電子化した書類のアクセス権はどう決める？部署・役割別の管理方法

紙の書類は、鍵付きのキャビネットや書庫の入室制限によって、見られる人が自然と限られていました。ところがPDFにして共有フォルダへ置くと、設定次第で部署外の人まで開ける状態になります。電子化した書類のアクセス権は、情報区分と利用者を先に整理し、閲覧と変更の権限を分けた表を作ってから、保存先の機能に当てはめるのが基本です。この記事では、納品されたデータを社内でどう管理するかに絞って、権限の決め方と確認の手順を説明します。委託先の安全管理は別のテーマとして扱います。

情報区分と利用者を整理する

最初に、電子化する書類を情報区分ごとに分けます。IPAの「中小企業の情報セキュリティ対策ガイドライン」（第4.0版）では、重要度の高い情報資産がどこにあるかを把握し、機密区分を設けて、区分に応じた取扱方法や取扱エリアの区分・制限等を定めた文書を整備することが示されています。紙のときに「この棚は総務だけ」と暗黙で決めていた範囲を、言葉にして残す作業です。

区分の名前や数は自社の規程に合わせてください。判断に迷う書類は、所有部署と情報管理の責任者が決めます。電子化の前にこの整理をしておくと、異なる区分の書類が一つのPDFや一つのフォルダに混ざることを防げます。

閲覧と変更の権限を分ける

「見られる人」を決めただけでは不十分です。同じ部署の中でも、ファイルを置き換えたり消したりできる人は絞るべきだからです。操作を「参照・更新・削除・共有・権限変更」に分け、役割ごとに許可するかを表にします。次は役割×操作の権限マトリクスの記入例です。

表は架空の例です。ここでいう「更新」はファイルの追加や差し替え、「共有」は社外の人へのリンク発行や送付を指します。ポイントは、権限を設定する人と内容を承認する人を分けることです。システム管理者が全データを閲覧できる設定になっている場合は、その扱いも規程で決めておきます。

前述のガイドラインでは、特定の役職員に権限が集中することによる不正利用や権限濫用を防ぐ観点も示されています。一人で全操作ができる役割を作らないよう、表を横に見て確認しましょう。

保存先で制御できることを確認する

権限マトリクスができたら、実際の保存先でどこまで再現できるかを確認します。ファイルサーバー、クラウドストレージ、文書管理システムでは、設定できる単位や項目が異なります。製品ごとの機能は、必ず利用先システムの公式仕様で確認し、情報システム担当と判断してください。

同ガイドラインの「情報セキュリティ6か条」では、ウェブサービスや機器の設定を間違えたために無関係な人に情報を覗き見られるトラブルが増えているとして、共有設定の見直しが挙げられています。設定できる機能があっても、初期設定のまま使っていないかを確かめることが大切です。

異動・退職・外部共有を管理する

権限は、設定した瞬間から古くなり始めます。同ガイドラインでは、従業員の異動や退職等に伴う権限の変更・削除漏れを防ぐため、アクセス権限を見直すルールを定め、付与状況を管理することが示されています。具体的には次の流れを決めます。

1. 人事の異動・退職の情報を、権限の設定担当へ伝える経路を決める
2. 権限の追加・変更は申請書（またはフォーム）で受け付け、部門長が承認する
3. 設定担当が変更し、変更日と内容を台帳に残す
4. 社外共有は相手・目的・解除予定日を記録し、期限が来たら解除する
5. 見直し担当が、四半期ごとなど決めた頻度で付与状況と台帳を照合する

見直しの頻度は書類の区分や組織の規模に合わせて決めてください。人事書類のように閲覧者を特に絞る書類の考え方は「人事書類を電子化するには？外注範囲と閲覧権限の決め方」で詳しく整理しています。

電子化前後で確認する

電子化の前には、納品データのフォルダ構成と権限の区分を一致させておきます。Chatworkスキャン代行の公式ページでは、フォルダ構成や命名ルールなど指定の方法で格納・納品することが案内されています。依頼時に区分ごとのフォルダを指定しておけば、受け取った後に社内で仕分け直す手間を減らせます。構成の考え方は「電子化した書類のフォルダ構成はどう決める？部署・案件別の設計例」を参考にしてください。

納品後は、利用者へ公開する前に次の確認を行います。

• 想定利用者の役割ごとに、開けるべきフォルダが開けるか
• 開けてはいけないフォルダが開けないか（部署外・退職予定者など）
• 更新・削除できる人が、マトリクスどおりに限られているか
• テスト中の操作がログに記録されているか（機能がある場合）

確認は、権限を設定した本人ではなく、各役割の利用者に代表で試してもらうと漏れに気付きやすくなります。結果と確認日を台帳に残せば、次回の見直しの基準になります。なお、作業を委託している間の取り扱いは「機密書類のスキャンを外注する前に確認したいセキュリティ対策」で確認できます。

あわせて読みたい

• 機密書類のスキャンを外注する前に確認したいセキュリティ対策
• 人事書類を電子化するには？外注範囲と閲覧権限の決め方
• 電子化した書類のフォルダ構成はどう決める？部署・案件別の設計例

参考情報・サービス情報

• Chatworkスキャン代行 公式サービスページ
• IPA「中小企業の情報セキュリティ対策ガイドライン」