権限管理

導入前の状況

製造・建設事業を営む2部門で、常時20社の協力会社と情報連携する体制。図面・仕様書・工程情報などを共有する必要があるが、社内システムを直接開放すると社外秘情報まで見えてしまうリスクがあった。

実際の運用では、必要な部分だけをExcelやPDFに切り出して個別にメール送付する形が続いていた。切り出し作業に時間がかかるうえ、担当者ごとに切り出し粒度がバラバラで、業務効率が上がらなかった。

監査でも「誰が何を閲覧・操作したか」の証跡が求められるようになり、既存の情報共有方法では対応が難しくなっていた。事業部門からは情シスへの「この情報を◯◯社に見せたい」という個別依頼が月数十件寄せられ、対応工数も増加していた。

検討背景と選定理由

検討したのは、大手ベンダのIAM製品、汎用の外部共有SaaS、NocodilySuiteでの構築の3つ。IAM製品は高機能だが、業務データの項目単位で見せる/見せないを制御するには追加開発が必要だった。汎用SaaSは操作ログの粒度が粗く、監査要件を満たしきれない懸念があった。

NocodilySuiteを選んだ理由は、認証・データベース・APIといった業務基盤が最初から揃っており、ロール別の閲覧・編集権限、項目単位の制御、操作ログの記録といった要件を短期間で構築できる見通しがあったこと。基盤の上に協力会社向けの専用UIも用意できる柔軟性を評価した。

PoC期間は1ヶ月。まず1協力会社に絞って、閲覧範囲の制御と操作ログの記録を検証。事業部門・情シス・監査部門の3者で使い勝手と監査対応の充足度を確認したうえで本格導入に進んだ。

導入プロセス

プロジェクト全体は3ヶ月。1ヶ月目でPoCとロール体系の設計、2ヶ月目で権限管理・項目制御・操作ログ機能の構築、3ヶ月目で協力会社への案内と20社への段階展開を進めた。

ロールは「管理者・現場リーダー・メンバー・協力会社」の4種類に整理。それぞれの閲覧・作成・編集・削除・公開の権限を組み合わせで設定できる形にした。データ項目レベルでも表示/非表示を制御できる設計にした。

協力会社は自社ドメインを持たない場合もあるため、専用のログインIDを発行する運用にした。操作ログはすべての閲覧・変更を記録する設計とし、監査対応で「誰がいつ何を見たか」を辿れるようにした。

導入後の変化

「協力会社に何を渡すか」の個別調整依頼が90%削減された。ロールを割り当てるだけで見せていい範囲を制御でき、事業部門が情シスに依頼せず対応できるようになった。

メール添付でファイルを送っていた運用がなくなり、常に最新情報を協力会社が参照できる形になった。誤送信や古いバージョンの参照によるトラブルが解消されている。

操作ログが全件保存されるようになり、監査対応で証跡がすぐに揃う。監査工数が大幅に減り、監査部門・情シス双方の負荷が軽減された。

今後の展望

次のフェーズではSSO連携とアカウントプロビジョニングの自動化を予定。協力会社アカウントのライフサイクル管理を仕組み化し、退社・契約終了時の権限剥奪も自動で回るようにする方針。