Tweet
Tweet

Slide 1

Slide 1 text

© kajinari Notion導入後に 管理者が考えると良いこと at Notion Champions - 2023-11-08 kajinari / 梶原 成親

Slide 2

Slide 2 text

© kajinari Agenda ● 自己紹介 ● 本日のゴール ● Enterprise への移行を検討はじめたきっかけ ○ ワークスペースのセキュリティ設定 ○ チームスペースの分割方法の検討 ○ チームスペースごとの権限設定・方針決定 ● Notionガイドラインの策定

Slide 3

Slide 3 text

© kajinari 自己紹介 梶原 成親 | kajinari 楽天、リクルート、エウレカ、ヤプリ、プレイドでコーポレートエンジニ アを担当していました。 プロセスを改善し、自動化を推進して、メンバーが圧倒的なパ フォーマンスを出せる環境構築と、クラウド時代に適応した「モダン な情シス」を構築する外部CIOとして、多くのクライアントの環境構 築をお手伝いしています。 所属 ● 合同会社Kreis-Works.代表社員 ● NOT A HOTEL Inc. 主な書籍 ● 『SCRUM MASTER THE BOOK』翻訳

Slide 4

Slide 4 text

© kajinari 去年、こういうブログを書きました。 https://kajinari.kreis-works.com/f9ef5c6d5ccc4a79b307657de819ec44

Slide 5

Slide 5 text

© kajinari 本日のゴール ● Enterpriseが必要な理由を説明できる。 ● 管理者が情報統制の観点で、やるべきが整理されている。 ● Enterpriseが提供している各セキュリティ機能を確認できる。

Slide 6

Slide 6 text

© kajinari Enterpriseへの移行を 検討したきっかけ

Slide 7

Slide 7 text

© kajinari Enterprise前の課題 ● Notionアカウントの正社員限定のコンテンツや各部署・チーム毎に適切な権限設定ができ ていない。 ● 全アカウントでフルアクセス権限を持っていた。 ● フルアクセス権限を持っていると、 ○ Web公開、ゲスト招待をできる。 ○ Web公開しても監査ログに残らないので、経緯が分からない。 ○ Notionページがエクスポートできてしまい、情報漏洩につながる。 ● ページ階層が深くて、確認したいページを探すのが大変だった。 ○ 欲しい情報に探し出すには、検索するか、記憶を頼りにするか。 ○ 検索するにも、キーワードが分かってないとたどり着かない。

Slide 8

Slide 8 text

© kajinari チームスペースを活用し、 権限を適切にコントールする

Slide 9

Slide 9 text

© kajinari チームの課題 ● 全社のコンテンツが、ひとつのチームスペースにまとめられていた。 ○ チームスペース機能がローンチされる前から使っていたため。 ● すべてのメンバーがフルアクセス権限になってた（デフォルトのまま） ● 権限付与されているがため誤った操作が頻繁に発生してた ○ 別チームの従業員が、別チームのデータベースを壊しちゃったりとか。 ○ 誤ってページ削除しちゃったりとか。 解決方法：チームスペースの活用

Slide 10

Slide 10 text

© kajinari 解決方法：チームスペースの活用 こうやって解決しました。 ● 正社員のスペース、部署毎にチームスペースを作成して、分割しました。 ● 権限を適切にコントロールして、誤った操作による事故を減らすようにした。 ● チームスペース作成の考えかた ○ 会社アカウントを持ってると見れるスペース ○ 社員が閲覧・編集できるスペース ○ 部門メンバーが閲覧・編集できるスペース ○ Web公開しているページを配置するスペース ● チームスペース毎に、利用用途や閲覧できる人を明確化しました。

Slide 11

Slide 11 text

© kajinari 解決方法：チームスペースの活用 【注意】公開スペースの運用 ● 公開スペースにしてしまうと、会社ドメインのアカウントを付与している機密情報が閲覧でき ることになります。 ○ 例として業務委託者等、アサインすることで閲覧できるようにしておくのが良い場合が ある。 ● ポータルサイト等、公開情報を中心に閲覧できるようにする。 ● ページが増えて行っても、機密情報が混在しないようにガイドラインを作成する。 ● 会社で運用する場合、ほとんどのケースで、クローズド、プライベートになることが多いと思 います。

Slide 12

Slide 12 text

© kajinari ガイドラインの例

Slide 13

Slide 13 text

© kajinari 【新しい課題】 チームスペースが増える毎に権限設 定の負荷が増える

Slide 14

Slide 14 text

© kajinari 解決方法：チームスペースの活用 チームスペースが増えるたびに権限設定の負荷が増える。 どういうことか？ ● 正社員チームスペース、ビジネスチーム用チームスペース、開発用チームスペースと、チー ムスペース毎に権限設定必要になります。（当然） ● 負荷軽減しようと、グループ権限を持たせる方法もあるが、チームスペース毎のグループを 作成し、それへアサインする必要があります。 ● これを手動で行うとなると、相当な負荷になることが予想される。

Slide 15

Slide 15 text

© kajinari 解決方法：チームスペースが増えるたびに権限設定の負荷が増える。 こうやって解決 その現場では、Okta導入済みだったため、Okta で グループを自動生成して、Notionへ同期させ ることで解決しました。 ● Okta で属性情報に応じて自動的にグループ作成する。 ○ 例：Division = Sales, だったら、 team-sales グループ作成し所属させる。等 ● セールス用チームスペースに、team-sales を権限設定する。 ● 入社などによってメンバーが増えても、自動的に Notionにグループ情報が同期される。 ● 正社員グループ、XX部署グループ等、権限設定に必要なグループを生成して、グループ同 期し、それを権限設定に活用する。

Slide 16

Slide 16 text

© kajinari 解決方法：チームスペースが増えるたびに権限設定の負荷が増える。 設定画面のスクリーンショット この自動化により権限設定に関 わる工数は０になりました。

Slide 17

Slide 17 text

© kajinari 解決方法：チームスペースの活用 ポイント解説 ● 属性・部署などに応じてチームスペースを作成する。 ● IdPがあれば、自動化により権限設定工数は０にできる。 ○ IdPがない場合は、スペースの数は運用できる工数と相談しましょう。 ● チームスペース毎にフルアクセス必要なグループ、編集 or 閲覧グループなどを作成する。

Slide 18

Slide 18 text

© kajinari チームスペースを導入によっ て、ツリー構造をシンプルに

Slide 19

Slide 19 text

© kajinari チームの課題 ● 全社のコンテンツが、ひとつのチームスペースにまとめられていた。 ● 会社の組織図に沿って、ページツリーが作られていたため、 ○ チームのコンテンツにたどり着くために、階層がかなり深くなってた。 ○ お気に入りを使いすぎて、その数がカオスになってた（人によっては 30ページとか） ● 新しい人は、どこにページを作って良いか分からない状態だった。 ● どこに何があるのか俯瞰して、理解できない状態だったため、まずどのページを見ると良い か確認する作業が必要だった 解決方法：ツリー構造をシンプルにする

Slide 20

Slide 20 text

© kajinari 実施した事 ● 部署ごとにチームスペースを作成し、各部署に管理を移譲して、使い方を考えてもらう。 ● ツリー構造を深くならない様にメンバーもサイドバーを編集できるようにする。 ● 新しいチームスペースへページを移動する際は、 URLは変わらないのでバッサリと移動す れば良いと思います。 解決方法：ツリー構造をシンプルにする

Slide 21

Slide 21 text

© kajinari 変更したスペースのイメージ

Slide 22

Slide 22 text

© kajinari 導入効果 ツリー構造をシンプルにしたことで ● 目当てのページに数クリックでたどり着けるようになった。 ● 新しく会社に参加した人が、全体を把握しやすくなった。 ● 新しくページを作成するときに、作成しやすくなった。 チームスペース適切に分割することで ● 検索する時に絞り込みやすくなるのもメリットです。 解決方法：ツリー構造をシンプルにする

Slide 23

Slide 23 text

© kajinari 情報を外部に持ち出せないよう に統制する

Slide 24

Slide 24 text

© kajinari 解決方法：情報を外部に持ち出せないように統制する 課題 どれも情報漏えいに繋がりかねない。。 ● エンタープライズ以下のプランでは、以下の機能を無効にすることができない。 ○ ページのWEB公開を制限する ○ 他のワークスペースへのページの複製 , 移動 ○ ページのエクスポート ○ メンバーによるゲスト招待 ● 従業員が新しいワークスペースを好きに作ることができる。 ● エクスポート、ページの複製、Web公開などのアクティビティをログに残せない。

Slide 25

Slide 25 text

© kajinari 解決方法：情報を外部に持ち出せないように統制する

Slide 26

Slide 26 text

© kajinari 解決方法：情報を外部に持ち出せないように統制する 実施した事①：ページのWeb公開の実装方針 ● Web公開が必要なケースがあり、ワークスペース単位で無効化すると困ります。 ○ 例：採用サイト、顧客向けの情報提供として、 Notionを使う （Webサイトを別途作るより、早く価値を提供できるので良く使います。） ● チームスペース単位で「ページの Web公開」を制御する。 ● 公開用ページを配置するチームスペースを作成して、そこで公開を許可する。 ● 公開するときは、依頼に応じて公開するようにしています。

Slide 27

Slide 27 text

© kajinari 解決方法：情報を外部に持ち出せないように統制する 導入効果 ● 機密情報が記載されているページを Web公開する事ができなくなりました。 ● 安易に元気よくやっちゃうのを０にすることができるのでオススメです。

Slide 28

Slide 28 text

© kajinari 解決方法：情報を外部に持ち出せないように統制する 【補足】 ● Web公開しているページ一覧はチェックできるようになりました。 ● 一度、チェックしてみてください。 Entepriseにアップセルしたくなると思います。

Slide 29

Slide 29 text

© kajinari 解決方法：情報を外部に持ち出せないように統制する 実施した事②：ゲストアカウントの運用 ● メンバーがページにゲスト招待を「無効」に設定しました。 ● めんばーがページにゲスト招待するのを避けたいというよりも、 ”フルアクセス権限” を付与 するのを避けたい。（ゲストがゲストを招待する等できちゃう） ● 管理者にリクエストを出す事ができるので、チェックしてゲスト登録できます。

Slide 30

Slide 30 text

© kajinari 参考：ゲスト招待のリクエスト

Slide 31

Slide 31 text

© kajinari 解決方法：情報を外部に持ち出せないように統制する 導入効果 ● 安易にゲストに対してフルアクセス権限を付与することが、０になりました。 ● 管理者チェックが入るので、ゲスト登録も適正な運用がされるようになりました。 【補足】 ● ゲストに有効期限等ないため、定期的な監査は必要になりそうですね。 ● Notionに是非、実装頂きたい機能ではあります。

Slide 32

Slide 32 text

© kajinari 解決方法：情報を外部に持ち出せないように統制する 実施した事③：他のワークスペースへのページの複製を無効化する ● ツリー単位でデータを持ち出せるので、悪意のある持ち出しがあった時に、規模の面で危険 なため無効化します。 ● ただし、複数ワークスペースを運用している時は難しい。複数のワークスペース間でページ の移動が必ず発生するためです。 ● チームスペース機能によって、ワケているメリットは少なくなったので、なるべく一つのワーク スペースでやるのが良いのかなと思っています。

Slide 33

Slide 33 text

© kajinari 解決方法：情報を外部に持ち出せないように統制する 実施した事④：エクスポートの禁止 ● PDF、HTML、CSV、Markdownでエクスポートできます。添付ファイルや画像などもダウン ロードを禁止しました。 ● 従業員は関係者に共有するために PDFを使いたい要望が出てきます。 ● そういう時は、ブラウザ印刷でPDF化してもらう事で解決しましょう。 ● この禁止の本質は、RAWファイルや、テキストデータでの持ち出しを禁止する事だったた め、ブラウザ印刷で代用することで解決します。

Slide 34

Slide 34 text

© kajinari 解決方法：情報を外部に持ち出せないように統制する 実施した事⑤：定期的な監査ログチェック ● エンタープライズ以外のプランでは、 Web公開やエクスポート、他のワークスペースへの情 報流出などの行動をログに記録できませんし、制御もできません。 ● 特にNotionはその会社のノウハウの塊みたいなものですから、情報漏えいを簡単に実行 できちゃうし、監査ログも残らないので完全犯罪が簡単にできちゃう ので、ここをノーガード なのは危ない印象です。 ● 個人的には企業として利用するのであれば、早くエンタープライズにしないと怖いと思って います。

Slide 35

Slide 35 text

© kajinari Notion活用ガイドラインを 作成する

Slide 36

Slide 36 text

© kajinari Notion活用ガイドラインをちら見せ

Slide 37

Slide 37 text

© kajinari

Slide 38

Slide 38 text

© kajinari なぜ、ガイドラインが必要なのか。 ● こう使って欲しい等、好ましい「ふるまい」を定義しておくことが重要。 ● 各チームスペース毎に書いて欲しいドキュメントなどを知らせておく。 ○ 権限設定内容を伝えておくと、無駄な問合せも減る。 ● Notionのテクニックよりも「考え方」を、合わせておくことが重要。 ● こう使ったら良いんだな！を想起できるようになってるといいかなぁと。

Slide 39

Slide 39 text

© kajinari