社外の人に情報をどこまで渡すか。範囲を決めてから始める

外部の方に作業を頼むため、共有の置き場所へ招待しました。作業に必要なフォルダだけのつもりでした。

後で見ると、権限が全体に及んでいました。取引先の名簿も見える状態です。相手が何かをしたわけではありません。こちらの設定が雑だっただけです。どこまで渡してよいのかが分かりません。

渡さないと仕事にならず、渡しすぎると戻せない

一度見られた情報は、取り消せません。

起きるのは、必要以上の情報が見える、どこまで見たか分からない、終了後も権限が残る、取引先への説明ができない、持ち出されても気づけない、といったことです。

権限を後から絞っても、すでに見られた分は戻りません。「今日から見えなくしました」という対応では、何も解決していません。

どこまで見たかも分かりません。記録が残る仕組みであっても、通常は誰も見ていません。

終了後も権限が残るのは、非常によくある抜けです。契約が終わり、連絡も途絶えたのに、共有の設定だけが数年残っている。この状態は、こちらが把握していないだけで、相手からは見え続けています。

取引先への説明ができないのも重い問題です。取引先の情報を外部の人に見せていたと分かれば、こちらの管理体制が問われます。

渡す範囲を先に決めてから、招待してください。招待してから絞るのでは遅すぎます。 順序の問題です。決めるのに三十分、招待するのに三分。逆にすると、取り返しがつきません。

渡す範囲を決める

作業に必要な最小限から始めます。

決めるのは、作業に直接必要な情報、参考として要るもの、渡さないと決めるもの、加工して渡せるもの、追加で必要になった場合の手順です。

作業に直接必要な情報と、参考として要るものを分けます。参考のほうは、なくても作業は進みます。まずは直接必要な分だけを渡し、足りなければ足します。

渡さないと決めるものも、明確にします。個人情報、取引条件、原価。これらは、作業に必要でない限り渡しません。

個人情報と取引条件は、加工して渡せないか先に考えてください。そのまま渡す必要がない場合が、多くあります。 集計や分析が目的なら、名前を伏せた形で足ります。単価の傾向を見るだけなら、取引先の名前は不要です。加工の手間はかかりますが、一度作れば以後は同じ形で渡せます。

追加で必要になった場合の手順も決めます。作業を進めるうちに、追加の情報が要ることは必ずあります。そのたびに全体の権限を開けるのではなく、必要な分を足す手順にします。

範囲を決める作業は、依頼する内容を整理する作業でもあります。何が必要かを考えることで、依頼そのものが明確になります。

範囲を決めたら、次はその範囲へ外からどう届けるかです。VODにも！業界最速、安全・匿名VPNサービス【ExpressVPN】 を間に挟めば、相手が自宅や外出先のネットワークから作業しても、通信の中身までは読まれません。

権限の付け方

「見られる」と「変えられる」は、分けます。

設計するのは、閲覧だけか編集もできるか、対象を作業のフォルダだけに限ること、期限、共有の相手の一覧、定期的な見直しです。

閲覧だけで足りる場面は多くあります。参照するための資料であれば、編集の権限は不要です。誤って消される事故も防げます。

対象を作業のフォルダだけに限るのは、基本です。上の階層に権限を付けると、その下すべてが見えます。今回のような状態は、ここで起きます。

権限には必ず期限を付けてください。終了後も残っているのが、最も多い抜けです。 期限を設定できる仕組みであれば、それを使います。契約の期間に合わせて設定すれば、忘れても自動的に切れます。

期限を設定できない場合は、確認の予定を入れます。契約の終了日に「権限を外す」という予定を、その場で登録します。

共有の相手を一覧にしておくことも重要です。誰にどの範囲を渡しているかが一覧になっていなければ、見直しようがありません。

定期的な見直しも行います。半年に一度、一覧を見て、不要な権限を外します。十分で終わります。

端末をどうするか

相手の端末か、こちらが貸すかで、扱いが変わります。

確かめるのは、相手の端末を使う場合の条件、こちらが貸す場合の費用と手間、本業の会社の端末を使わせないこと、保存させない形にできるか、持ち出しの可否です。

相手の端末を使う場合、その端末の状態は分かりません。安全対策の有無、家族との共用、紛失時の対応。これらを確認するのは、現実には難しくなります。

こちらが貸す場合は、状態を管理できます。ただし、費用と手間がかかります。短期の依頼では見合わないこともあります。

本業の会社の端末で、作業させないでください。相手の勤務先との間で問題になります。 本業の会社の端末にこちらの情報が保存されれば、その会社の管理下に入ります。逆に、本業の情報がこちらに混ざる危険もあります。どちらの会社にとっても不都合です。

本人には明確に伝えます。悪意なく、手元にある端末を使ってしまうことがあります。

保存させない形にできるかも検討します。画面上で見るだけで、手元に保存されない形にできれば、回収の手間が減ります。

持ち出しの可否も決めます。喫茶店や移動中に作業されることを想定するかどうかで、条件が変わります。

書面で決める

口頭の約束では、後から確かめられません。

書くのは、渡す情報の範囲、使ってよい目的、第三者へ渡さないこと、終了時の削除と返却、違反した場合の扱いです。

渡す情報の範囲を書くことで、双方の認識がそろいます。相手も、どこまで触れてよいかが分かります。

使ってよい目的も限定します。「本件の作業のためにのみ使用する」と書けば、他の用途に使うことを禁じられます。

第三者へ渡さないことも明記します。相手がさらに別の人に手伝わせる場合があります。それを認めるかどうかを決めます。

終了時の削除まで書いてください。書いていないと、消してもらう根拠がありません。 契約が終わった後、相手の端末に資料が残っています。それを消してもらうよう求めるには、そう約束していた必要があります。書いていなければ、お願いするしかありません。

違反した場合の扱いも書きます。実際に使うことはまずありませんが、書いてあることで抑止になります。

書面は、作業を始める前に交わします。始めてから「一筆お願いします」と言うのは、双方にとって気まずくなります。

終了時の回収

終わった日に、必ず行います。

やるのは、権限を外す、貸した端末と資料を回収する、共有していた場所から外す、削除の確認を書面で受ける、一覧から消すことです。

終了した日に、権限を外してください。翌週に回すと、そのまま忘れられます。 終了の日は、他の作業も重なります。「来週やればいい」と思った瞬間に、それは実行されません。三年後に一覧を見て、まだ残っていることに気づく、というのが典型的な経過です。

作業自体は数分で終わります。終了の日の予定に、この作業を入れておきます。

貸した端末と資料も、その日に回収します。「次に会うときに」と言うと、次がありません。

削除の確認を書面で受けるのは、形式的に見えますが、意味があります。相手に削除の作業を意識させる効果があり、こちらにも記録が残ります。

一覧からも消します。管理の一覧が実態と合っていなければ、次の見直しで役に立ちません。

終了の手順を一枚にまとめておけば、担当が代わっても同じ処理ができます。

社内にも周知する

渡す側が複数いると、範囲が崩れます。

伝えるのは、外部の人が入っていること、渡してよい情報の範囲、渡すときは窓口を通すこと、直接送らないこと、期間です。

こちらが範囲を決めて権限を絞っても、別の社員が善意で資料を送れば、範囲は崩れます。しかも、送った本人は良いことをしたつもりでいます。

外部の人が入っていることを、まず伝えます。知らなければ、社内の人だと思って対応します。

窓口を通す形にしてください。各自が善意で送ると、範囲を決めた意味がなくなります。 「この資料も参考になると思って」という一通で、渡さないと決めていた情報が出ていきます。窓口を通せば、そこで確認できます。

直接送らないことも、明確に伝えます。窓口を通すという運用は、面倒だと感じられます。理由も添えて伝えないと、守られません。

期間も伝えます。契約が終わった後も、社内の人が連絡を続けてしまうことがあります。

期間で区切るなら、接続の手段も期間で切れる形にしておいてください。NordVPNを見てみる のように月単位で契約できるものなら、終わった月に止めるだけで、外から入れる経路が残りません。

よくある質問

Q. どこまで渡せばよいですか。

A. 作業に直接必要な最小限からです。参考として要るものは、なくても作業は進みます。個人情報と取引条件は、加工して渡せないかを先に考えてください。

Q. 権限の設計で気をつけることは。

A. 「見られる」と「変えられる」を分け、対象を作業のフォルダだけに限り、必ず期限を付けてください。上の階層に付けると、その下すべてが見えます。

Q. 相手の端末を使わせてよいですか。

A. 条件を決めれば構いませんが、本業の会社の端末では作業させないでください。その会社の管理下にこちらの情報が入り、双方に不都合が生じます。

Q. 終了時に何をしますか。

A. その日のうちに権限を外し、端末と資料を回収し、削除の確認を書面で受けてください。翌週に回すと、そのまま数年残ります。

まとめ

一度見られた情報は取り消せません。後から権限を絞っても戻りません。

渡す範囲は、招待する前に決めてください。決めるのに三十分、招待するのに三分です。

権限には必ず期限を付けます。終了後も残っているのが最も多い抜けです。

本業の会社の端末で作業させないこと。相手の勤務先との間で問題になります。

終了した日に権限を外してください。翌週に回すと、そのまま忘れられます。