メインコンテンツへスキップ

コラボレーションツールのセキュリティについて

Balus は構造化／モデリングを通じてコラボレーションを「ちょっと、もっとうまくやる」ためのツールです。コラボレーションは以下のように、日常の色々な場所で、様々なメンバーで日々行われています。

  • MTG で分からないことを質問したら新しいことが分かった
  • チームの中でのふりかえり
  • 組織内での設計／開発や経営、マネジメント
  • 顧客と営業、クライアントと PM
  • 複数の会社が参画するプロジェクト
  • 不特定多数の人が参加する広いコミュニティ

上記のように Balus が扱うコラボレーションの範囲は 1 つの組織に閉じることもあれば、部署や組織をまたがることも多いですし（＝むしろ今後組織をまたがっていくコラボレーションはどんどん増えていくと考えています）し、実態として起きている事実ではないかと思います。

一方で情報セキュリティの観点からは、このような様々な組織をまたいだコラボレーションには漏洩や改ざんといったリスクがつきまといます。だからといって「利用範囲を制限する」のようにセキュリティの壁を高くしてしまうと、実際にやっているコラボレーションにツールが追いつかず、ユーザーはそこを別の手段で補おうとして（＝いわゆるシャドウ IT）、却ってリスクは高まってしまいます。

Balus では様々なコラボレーションのシーンにおけるこれらの 2 つの側面＝利便性とセキュリティを両立させるために、コラボレーションシーンをいくつかのパターンに分けて設定し、それぞれの状況で利便性とセキュリティがバランスするように権限・機能の設計を行っています（今後の機能拡張も含めて検討を進めています）。

Balus を利用している、していないに関わらず、コラボレーションを行う際に情報資産、権限範囲などの設定の参考になればと考えております。当然ながらすべてのシーンを担保できているわけではないので、実態と乖離している部分があれば是非 Balus セキュリティチームまで教えていただけると助かります。

 

コラボレーションのパターン

一般的にコラボレーションで必要になるセキュリティには以下の 4 つのパターンがあると考えています。

  1. 組織内の特定メンバーとのコラボレーション
  2. 組織内のメンバーとのコラボレーション
  3. 特定の外部組織とのコラボレーション
  4. 外部向けのコラボレーション

Balus には会社や組織に対応する「グループ」という概念と、グループの中にあり部署・プロジェクトに対応する「ワークスペース」という概念があります。このワークスペースがコラボレーションの場であり、その場で作成されるビューモデルが情報資産となります（Balus 内の階層構造については、こちらの記事をご覧ください）。

グループ（＝会社） > ワークスペース（＝コラボレーションの場） > ビューモデル（＝情報資産）

以下ではそれぞれのコラボレーションのパターンとセキュリティ要件についての具体的な説明、及び、Balus の機能をどのように使ってセキュリティを担保すればいいかを列挙します。

 

image3.png

 

1. 組織内の特定メンバーとのコラボレーション

image2.png

インサイダー情報や人事情報など、そもそも「そういった情報を扱っていること」自体を組織のメンバーであっても秘匿したい、というのがこのパターンです。コラボレーションの範囲を完全に閉じつつ、中にいる人は情報セキュリティを気にせずコラボレーションできるようにする必要があります。

利用目的

  • 給与やマイナンバーなどの人事情報
  • インサイダー情報
  • 新プロダクトや事業戦略などの係る公開前の経営情報

必要なセキュリティ要件

  • 情報を扱っていることを自体を知られないこと
  • 組織内（場合によっては組織外）の限られたメンバーだけがアクセスできること（認可）
    • 【Balus でやるなら】アクセスさせたいメンバーだけをワークスペースに追加する
  • 不用意な情報漏洩を防げること
    • 共有設定を不用意に公開設定にできないようにする
    • 【Balus でやるなら】ビューモデルの公開設定を「なし」にする

 

2. 組織内のメンバーとのコラボレーション

image5.png

設計／開発や経営方針の共有など、組織内で広く共有したい情報を扱う場合がこのパターンです。コラボレーションの範囲は組織全体になりますが、外部への共有を避ける必要があるため、URL 共有など、組織外への共有ができないように設定を行う必要があります。

利用目的

  • 組織内での設計／開発
  • 経営の方針共有
  • 日々の活動の共有

必要なセキュリティ要件

  • 組織内のメンバーだけがアクセスできること（認可）
  • 不用意な情報漏洩を防げること
    • 共有設定を不用意に公開設定にできないようにする
    • 【Balus でやるなら】ビューモデルの公開設定を「なし」にする

 

3. 特定の外部組織とのコラボレーション

image1.png

複数の会社が参画するプロジェクトでの共同開発など、組織を跨いだメンバーで情報を扱う場合のパターンです。マーケティングや販売パートナー、共同研究や機能子会社との連携など現実に業務を実施するためには必須となるコラボレーションです。コラボレーションの場の範囲を限定しつつ、特定の外部組織の参加を許可して連携を制限しないようにすることが必要です。また、外部組織のメンバーの管理を相手組織に委ねるのか、あくまでこちらで行うか、といった判断も必要になります。

利用目的

  • 複数の会社が参画するプロジェクトでの共同開発
  • グループ企業への経営の方針共有

必要なセキュリティ要件

  • 組織内外の限られたメンバーだけがアクセスできること（認可）
    • 【Balus でやるなら】アクセスさせたいメンバーだけをワークスペースに追加する
  • 不用意な情報漏洩を防げること
    • 共有設定を不用意に公開設定にできないようにする
    • 【Balus でやるなら】ビューモデルの公開設定を「なし」にする

 

4. 外部向けのコラボレーション

image4.png

一時的な営業やワークショップ、不特定多数に向けて発信をする場合など、中長期での関係性を前提としない相手とコラボレーションのパターンです（匿名アクセスなど）。共有先のアクセスハードルを下げることとセキュリティを両立することが必要になります。情報資産へのアクセスは許可するものの、予期せぬ変更を防ぐために情報を閲覧のみに留める、など、扱う情報資産によってセキュリティの強度を変える必要があります。また、予期せぬ共有による情報漏洩に繋がりやすいパターンでもあるので、共有 URL の有効期限を設ける、パスワードを追加する、といった方法での担保も有効になります。

利用目的

  • 営業で顧客へ一時的な共有を行う
  • LP ページとして使い、顧客向けのマーケティングをする
  • 不特定多数の人が参加する広いコミュニティ
  • イベントでワークショップを行う

必要なセキュリティ要件

  • 情報の改変を防げること
  • 組織外への共有を簡単にできること
    • 【Balus でやるなら】上記の設定を行った上でワークスペースの公開設定を「ワークスペースを外部公開する」へ変更する
  • 別の方法でのセキュリティ担保（※）
      • パスワードの設定
      • 有効期限の設定
  • 外部と共有されている情報資産の一元把握、管理（※）

※ Balus の利用者は組織を前提としていることから、現在は当該機能はありませんが将来的に実装予定です。