展示会のブースで足を止めた製造現場の担当者から、よく似た言葉を聞きます。便利そうなのは分かる、ただ会社の方針でクラウドサービスは原則使えない、と。理由を尋ねると、機密情報を外に出すこと自体が方針として避けられていて、何より「漏洩のリスクがどこにあるのか自分たちでは分からない」ことへの不安が大きい、という話になります。別の企業では、情報セキュリティ部門が現場端末の常時接続そのものを制約していて、編集はおろか閲覧のためにクラウドへつなぎ続けることにも社内の許可が下りなかった、という声もありました。
どちらも、ツールの良し悪し以前のところで止まっています。検討の入り口で「クラウドだから」と一括りにされてしまうと、本当に確認すべきことが見えないまま、話が前に進まなくなります。
クラウドだから危ない、ではなく、何がどこに、どう扱われるのかが分からないから不安になる。見極めの観点を先に決めておけば、慎重な組織でも落ち着いて判断できます。
この記事では、クラウドに慎重な企業が、SaaSを導入できるかどうかを冷静に見極めるための観点を整理します。Flowbaseの話は最後に、確実に言える範囲だけ正直に書きます。
クラウドに慎重になる背景
クラウドに慎重な姿勢は、わがままでも時代遅れでもありません。むしろ、守るべきものがはっきりしている組織ほど、慎重になるのは自然なことだと考えています。
ひとつは、社内方針として機密情報を外部に出さないと決めている場合です。製造現場の技法や設計、取引先の情報など、漏れれば競争力や契約に直結するものを抱えていると、「外部のサービスに預ける」こと自体が方針上のハードルになります。
もうひとつは、ネットワークの制約です。現場の端末が外部へ常時接続して通信し続けること自体を、情報セキュリティ部門が制限している場合があります。この場合、編集のときだけでなく、できあがったマニュアルを閲覧するための通信まで論点になります。
そして共通して根っこにあるのが、リスクが分からないことへの不安です。何が外に出るのか、どこに保存されるのか、誰が触れるのか。ここがはっきりしないと、判断のしようがありません。だからこそ、不安を漠然と抱えたままにせず、確認すべき項目に分解していくことが、最初の一歩になります。
見極めるチェック観点
導入できるかどうかは、いくつかの観点に分けて確認すると見通しが立ちます。順番に見ていきます。
データの扱いを確認する
まず確認したいのは、データがどこに、どのように保存され、誰の手に渡るのかです。
- 保存されているとき、通信しているときに、データが暗号化されているか
- アップロードした元データや生成物が、どこに保管され、いつまで残るのか、消したいときに確実に消せるのか
- 入れたデータが、本人の許可なく外部に共有されたり、AIの学習に使われたりしないか
- 契約を終えたときに、作ったマニュアルや元データを自分たちの手元に持ち出せるか
特に動画から手順書を作るようなサービスでは、解析の過程で外部のAIに何を渡しているのかが気になるところです。どのデータが、どの範囲まで処理に使われるのか。ここはベンダーにはっきり聞いて、曖昧な答えのまま進めないことをおすすめします。
見落とされがちなのが、契約を終えたあとにデータをどうできるかという点です。導入時はどうしても使い始めのことに目が向きますが、蓄積したマニュアルや元データを、解約時に自分たちの手元へ持ち出せるのか、特定のサービスに囲い込まれてしまわないのかは、最初に確認しておきたいところです。作りためた手順書は現場の資産です。その資産を自分たちで管理し続けられる状態、いわばデータの主権を手元に残せるかどうかは、慎重な組織ほど重視される観点だと考えています。
権限を確認する
次に、誰が何を見られて、誰が編集できるのかです。役割ごとに閲覧と編集の権限を分けられるか、部署やフォルダの単位で見える範囲を絞れるか。この設計があると、「見せたくない相手には見せない」を運用で担保できます。広めに権限を渡すのではなく、必要な人に必要な範囲だけ渡せるかを基準にすると、後々の棚卸しも楽になります。
記録と監査を確認する
誰がいつ何をしたかを後から追える状態かどうかも、慎重な組織では重視されます。操作の監査ログが残るか、共有や公開の設定を見直せるか。記録が残っていれば、万一のときに範囲を特定でき、「分からない」ことそのものへの不安を減らせます。
チェックシートで確認する
最後に、これらをベンダーに体系立てて確認する方法が、セキュリティチェックシートです。自社の情報セキュリティ部門が用意した項目に、ベンダーから回答をもらい、それを部門に渡して認可を得る、という進め方です。多くの企業で、これが導入可否の事実上の関門になります。逆に言えば、この一枚を埋め切れれば、社内の合意は一気に進みます。
観点を4つに絞ると進めやすくなります。「データはどこに、どう扱われるか」「権限を役割で絞れるか」「操作の記録が残るか」「チェックシートに回答が得られるか」。この4点を自社の基準に照らして確認しておきたいところです。クラウドだからと一括りにせず、項目ごとに見ていくのが近道です。
情シスと進めるステップ
クラウドに慎重な組織では、現場の担当者だけで決められないことがほとんどです。情報セキュリティ部門や複数部署の合意が要る前提で、最初から一緒に進めるのが結局は近道になります。
- 現場の課題と、解決したいことを整理する。何のために、どの業務に使いたいのかをはっきりさせます
- 情シスに早めに相談する。常時接続や外部通信の制約があるかを、検討の入り口で確認します
- セキュリティチェックシートをベンダーに渡す。自社の項目に回答をもらい、認可の判断材料にします
- 確認できた範囲で小さく試す。許可の下りる範囲から始め、運用に乗るかを見ます
この順序のポイントは、情シスを「最後の関門」ではなく「最初の相談相手」にすることです。後工程で制約が判明して振り出しに戻る、という事態を避けられます。
情シスを最後の承認者にすると、判明した制約で振り出しに戻りがちです。最初の相談相手にすると、確認すべき項目が早い段階で見え、検討全体が速くなります。
Flowbaseの考え方
ここからはFlowbaseの話を、確実に言える範囲だけ正直に書きます。
Flowbaseは、撮った動画から手順書やマニュアルを自動で作るサービスです。動画の解析にはAIを使っていて、その過程で外部のAIにデータを渡す部分があります。どのデータが、どこまで処理に使われるのかは、隠さずにご説明します。気になる点は、検討の段階で遠慮なくお尋ねください。
権限については、閲覧と編集を役割で分けられ、フォルダや部署の単位で見える範囲を絞れます。共有もログインが要る社内共有と、URLを知っていれば見られる公開リンクを使い分けられます。何を社内限定にし、何を外に出すかは、運用ルールとして決めておくことをおすすめしています。
一方で、確証のないことは書きません。特定のセキュリティ認証の取得状況や、社内に閉じた環境での提供可否といった点は、この記事で断定はしません。標準的な考え方に沿って設計していることと、第三者の認証を取得していることは別物だと考えているからです。導入を検討される際は、ベンダーの説明を鵜呑みにせず、自社の基準に照らして一つずつ確認してください。Flowbaseについても、セキュリティチェックシートでの確認を歓迎しています。
クラウドに慎重であることは、ナレッジマネジメントや標準化を諦める理由にはなりません。観点を決めて、情シスと一緒に項目を一つずつ潰していけば、慎重な組織でもDXの手応えを得られると、私たちは考えています。
よくある質問
Qクラウドは使わない方針なのですが、それでも検討できますか？
方針として原則使わないという前提でも、検討の入り口で止める必要はないと考えています。まずは、どのデータがどこに保存され、誰が触れるのかという観点で、確認すべき項目を洗い出すところから始めるのがおすすめです。そのうえで、情報セキュリティ部門にセキュリティチェックシートで確認してもらう進め方が現実的です。クラウドだからと一括りにせず、項目ごとに見ていくと判断しやすくなります。
Q現場端末の常時接続が情シスの制約に引っかかります。どう確認すればよいですか？
編集のときだけでなく、閲覧の通信まで含めて、どのタイミングでどんな通信が発生するのかを、検討の早い段階で情報セキュリティ部門と確認してください。制約の内容は企業ごとに異なるため、一般論で判断せず、自社のネットワーク方針に照らして具体的に確認するのが確実です。Flowbaseの通信の仕組みについても、チェックシートやお問い合わせでご説明します。
Qセキュリティチェックシートには対応してもらえますか？
はい、ベンダーへのセキュリティチェックシートでの確認は、SaaS導入の標準的な進め方だと考えています。自社の情報セキュリティ部門が用意した項目に沿ってご記入いただく形で対応しますので、認可の判断材料にお使いください。確認したい点があれば、項目を具体的にお知らせいただけると、回答もはっきりします。
QFlowbaseはどんなセキュリティの考え方で設計されていますか？
権限を役割で分けられること、共有範囲を絞れること、データの暗号化や操作の記録といった一般的な観点を踏まえて設計しています。一方で、特定の認証の取得状況など、ここで断定できないことは書きません。正確な状況を確認されたい場合は、推測で判断せず、お問い合わせいただくか、セキュリティチェックシートでご確認ください。
Q契約を解約したら、作ったマニュアルは取り出せますか？
作りためた手順書やマニュアルは現場の資産ですので、解約時に自分たちの手元へ持ち出せるかどうかは、導入前に確認しておきたい大切な観点です。特定のサービスに囲い込まれない状態を保てるかは、ベンダーに具体的にお尋ねください。Flowbaseでのデータの持ち出しについても、検討の段階で遠慮なくご確認いただけます。
クラウドに慎重なことは、判断を諦める理由ではありません。何がどこに、どう扱われるのか。観点を決めて、情シスと一緒に項目を一つずつ確認していけば、慎重な組織でも落ち着いて見極められます。私たちは、その確認のプロセスに、隠さず正直にお付き合いしたいと考えています。