社内ツールの権限設定、顧客情報が全社員に見えていませんか—3つの典型パターンと棚卸しの手順

社内ツールを作るとき、権限設定は後回しになる。動作確認のときに権限で弾かれると面倒なので、いったん全員が見られる状態にする。動いた。配る。——この「いったん」が、そのまま運用に入る。情報が見えていても誰の業務も止まらないので、指摘する人が現れない。この記事では、実際によくある3パターンと、非エンジニアでもできる棚卸しの手順を整理する。

典型パターン1｜認証をかけていない

ログイン画面がないツール。URLを開けば誰でも中身が見える。作った側は「社内の人しかURLを知らない」と考えているが、URLは簡単に共有される。チャットに貼る、メールに転送する、資料に載せる。一度外に出れば、取り消す手段はない。

さらに、公開されたURLは検索エンジンに拾われることがある。社内向けのつもりのページが検索結果に出てくる事故は、実際に起きている。

判定方法：ログアウトした状態、あるいはシークレットウィンドウでURLを開いてみる。中身が見えたら認証はかかっていない。これは誰でも1分でできる。

典型パターン2｜共有リンクの範囲が広い

スプレッドシートやクラウドストレージを使ったツールで多い。「リンクを知っている全員」に設定すると、共有が楽なので選ばれやすい。

この設定の問題は、誰がアクセスしたか記録が残らず、後から範囲を確認できないこと。誰に渡ったか分からないまま、退職者の手元にもリンクが残る。

扱う情報が顧客情報・個人情報・取引条件のいずれかを含むなら、リンク共有ではなくアカウント単位の権限付与に変える。手間は増えるが、誰が見られるかを一覧で確認できるようになる。

典型パターン3｜管理者権限を配りすぎている

「編集できないと不便だろう」という配慮で、全員に編集権限や管理者権限を渡してしまうケース。閲覧だけで足りる人にも編集権限があると、次の問題が起きる。

• 誤操作でデータが消える。しかも誰が消したか分からない
• 権限設定そのものを変更できてしまう。管理していたつもりの状態が崩れる
• 退職時に外す対象が増え、外し忘れる

原則は「その人の業務に必要な最小限」。閲覧だけで仕事が回る人には閲覧権限だけを渡す。

なぜ発覚しないのか

権限が緩いことによる不具合は起きない。むしろ緩いほど快適に動く。だから使っている人からは何の報告も上がらない。

発覚するのは、たいてい次のいずれかのタイミングだ。

• 退職者が情報を持ち出したことが分かったとき
• 本来知らないはずの情報が社内で話題になったとき
• 取引先や監査で「アクセス管理はどうなっていますか」と聞かれたとき

いずれも、問題が起きてから発覚している。事前に見つけるには、探しに行くしかない。

棚卸しの手順（3ステップ）

ステップ1｜動いているツールを並べる

まず一覧を作る。ツール名、作った人、何をするもの、扱う情報、この4列で十分。ここで「そんなの動いてたのか」というものが出てくることが多い。

ステップ2｜それぞれ誰が見られるかを出す

各ツールの管理画面で共有設定・メンバー一覧を開き、そのまま書き出す。技術知識は要らない。見るのは3点。

• 認証がかかっているか（かかっていなければ「全世界」と書く）
• 共有範囲は「リンクを知っている人」か「指定したアカウント」か
• 編集・管理者権限を持っている人は誰か

ステップ3｜業務上不要な人を外す

一覧を見ながら「この人はこれを見る必要があるか」を1行ずつ判断する。迷ったら外す。必要なら本人から申請が来るので、それから戻せばいい。

あわせて、退職・異動時に権限を外す手順を決めておく。誰が外すのか、どのタイミングで、どのツールを確認するのか。この3つが決まっていないと、実際には外されない。ステップ1で作った一覧が、そのままチェックリストになる。

まとめ

権限の問題は、技術的には難しくない。管理画面を開いて設定を見るだけで、大半は判定できる。難しいのは「見に行こう」と決めることのほうだ。不具合として現れない以上、意識的に棚卸しの時間を取らないと永遠に手が付かない。まずは動いているツールを紙に書き出すところから始めるといい。