目次 ／ 制作・開発ディレクション ／ QA（品質管理）
情報セキュリティ・個人情報の取り扱い
10秒でわかる！要点まとめ
- 事故は高度な攻撃より、メール誤送信とアカウント共有から起きる
- 預かった個人情報は「自社の資産」ではない。取得したら、使い、消すまでが責任範囲
-
「念のため全部もらっておく」が最大のリスク。要らないデータは、そもそも預からない
1. 概要：預かった情報を、漏らさず、正しく扱う
情報セキュリティ・個人情報の取り扱いとは、プロジェクトで扱うクライアントの機密情報、ユーザーの個人情報、各種アカウント情報を、漏洩・紛失・不正利用から守るための管理業務です。 Web制作の現場では、サーバーの管理画面、CMSの管理者アカウント、問い合わせフォームに届く氏名やメールアドレス、ときには会員データの移行作業まで扱います。ディレクターは、技術的な防御そのものではなく「誰が、どの情報に、いつまでアクセスできるか」を設計・管理する役割を担います。
2. なぜ重要なのか：1回の事故で取引が終わる
情報漏洩が起きたとき、失われるのは謝罪コストだけではありません。クライアントは自社の顧客に説明責任を負うことになり、その原因が制作会社側にあった場合、取引の継続はまず望めません。 そして実際の事故の多くは、標的型攻撃のような派手なものではなく、日常業務の隙間で起きます。宛先を間違えたメール、退職者のアカウントが生きたまま、私物PCへのデータコピー、チャットに貼られたままのパスワード、公開してはいけないテスト環境が検索エンジンに拾われる——どれもディレクターの目配りで防げるものです。
3. 実務のポイント：現場で効く5つの習慣
- 預かる情報を最小限にする：作業に不要な個人データは受け取りません。移行作業などでどうしても必要な場合は、受け取る範囲・保管場所・削除の期日を書面で決めます。
- アカウントは共有しない：管理画面には人ごとにアカウントを発行し、権限を最小限にします。案件終了時と担当者の異動・退職時には、必ずアカウントの棚卸しを行います。
- パスワードをチャットやメールに貼らない：パスワード管理ツールの共有機能を使うか、少なくとも別経路で送ります。チャットの過去ログは検索できてしまうことを忘れないでください。
- テスト環境を公開しない：ステージング環境にはBasic認証をかけ、
noindexを設定します。公開前のリニューアル情報が漏れる事故は、ここから起きます。 - 起きたときの連絡先を決めておく：「何かおかしい」と気づいた担当者が、誰に何分以内に報告するかを事前に決めます。事故は、隠されて時間が経つほど被害が拡大します。
4. スキルアップのヒント：クライアントの社内ルールを先に聞く
セキュリティ要件は業種によって大きく異なります。金融・医療・公共系では、使えるクラウドサービスやデータの保管場所まで制限されていることがあります。キックオフの時点で「情報の取り扱いについて、御社の規定はありますか」と聞くだけで、後戻りを防げます。 また、個人情報保護法は改正が続いている領域です。細かな条文を暗記する必要はありませんが、「取得時に利用目的を伝える」「目的外に使わない」「第三者に渡すときは同意が要る」という3つの原則だけは押さえておいてください。判断に迷う場面のほとんどは、この原則に立ち返れば答えが出ます。