märker de anställda det och drar slutsatsen att ingen har kontroll.

Följ dessa tre regler så kan du undvika båda:

Varje dokument har en namngiven ägare (inte ett team). Ett ansvar som delas inom ett team är ett ansvar som ingen känner
Granskningsdatum fastställs vid skapandet, läggs inte till senare. Det är svårt att försvara ett dokument i en domstol när det inte har granskats på tre år (eller om det inte finns något register över när det senast kontrollerades)
Arkivera dokument, ta inte bort dem. Att ta bort dokument innebär problem om du (eller en tillsynsmyndighet) någonsin behöver få åtkomst till dem. Att arkivera dem i en tydligt märkt mapp håller ditt system rent utan att göra dokumenten oåtkomliga

Inget av detta kräver en dedikerad kunskapsansvarig. Bara tre beslut, fattade en gång (och ses över varje kvartal).

En checklista för efterlevnad av intern HR-dokumentation

Kom ihåg: du är personuppgiftsansvarig. Ansvaret ligger inte hos din molnleverantör, det ligger på dig.

Vet du vem som kan få åtkomst till dina mest känsliga dokument – finansiella data, juridiska data, medarbetar- eller kunddata – och är listan aktuell?
Är känsliga dokument krypterade i vila, inte bara under överföring?
Har delade länkar till känsliga dokument utgångsdatum?
Finns det en dokumenterad process för att återkalla åtkomst när någon slutar eller ett projekt avslutas?
Kan du skapa ett granskningsspår över vem som fick åtkomst till vad och när?
Lagras känsliga data i en jurisdiktion med starka integritetslagar, som Schweiz?
Har varje dokument en namngiven ägare och ett granskningsdatum?
Arkiveras ersatta dokument istället för att tas bort?

Om du kan svara ja på alla dessa är ditt dokumentationssystem i gott skick.

En säker kunskapsbas som dina anställda kan lita på, och en plattform för att leverera den

Ramverket i den här guiden ger dig strukturen. Du behöver en plattform som upprätthåller den, så att de säkerhetsstandarder du har angett inte beror på att människor kommer ihåg att tillämpa dem.

Sök inte längre än Proton Workspace. En säker samarbetssvit, byggd på end-to-end-kryptering och med värd i Schweiz, en av världens starkaste integritetsjurisdiktioner, ger Proton Workspace ditt team: