お客様の環境で、権限や秘密の情報をどう扱いますか

先にお客様の決まりを確かめる

お客様の会社には、情報の扱いの決まりがあります。こちらの会社の決まりより、お客様の決まりが優先です。最初の打ち合わせで、情報の担当の方に次の点を聞きます。

• 社外へ持ち出してよい情報と、持ち出してはいけない情報の分け方
• 外の AI のサービスにデータを渡してよいか。渡すなら、どの種類のデータまでか
• 使ってよい PC、置き場、やり取りの道具
• 個人の情報を含むデータを、試しに使ってよいか

答えは文書でもらうか、こちらで書いて確かめてもらいます。口頭で「たぶん大丈夫」と聞いただけで進めると、あとで契約の問題になります。

権限は最小で、期限付きで

権限は、今の作業に要る分だけを頼みます。たとえば、売上の集計を試すなら、売上の表を読むだけの権限で足ります。管理者の権限や、全部の表への書き込みは頼みません。

期限も付けます。「試作の 2 週間だけ」のように終わりの日を決めておくと、仕事が終わったあとに強い権限が残り続けることを防げます。人ごとの権限にして、チームで 1 つのアカウントを使い回さないようにします。だれが何をしたかが分からなくなるからです。

鍵とデータの置き場

鍵は、お客様が用意した秘密の置き場か、決められた方法で設定に入れます。原稿のコードやチャット、手元のメモに鍵を書きません。

データも同じです。試すときはお客様の環境の中で試し、個人の PC に写して家で続けることはしません。

返すことと記録

作業が終わったら、受け取った権限と鍵を返し、お客様の担当に「返しました」と伝えます。手元に写した物があれば消し、消したことも伝えます。作業の間は、いつ、どの仕組みに、何のために入ったかを短く記録しておきます。何か起きたときに、こちらが触ったかどうかをすぐに示せます。

トレードオフ

権限を細かく分け、期限を付けるほど安全ですが、頼むたびに待ちが生まれ、作業は遅くなります。広い権限を一度にもらえば速く進みますが、何か起きたときの被害も、疑われる範囲も大きくなります。最初に「何の作業に、どの権限が、いつまで要るか」の表を出して、まとめて頼むと、安全さを保ったまま待ちを減らせます。