セキュリティは誰の仕事？開発チームで考える役割と協力

企画、開発、運用、専門家。役割の違いを知り、安全なサービスを一緒につくる方法を学びます。

1. なぜチームで考えるの？

前回は、ファイル共有機能を例に、便利さと安全を一緒に考えました。利用者を制限したり、共有期限を設けたりするには、技術だけでなく、仕事の進め方や利用者の困りごとも知る必要があります。

たとえば、社外の取引先にも資料を届けたい場合。「社外からはすべて閲覧禁止」にすると安全に見えても、目的の仕事ができません。利用者、守る情報、想定される事故、実現できる仕組みを、異なる立場から持ち寄ることが出発点です。

役割は組織によって異なる

以下は考え方を整理するための例です。小さなチームでは一人が複数の役割を持つこともあります。名称で担当を決めつけず、誰が判断し、誰に相談するかを確認しましょう。

2. 共有リンクをどう決める？

社内のチームが、取引先に資料を共有する機能を考えましょう。リンクだけで開けると手軽ですが、別の人へ転送されると、想定外の相手も開ける可能性があります。

企画に関わる人は、誰に、どんな資料を、どれくらいの期間届けるかを整理します。開発に関わる人は、指定した人だけが開ける仕組みや有効期限を検討します。運用に関わる人は、誤送信が起きた場合に誰がリンクを停止し、どこに連絡するかを確認します。

専門家には、想定していないリスクや対策の抜けを相談できます。ただし、すべての資料に同じ制限をかけるとは限りません。公開用の案内と、契約前の顧客情報では、誤って渡ったときの影響が異なるからです。

決める人と相談する人を明確に

「確認する」とだけ決めると、誰も判断しないまま進むことがあります。資料の重要度や組織のルールを踏まえ、閲覧範囲や期限を誰が決め、判断に迷ったら誰に相談するかを決めましょう。承認の流れは組織の規程に合わせます。

3. 事故に気づいたときは？

誤って共有リンクを違う相手に送ってしまったとします。まず、組織の手順に沿って、共有の停止など、被害の拡大を防ぐ対応を行い、決められた窓口へ速やかに報告します。アクセス記録などは、勝手に削除せず、調査担当者の指示に従って保全します。

その後、関係者と事実を確認し、影響範囲を調べます。必要な連絡や公的機関への届出の要否は、情報の種類や法令、契約、組織の手順に応じて担当者が判断します。落ち着いて対応できるように、事前に連絡先と対応手順を決めておきましょう。

対応が終わったら、「なぜ起きたか」を確認します。たとえば宛先を間違えやすい画面だったのか、期限の初期設定が長すぎたのか。個人を責めるだけでなく、再発しにくい仕組みへの改善につなげます。

4. チームで共有する四つのこと

話し合いの最初に、次の四つを言葉にすると、認識のずれに気づきやすくなります。

1. 誰が使うか：社内だけか、取引先も使うか。
2. 何を守るか：公開用資料か、顧客情報を含む資料か。
3. 事故が起きたらどうするか：停止方法と連絡先は決まっているか。
4. 誰が決めるか：設定を判断する人と相談先は明確か。

これらは会議のための形式ではありません。判断の理由を残しておけば、後から利用者が増えたり、機能を変更したりするときにも見直せます。

確認問題

参考情報

• IPA：情報セキュリティ
• IPA：情報処理安全確保支援士試験