機密コンテンツのプレゼンテーション：取締役会のためのデータ保護

取締役会資料は、多くの組織が作成する文書の中でも最も機密性の高いもののひとつです。未公表の財務情報、買収に関する協議、組織再編の計画など、早期に漏洩すれば市場やキャリアを揺るがしかねない内容が含まれます。それにもかかわらず、それを発表するためのツールは、会議室を予約するツールよりも精査されないことが少なくありません。取締役会のデータ保護には、数字そのものに向けるのと同じ厳密さが求められます。そしてその第一歩は、ほとんどの人が問いかけたことのない質問です。「発表」を押した瞬間、資料は実際にどこへ行くのでしょうか？

本記事は、この問いに答えるための実践的なガイドです。何か問題が起きた後ではなく、次の取締役会の前に答えを出さなければならない方々に向けて書いています。

手遅れになるまで誰も問わない質問

ほとんどのプレゼンテーションツールや画面共有ツールは、閲覧者に表示する前にコンテンツをどこかのサーバーにアップロードします。必ずしも悪意があるわけではなく、多くの場合は単に画面共有機能を作るうえで最も簡単な方法だからです。しかしその結果、取締役会資料は自社で管理できないインフラ上に、ベンダーの保持ポリシーが定める期間だけ置かれることになります。

ほとんどのプレゼンテーションでは、それは管理可能なリスクです。しかし取締役会資料、M&A の協議、未公表の決算となれば、率直に尋ねる価値があります。「このツールは私たちのコンテンツを保存することがあるのか。あるなら、どこに、どれくらいの期間か」。その答えによって、リスクが会議の終了とともに終わるのか、それとも全員がノートパソコンを閉じた後も、他者のサーバー上で静かに続くのかが決まります。

「デバイスから出ない」が実際に意味すること

この質問への最も強力な答えは、手続きではなくアーキテクチャにあります。アップロードされないコンテンツは、プレゼンテーションツールが侵害されても流出しようがありません。それに尽きます。これが Cliqer のデスクトップアプリが採用しているモデルです。アプリは、スライドを表示しているコンピューター上で PowerPoint、Keynote、Google Slides などのプレゼンテーションソフトウェアを直接操作します。スライド送りのコマンド、ポインターの位置、そして画面やカメラのストリームは、暗号化された WebRTC を通じて参加者間で直接やり取りされるか、制限の厳しいネットワークでは暗号化されたリレーを経由します。スライドそのものがサーバーにアップロードされることはありません。

この違いは、取締役会や法務チームに向けて明確に説明する価値があります。コンテンツが保存時に暗号化されているのではなく、そもそも暗号化すべき保存コピーが存在しないのです。

実際に送信されるものと、その保護方法

真空の中で行われるプレゼンテーションはありません。ルームの調整レイヤーと参加者の間では一部のデータがやり取りされます。それが具体的に何なのかを把握しておく価値があります。

セキュリティレビュー向けに作成した詳しい内訳は データフロー図 にあります。一時的なデータと保存されるデータの区別についても説明しています。

ルームに入る人を管理する

コンテンツの保護は仕事の半分にすぎません。残りの半分は、適切な人が、そして適切な人だけがルームに参加するようにすることです。

• アクセスは招待制です。 ルームへの参加には専用のリンクまたはコードが必要で、公開リストには掲載されません。
• ホストはすべての参加者を確認でき、セッション中に誰でも退出させたりブロックしたりできます。
• 正式なアクセス要件があるチームでは、チームロール と SSO によって、組織内の誰がそもそも取締役会セッションをスケジュールまたは運営できるかを管理できます。

取締役会の場合は特に、シンプルな社内ルールと組み合わせるとよいでしょう。実際のセッションリンクから参加するのは名前の挙がった予定出席者のみとし、それ以外の人にはライブリンクそのものではなく、事後に録画または書面の要約を共有します。

ガバナンスプロセスに組み込む

組織に新しいツールの正式な IT レビューやセキュリティレビューがある場合、取締役会レベルのプレゼンテーションはまさにレビューを実施すべきユースケースです。そのツールが、より重要度の低い会議ですでに社内の他の場面で使われている場合でも同様です。AV ソフトウェアの IT 承認を得る ためのガイドではそのプロセスを順を追って解説しており、プレゼンテーションソフトウェアのセキュリティチェックリスト では尋ねるべき具体的な質問を紹介しています。

正式なデータ保護義務を負う組織にとっては、英国の ICO による UK GDPR のガイダンス と NCSC の Board Toolkit が、これを純粋な技術的問題ではなくガバナンスの問題として位置づける際に役立つ参考資料になります。

次の取締役会の前に確認する実践チェックリスト

1. プレゼンテーションツールがスライドのコンテンツを一切アップロードしないことを確認し、ガバナンスプロセス上重要であれば書面で確約を得ます。
2. ルームリンクを受け取る人を制限し、名前の挙がった出席者へのカレンダー招待よりも広くアクセスできる場所には掲載しないようにします。
3. 機密性の高いセッションをスケジュールまたはホストする常設の権限を持つ人には、パスキー または SSO を使用します。
4. ホストがセッション中に参加者を確認して退出させられることを確かめ、ホスト担当者にその手順を説明しておきます。
5. 不慣れなネットワークで会議を行う場合は、事前にネットワーク環境を確認します。クライアントやパートナーの拠点で接続の問題が予想される場合は、企業のファイアウォールがプレゼンテーションツールをブロックする理由 をご覧ください。

よくある質問

はじめる

次の機密性の高い会議の前に、ガバナンスプロセスの責任者と一緒に データフロー図 を確認してください。取締役会や法務チームが書面での回答を必要とする場合は、お問い合わせ ください。Enterprise プランでセルフサービスで利用できるすべての内容は、セキュリティの概要 でご確認いただけます。