個人情報・機密情報の扱い

情報漏えいの事故は、悪意のある人が起こすとは限りません。多くは「これくらいなら大丈夫だろう」という自己判断から起きています。

はじめにお断りしておくと、この領域はPMが自分で判断してよい範囲ではありません。会社ごとにルールがあり、業界によっては法令や業界基準も関わります。この記事は「何を確認すべきか」を整理するためのものとして読んでください。迷ったときは、必ず社内の情報管理部門・法務・セキュリティ担当に確認します。

■ 扱う情報を3つに分ける

プロジェクトで触れる情報は、扱い方が違います。まず分類から始めます。

プロジェクトの開始時に、この分類を関係者と共有しておきます。「何が機密なのか」が共通認識になっていないと、ルールを作っても守られません。

■ いちばん危ないのは「本番データのコピー」

実務でよくあるのが、「テストで本番と同じデータが必要」という場面です。ここが最も事故が起きやすい場所です。

手順として、次の順に確認します。

とくに5番の廃棄が抜けがちです。テストが終わった後も開発環境に本番データが残っていた、という事故は少なくありません。「いつ消すか」を、用意する時点で決めておきます。

■ 委託先に渡すときの注意

協力会社やベンダーに情報を渡す場面では、次を確認します。

• 契約に秘密保持の条項が入っているか

• 再委託先がいる場合、そこまで条項が及ぶか

• 相手の会社で、どこに保管されるか

• プロジェクト終了後、どう廃棄されるか

これらは調達部門や法務が確認している場合が多いですが、PMとして「確認済みか」を把握しておきます。渡した後に聞くのでは遅いからです。

■ 日々の場面で気をつけること

大きなルールより、日常の小さな場面のほうが事故につながります。

とくにメールの宛先ミスは、件数として最も多いものの1つです。「送信前に宛先を声に出して確認する」だけでも、かなり減ります。

■ アクセス権は、プロジェクトの節目で見直す

プロジェクトが進むと、メンバーが入れ替わります。しかしアクセス権は、追加はされても削除はされにくいものです。

次のタイミングで見直します。

• メンバーが抜けたとき（その日のうちに）

• フェーズが変わったとき

• プロジェクトが完了したとき

とくに完了後の権限削除は忘れられがちです。終結の作業に、明示的に入れておきます。

■ 何かあったときは、すぐ報告する

「送り先を間違えたかもしれない」「データを間違った場所に置いたかもしれない」。こうした場面では、自分で処理しようとせず、すぐに社内の担当に報告します。

理由は2つあります。

• 初動が早いほど、影響を小さくできる（回収・削除依頼・相手への連絡）

• 報告義務がある場合、期限が決まっていることがある

隠して様子を見るのが、いちばん状況を悪くします。報告した人が責められない空気を作っておくことも、PMの役割です。

■ まとめ

この領域でPMがやることは、次の3つです。

• 扱う情報を分類して、プロジェクト開始時に共有する

• 本番データを使う場面では、必要性・許可・マスキング・廃棄を確認する

• 判断に迷ったら、自分で決めずに社内の担当に確認する

いま担当している案件で、開発環境に本番データが残っていないかを確認してみてください。意外と、誰も把握していないことがあります。