多くの機関が把握している以上に、公的記録はさまざまなシステムを横断しています
多くの行政機関では、データガバナンスポリシーが1つだけではありません。記録管理システム用、メール用、ファイル共有用といった複数のポリシーが存在し、最新のAI活用型ケース管理ツールについては、そもそも一貫したポリシーがないことも珍しくありません。それぞれ異なるチームが、異なる時期に、異なる要件に基づいて策定したものです。個別に見れば、どのポリシーも合理的に見えるかもしれません。しかし、全体としては、意図せず誰にも見えにくいギャップが生まれています。
こうしたギャップは、理論上の問題にとどまりません。たとえば、保護されたシステムで機密扱いされている市民記録が、誰かがメールで転送した瞬間に添付ファイルとして無制限に外部へ送信されてしまうことがあります。これは、記録管理システムのポリシーがファイルの移動後まで適用されていないためです。また、あるシステムで外部共有がブロックされているデータセットが、誰も想定していなかった統合経路から外部に流出することもあります。本記事では、なぜチャネルごとにガバナンスを分けると行政機関でこうしたギャップが必ず生じるのか、そしてそのギャップを埋めるために本当に必要なことは何かを解説します。
Executive Summary
行政機関でチャネルごとにデータガバナンスを構築すると、必然的に保護の一貫性が失われます。なぜなら、各チャネルのツールが独立して設計・設定されており、多くの場合、異なるチームが目先の課題を解決するために導入しているからです。その結果、個別に許容できるリスクが積み重なるのではなく、市民データが日常的に複数チャネル間を移動するため、最も弱いチャネルのリスクが全体のリスクとなります。チャネルの境界で止まるポリシーは、データがその境界を越えた時には何の保護にもなりません。ITやコンプライアンス担当者にとって重要なのは、チャネルごとに監査してもこのリスクは見えてこないという点です。本当に監査すべきなのは、特定の市民記録がチャネル間を移動する際に何が起きているかです。
Key Takeaways
- ガバナンスが分断されていると、同じ市民記録でもあるチャネルでは保護され、別のチャネルでは無防備になります。あるシステムで適用された分類やアクセスルールは、データが他の場所へ移動した際にはほとんど引き継がれません。
- 添付ファイルは、ポリシーが密かに適用されなくなる最も一般的な場所です。記録管理システム内で厳格に管理されていた記録も、メールの添付ファイルとして送信されると、そのシステムの制限は一切適用されません。
- チャネルが増えるごとに、ポリシーの抜け穴が隠れる場所も増えます。記録管理システム、メール、ファイル共有、そしてAIケース管理ツールなど、どれか1つでもカバーされていなければギャップが生じます。
- 分類は、データ自体の属性でなければなりません。今いるシステムの属性では不十分です。タグは、データがチャネル間を移動しても一貫して適用されて初めて、市民データを継続的に保護できます。
- すべてのチャネルを横断する単一のポリシーエンジンが、チャネルごとのツールでは埋められないギャップを解消します。どのチャネルをデータが通過していても、同じ方法でポリシーを評価・適用する必要があります。
なぜチャネルごとのガバナンスが標準となり、行政機関で問題となるのか
多くの行政機関がガバナンスの分断に至ったのは、1つの大きな誤りによるものではなく、それぞれが個別には合理的な判断の積み重ねによるものです。まず記録管理システムを選定・保護し、次にメールを別途選定・保護し、それぞれのプロジェクトに独自の予算、責任者、完了基準がありました。
各ツールは自分のチャネルだけを解決し、データ全体の流れは考慮しない
記録管理システムのアクセス制御は、そのシステム内で誰が記録を開く・ダウンロードする・共有するかを管理します。しかし、その記録がメール添付として外部に出たり、別のシステムにコピーされたり、統合経路で取り込まれたりした後のことは、一切把握も制御もできません。各ツールは自分のチャネル内でのガバナンスに特化して設計されています。
チャネル横断でのポリシー調整は、事後的にほとんど行われない
一度チャネルごとにガバナンスツールと管理者が配置されると、それらのポリシーを横断的に調整するプロジェクトは誰も担当しなくなります。異なる言語で書かれたルールセットを、異なるシステムが、重複しつつも完全には一致しない市民データのカテゴリに適用しているため、実際には包括的な調整が行われることはほとんどありません。
行政機関でギャップが実際に現れる場面
ガバナンス分断の理論的リスクは、市民データがチャネルの境界を越える特定の予測可能な場面で、現実のものとなります。
添付ファイルの問題
記録管理システム内で厳格に管理されている記録も、多くのメールシステムから見れば、単なるユーザーが添付したファイルにすぎません。そのシステムのアクセスルールや保存期間設定、共有制限は、メールに添付された時点で一切引き継がれません。
統合・AIケース管理の問題
行政機関は、システム同士を統合したり、ケースワーカーの代わりに市民データを読み取るAIケース管理ツールを活用したりと、常にシステムを連携させています。こうした統合の1つ1つが、機密データが通過する新たなチャネルとなり、独自の（多くの場合最小限の）アクセス設定で管理されています。
なぜ分類はデータとともに移動しなければならないのか
こうしたギャップを埋めるには、発想の転換が必要です。各チャネルで独自のポリシーを適用するのではなく、データがどのチャネルに存在していても同じ方法でポリシーを評価する必要があります。
タグや分類を持ち運び可能な属性にする
記録がシステムに取り込まれる時点で機密タグが付与された場合、その分類は次に触れるどんなチャネルにも引き継がれ、チャネルごとのデフォルトにリセットされることなく、一貫した制限が適用されるべきです。
適用範囲は「受け渡し」そのものもカバーしなければならない
市民記録にとって最もリスクが高いのは、チャネル間の「受け渡し」の瞬間であり、どちらか一方のシステム内で静的に保管されている時ではありません。記録をメールに添付するという具体的な行為について何も規定していないガバナンスでは、ギャップを埋めたことにはなりません。
チャネルごとの監査ではなく、分断そのものを監査する
行政機関のIT・コンプライアンス部門が実践すべきは、「記録管理システムは安全か」「メールシステムは安全か」と個別に問うのをやめ、「特定の機密市民記録がチャネル間を移動する際に何が起きているか」を追跡・確認することです。
データコントロールプレーンがチャネル間のギャップを埋める方法
分断を解消するために、行政機関が既に活用しているチャネル固有のツールをすべて置き換える必要はありません。必要なのは、それらすべてを横断するガバナンスレイヤーを追加し、どのチャネルをデータが通過していても同じポリシーを同じデータに対して評価できるようにすることです。
Kiteworksのデータコントロールプレーンは、メール、ファイル共有、API、AIエージェントなど、機密データが通過するすべてのチャネルに対して、単一のデータ認識型ゼロトラストポリシーを適用します。データがシステムに取り込まれる際に自動的に分類が付与され、その分類はデータとともに移動します。これにより、記録管理システム内で適用されていた制限が、誰かがその記録をメールに添付したり、統合経路で取り出そうとした瞬間にも再度適用されます。すべてのチャネルでの適用判断は、改ざん防止かつ無制限の監査ログとして一元的に記録され、SIEMツールに直接連携されます。
自組織のチャネル間ギャップがどこにあるかを特定したい行政機関は、カスタムデモを予約し、単一ポリシーを全チャネルに一貫適用した場合と、現状のチャネルごとのアプローチとを比較できます。
よくあるご質問
記録管理システム、メール、ファイル共有、AIツールごとに、異なるチームが異なる時期に、それぞれ目先の課題を解決するために導入したため、後から横断的な調整が行われていないことが主な理由です。
市民データがシステム間を日常的に移動するため、最も弱いチャネルのリスクが全体のリスクとなります。チャネルの境界で止まるポリシーは、たとえば記録がメール添付として外部に出た時など、データが境界を越えた後は保護になりません。
分類は特定システムに紐づけるのではなく、データ自体の持ち運び可能な属性にすることで、記録管理システム、メール、統合、AIケース管理ツールなどチャネルをまたいでも一貫して制限を適用できるからです。
すべてのチャネルに単一のデータ認識型ゼロトラストポリシーを適用し、分類と制御がメール添付や統合などの受け渡し時にもデータに追従することで、すべての判断を1つの改ざん防止監査ログに記録します。