情報漏えいの社内報告は、PCやサーバーへの不正アクセス、メールの誤送信だけではありません。
大切な情報資産が記載された書類の紛失も、社内報告の対象として扱う必要があります。
では、個人情報や機密情報が記載された書類を、誤ってシュレッダーにかけてしまった場合、会社ではどのように扱っているでしょうか。
一般的に「紛失」といえば、書類が見当たらず、盗難を含め、所在が分からなくなり、会社の管理下にあることを確認できなくなった状態を指します。
しかし、金融機関の中には、誤ってシュレッダーにかけた書類も紛失として扱うところがあります。
シュレッダーにかけたという事実だけでは、どの書類を処分したのか、対象となる書類がすべて適切に処分されたのかを確認できないからです。
厳格な管理を行う組織では、細断された紙片から書類を復元・特定し、適切な処分であったことを確認しようとする場合もあります。
もちろん、すべての企業に金融機関と同じ管理水準が必要というわけではありません。
しかし、書類を扱う以上、作成から保管、移動、利用、廃棄まで、誰が、いつ、何を、どのように取り扱ったのかを確認できる仕組みは大切です。
では、御社ではどのような管理基準を整える必要があるでしょうか。
重要情報が記載された書類の管理＝トレーサビリティを確保するためのポイント
・重要書類の特定： 管理対象となる重要書類を特定する。
・保管場所の管理： 重要書類の保管場所と、取り出し権限を明確にする。
・持ち出しや移動の管理： 社外や別の部署へ持ち出す際の記録・承認ルールを策定する。
・利用や返却の管理： 利用した書類が所定の場所に確実に戻される手順を策定する。
・廃棄の管理： 誰が、どの書類を、いつ、どのような方法で廃棄したかを記録する。
・誤廃棄・紛失時の対応： 誤って処分したり、書類が見当たらなくなったりした場合の社内報告基準と確認手順を策定する。
・管理水準の見直し： 扱う情報の重要度に応じて、管理方法や記録の範囲を定期的に見直す。
大切なのは、すべての書類を一律に厳しく管理することではありません。自社が扱う情報の重要度に応じて、どこまで管理し、何を記録し、どこまで確認できるようにするのかを決めることです。
また、誤送信や紛失などの社内報告基準がなければ、報告するかどうかが社員個人の判断に委ねられてしまいます。
まずは社内の報告基準を明確にし、報告を受けた会社が事実関係を確認したうえで、法令に基づく報告や本人通知の必要性を判断する体制を整えることが重要です。
御社では、書類の取り扱いから廃棄、万一の事故報告まで、会社として一貫した管理基準と手順が整っていますか？