アクセス権の見直しの記録を残す方法(ISMS・プライバシーマーク・取引先のチェックシート)

取引先から届いたセキュリティのチェックシートに、「アクセス権を定期的に見直していますか」「その記録はありますか」と並んでいる。見直しはしているつもりでも、いつ・何を見て・何を直したかを出せる形で残していないと、「はい」と答える裏付けがありません。

この記事では、アクセス権の見直しで聞かれることと、Google ドライブの共有について記録に残すとよい項目、点検の結果を報告書と記録のスプレッドシートに残す方法を説明します。

アクセス権の見直しの報告書と記録づくりは、1か月に約3時間かかる計算です。Workspace Check の報告書と記録を使えば、そのうち約2時間50分を減らせます(前提と計算は「どれだけ時間が減るか(試算)」にまとめています)。

審査やチェックシートで聞かれること

• アクセス権を定期的に見直しているか(頻度と担当者)
• 退職者や異動した人のアクセス権を、すぐに外しているか
• 社外との共有を管理しているか
• 見直した記録が残っているか

ISMS(ISO/IEC 27001)には、アクセス権を与え、見直し、外すことを求める管理策があります。プライバシーマークでも、個人情報を扱う人と範囲を管理することが求められます。どちらも、見直したことを示す記録があると、審査で説明しやすくなります。必要な記録の細かさは、会社の規程と審査機関の考え方に合わせます。

記録に残すとよいこと

「直さずに残した」ものも、理由と一緒に書いておきます。次の点検で同じものを見て、また迷わずに済みます。

記録の置き場所

記録は、見られる人を絞った共有ドライブの中に、月ごとのフォルダで貯めていくと探しやすくなります。担当者が異動や退職をしても、記録は共有ドライブに残ります。

Workspace Check なら、報告書と記録がそのまま残る

Workspace Check は、共有ドライブと社員全員のマイドライブの共有をまとめて点検するサービスです。点検の結果を、報告書と記録のスプレッドシートの2つの形で残せます。

• 報告書: 点検の範囲・4つのアラートの件数・直した内容を1枚にまとめ、印刷・PDF で保存できます。点検者と責任者の欄が付いています。
• 記録: ボタンを押すと、御社の Google ドライブに記録のスプレッドシートを作ります。目次と点検ごとのフォルダを作り、前回との差と、対応の状態・メモを次の点検に引き継ぎます。
• 記録の保存先は、画面で共有ドライブを選べます。1冊200万セルで分けるので、ファイルの多い会社でも Google の上限に届きません。
• 点検の結果は UTNOA のサーバーに送らず、保存もしません。

毎月の点検の全体の進め方は、Google Workspace のセキュリティの点検を、毎月続ける方法でも説明しています。

どれだけ時間が減るか(試算)

試算の前提: 月に1回、共有の点検の結果を報告書にまとめ、審査や取引先の確認のために記録を揃える場合。報告書づくりを2時間、記録を探して揃えるのを1時間とし、Workspace Check では報告書の確認を10分、記録の保存を5分としています。

合計で、1か月に約2時間50分、1年で約33時間の作業が減ります。時給1,500円で換算すると、年に約5万円分の時間です。

記録が毎月同じ形で残るので、審査の前に慌てて作る必要がありません。担当者が代わっても続けられます。