サプライヤーにリモートアクセスを認める前に範囲を定める

サプライヤーとのリモートサポートの前に、対象システム、開示可能な情報、サプライヤーが求める行為を、誰が承認できるか特定します。購買側が支援を求めたこと自体では、これらの権限は定まりません。セッションを手配する前に、アクセスの判断を明示します。

一つのサポート目的に紐付けた、リモートサポートの承認・終了記録を使います。これは事務管理手法であり、セキュリティ設定ガイドではありません。実際のサポート契約、購買側の IT ポリシー、メーカー文書、正式な承認記録は提供されていません。ここにある内容は、接続、認証情報の交換、ソフトウェアのインストール、設備の操作、既存システムの変更を一切許可するものではありません。

誰が何のために要求しているかを確認する

購買側がすでに認識しているサポート案件や問題から始めます。要求元の組織、分かる場合は参加者の氏名、リモートでの関与が提案された具体的な理由を記録します。セッションでどの回答や成果物を得る予定かを尋ねます。

購買側の既存のサービス記録またはメーカー記録にある確立された連絡経路で、要求を確認します。新たなアクセス要求に含まれる署名、連絡リンク、電話番号だけに頼ってはいけません。要求を認識済みの案件にまだ結び付けられない場合は、適切な購買側責任者の下で保留にします。

正当なサポート目的と確認済みの参加者がいても、アクセスの判断は残ります。サプライヤーが必要とするのは一つの文書でも、提案されたセッションでは、より広い作業領域が見えるかもしれません。提案されたアクセス方法を元の購入の一部と扱わず、その不一致を権限を持つ審査担当者に説明します。

要求を範囲ごとの判断に分ける

対象となる正確なシステムまたは記録と、要求されたアクセス形態を、購買側の IT・セキュリティ責任者が評価できる言葉で記述します。「文書 DOC-7 を支援する」だけでは、サプライヤーが選択された文書を見るのか、より広い画面を見るのか、端末を操作するのか分かりません。これらは異なる要求範囲です。

提案されたセッションで提示され得る情報を、責任者が露出すると特定した無関係の資料も含めて一覧にします。情報責任者に、何を誰に、何の目的で共有できるか判断してもらいます。選択された資料を閲覧する承認を、フォルダー全体のコピーや保持の承認と要約してはいけません。

録画、ファイル転送、参加者の追加、セッション後のアクセスが提案されているかを記録します。沈黙を合意と扱ってはいけません。サプライヤーが範囲を説明できなければ、購買側に承認を求める前に、より明確な提案を求めます。

各部分の権限者を特定する

サポート案件の責任者は業務上の問いを説明します。システム責任者と IT・セキュリティ責任者は、購買側の実際のプロセスに基づき、許可できるアクセスを決めます。情報責任者は開示範囲を決めます。製品やその運用に影響し得る提案は、該当する技術責任者が扱う必要があります。

小規模な組織では役割が重複することもありますが、各承認が何を対象とするかを記録で示します。通話の日程調整を認められた人が、顧客記録の開示や端末変更の承認を認められているとは限りません。発注窓口が転送を繰り返すことで、それらの権限を引き継いではいけません。

責任者が対応できない場合は、購買側の確立された代行承認経路を使います。その経路がなければ、アクセス要求は未解決として保持します。サプライヤーの急ぎの事情も、サポート受付の完了も、不足する権限を補うものではありません。

終了確認の義務を含む承認記録を使う

要求、判断、最終的な終了証拠を、関連付けられた一つの記録にまとめます。以下は編集上の確認項目であり、優先するのは購買側の実際のセキュリティおよびデータ取り扱いプロセスです。

パスワード、ワンタイムコード、トークン、復旧情報をこの記録に入れてはいけません。認証情報を集めずに、組織の認められたプロセスを参照するものとします。この記事は、アクセス設定やセキュリティ設定変更の手順を示しません。

セッション中に承認内容を理解できるようにする

購買側の確立されたプロセスでセッションを進める前に、関係する参加者が承認された目的と境界を特定できるようにします。許可内容の唯一の説明が、長いメールのやり取りになってはいけません。

範囲を超える要求の購買側窓口を指定します。サプライヤーが、より広いアクセス、別の参加者、追加のデータ転送を提案した場合は、その拡大を一旦止め、新しい要求を関係する判断責任者へ戻します。記録には元の許可と後の判断を両方残します。

セッションを、技術作業を紛れ込ませるために使ってはいけません。提案された活動が、確立された権限外の設備操作、試験、診断、サービス介入になる場合は、適格なプロジェクトのプロセスへ照会します。購買調整担当者が立ち会っても、その活動を承認したことにはなりません。

一つの文書を超えて要求が広がる架空の例

架空のサポート案件が、アクセスできない承認済み指示書に関するものだとします。購買側には、説明を得るため、指定された DOC-7 のコピーを確認済みのサプライヤー窓口と共有する許可があります。その許可は、その資料と目的だけを対象とし、リモートのシステムアクセスは一切承認されていません。

その後、サプライヤーは問題を調べるため、受信者のノートPC全体を操作したいと要求します。これは、指定された文書の閲覧より広い要求です。調整担当者は、新たに要求された範囲を記録し、アクセスや認証情報を提供せず、システムおよび IT・セキュリティ責任者へ判断を求めます。

情報責任者も、提案によってどのデータが露出し得るかを確認します。記録は「リモートアクセスを要求中、判断保留」のままです。文書共有の承認は元の範囲に限定され、ノートPCの要求への承認と言い換えることはできません。

責任者は、既存のプロセスで定義された取り決めを承認する、より狭い提案を求める、リモートアクセスを断る、という判断をするかもしれません。この例はツールを選定せず、どの選択肢が安全かも主張しません。成果は明確な判断の境界であり、技術的な設定手順ではありません。

推測ではなく確認によって終了を記録する

承認されたセッションの後は、その実際の範囲、未解決の結果、アクセスの処理状況を、責任者のプロセスに基づいて確認してもらいます。アクセスの取り決めが引き続き利用可能かを確認する際、会話が終わったことは、この手順で求める証拠ではありません。

誰が、いつ、どの承認に照らして処理状況を確認したかを記録します。確認がなければ、適切な責任者に割り当てた具体的な終了確認項目を残します。次のセッションを誰も要求していないという理由で、「アクセス権を解除済み」と書いてはいけません。

保持されたファイルや録画は、承認済みの取り扱い条件と責任者の指示に従って扱います。関連する審査証拠を保持します。このシートは削除、保存期間、法的結論を指定しません。予期しない開示や範囲外の活動は、購買側の確立された報告プロセスで扱います。

完成した記録は、この案件について誰が何を見る・行う権限を与えられたか、実際に何が起きたか、どの責任者が終了状態を確認したかを説明するものです。それが裏付けのある事務上の成果です。セキュリティ認証でも、将来のセッションへの許可でもありません。