L-WORKSは、社内で情報の取り扱いに関する事案が発生したことを受け、当社が自社開発した機密文書管理システムです。
業務で使っている文書ツール上の機密文書に対し、閲覧できる相手と時間を制限します。アクセスは必要なときにだけ開かれ、1時間が経過すると自動的に閉じます。文書にはリンク共有・外部共有・コピー・ダウンロード・印刷の禁止が強制的に適用され、誰がいつ何をしたかはすべて記録に残ります。
開発はLAFを用いながら、テストに十分な時間をかけ、3名体制・約半年をかけて完成させました。
2026年7月から当社で利用を開始し、他社にも提供しています。
機密文書の管理は、どの会社も何らかの形で行っています。閲覧できる人を限り、社外秘の表示をつけ、共有の範囲に気を配る。当社もそうしていました。それでも、事案は起きました。
原因を突き詰めると、管理そのものが人の注意力に依存していたことに行き着きます。誰にアクセスを許すかは人が設定し、不要になったら人が外す。表示をつけるのも人であれば、それが消えていないかを確認するのも人です。どこか一箇所で手が止まれば、その瞬間から管理されていない状態が始まります。そして、止まったこと自体に誰も気づきません。
そこで、管理を人の手から外す設計にしました。アクセスは必要なときにだけ開き、1時間で自動的に閉じます。コピー・ダウンロード・印刷・他者への共有は、文書を登録した時点で強制的に禁止されます。文書につけた持出禁止の表示が消えていないかは、システムが1時間ごとに確認し続けます。そして、誰がいつ何をしたかは、すべて記録に残ります。
現在、当社の機密文書はこの仕組みの下で運用されています。管理されている状態を作るのではなく、管理されている状態が崩れない形にすること。それがL-WORKSの設計思想です。
情報を法律上の営業秘密として守るには、いくつかの要件を満たす必要があります。そのうち特に争点になりやすいのが、秘密として管理されていたかどうかという点です。裁判では、この要件が認められずに終わった例も少なくありません。
求められるのは、会社が秘密として扱う意思を、実際の管理措置によって社員に示していることです。具体的には、アクセスできる人を限ること、秘密であることを表示すること、持ち出しのルールを定めること、そして誰がいつ閲覧したかの記録を残すこと。文書が電子化された現在では、権限の設定と記録の取得が、管理の実態を示す証拠になります。
厳しいのは、表示があるだけでは足りないという点です。社外秘と明記されていても、コピーの配布部数を確認する、使用後に回収するといった措置が取られていなかったことを理由に、管理していたと認められなかった事例があります。
当社も、機密文書の管理は行っていました。閲覧できる人を限り、社外秘の表示をつけ、共有の範囲に気を配る。やるべきとされていることは、ひととおりやっていたつもりでした。それでも、事案は起きました。
起きてから分かったのは、管理のすべてが人の手に委ねられていたことです。
誰にアクセスを許すかは、人が設定します。そして、不要になったときに外すのも人です。プロジェクトが終わったとき、担当が変わったとき、社員が退職したとき。そのたびに設定を見直す必要がありますが、この作業は後回しになります。外し忘れた権限は、外し忘れたまま残り続けます。誰も困らないため、誰も気づきません。
共有の設定も同じです。文書を作った人が、その都度、外部への共有やダウンロードを禁止に設定する。忘れれば、そのまま開いた状態になります。
表示に至っては、さらに脆いものでした。文書の冒頭に持出禁止と書いても、それは文字でしかありません。誰かが誤って消せば、消えたままです。消えたことに気づく仕組みが、どこにもありませんでした。
そして最も深刻だったのは、記録です。何かが起きたとき、誰がいつその文書を見ていたのかを、後から辿ることができませんでした。管理していたと主張したくても、それを裏づけるものがない。管理していたつもりだったという状態は、証明できなければ、管理していなかったことと同じ扱いになります。
事案のあと、既製の製品も検討しました。この分野には製品が数多くあり、機能も充実しています。暗号化、細かな権限設定、透かしの挿入、アクセス記録。必要とされる機能は、たいてい揃っています。
それでも自社で作ることを選んだのは、2つの理由からです。
ひとつは、文書を移さずに済ませたかったことです。多くの製品は、専用の保管場所を用意し、そこへ機密文書を移すことを前提にしています。安全な場所を作り、そこで扱ってくださいという考え方です。しかし、社員が日常的に使っている場所と、機密文書を置く場所が分かれると、行き来が面倒になります。面倒な仕組みは、いずれ使われなくなります。使われなくなった時点で、管理の実態は失われます。
秘密として管理していたと言えるかどうかは、規程の有無ではなく、運用が続いていたかで判断されます。続かない仕組みを入れることが、最も危険だと考えました。
もうひとつは、管理の担い手を人にしたくなかったことです。
既製の製品を入れれば、設定できる項目は増えます。しかし、その項目を設定するのは人です。権限を外すのも、表示をつけるのも、それが消えていないか確認するのも、結局は人が行います。管理者の作業が増えるだけで、事案の原因だった「人の注意力に依存する構造」はそのまま残ります。
必要だったのは、機能を増やすことではありませんでした。人が判断する箇所を減らすことでした。
そこで、次の考え方で設計しました。権限は与えるのではなく貸す。時間が来れば自動的に返される。共有やダウンロードの禁止は、文書を登録した時点で強制的に適用され、管理者が設定を忘れる余地をなくす。表示が消えていないかは、システムが定期的に確認し続ける。そして、すべての操作を記録に残す。
管理されている状態を人が作るのではなく、管理されている状態が自然に保たれる形にする。この考え方は既製の製品では実現できず、自分たちで作る必要がありました。
開発はLAFを用いて進めました。LAF（LEGAREA AI Framework）は、AIを使って設計から実装までを進める当社独自の開発フレームワークです。体制は3名、期間は約半年でした。
当社の他のシステムは、いずれも2ヶ月から4ヶ月で完成させています。L-WORKSだけが長いのは、作るのに時間がかかったからではありません。テストに時間をかけたからです。
このシステムは、動いていることを確認するだけでは足りません。動いていないはずのことが、本当に動いていないかを確認する必要があります。禁止したはずのダウンロードができてしまわないか。切れたはずの権限で、まだ文書が開けてしまわないか。見えないはずの相手に、文書の存在が見えてしまわないか。
できることを確認するテストは、結果が画面に出ます。できないことを確認するテストは、何も起きないことを確かめる作業です。手間がかかるうえ、見落としても気づきません。ここに時間を投じました。
実際、開発の途中で重大な事実に気づいています。閲覧者として招待された人が、共有ボタンから第三者を招待できてしまう。招待された人が、さらに別の人を招待できる状態でした。これでは、誰がアクセスできるかを会社が把握できません。
この挙動は、仕様書を読んでいるだけでは分かりませんでした。実際に権限を与え、その人の画面で何ができるかを確かめて、はじめて見つかったものです。以降、想定どおりに制限がかかっているかを、一つひとつ実機で確認する方針に切り替えました。
設計で判断に迷った点もあります。文書につけた持出禁止の表示が消えていた場合、自動で復元するかどうかです。
技術的には復元できます。しかし、復元してしまえば、消えていた事実そのものが残りません。いつから消えていたのか、その間に誰が文書を見ていたのか。後から辿るべき情報が失われます。
そこで、自動では復元しない設計にしました。消えていることを検知したら、記録に残し、その時間帯に閲覧していた人の情報とあわせて管理者に伝える。戻すかどうかは人が判断します。便利さより、記録が残ることを優先しました。
速く作れることと、速く出すことは違います。動かないシステムは直せますが、守れていなかったシステムは取り返しがつきません。この案件では、速さを取りませんでした。
アクセスの権限は、必要なときに開き、1時間で自動的に閉じます。外す作業がないため、外し忘れという事態が起こりません。退職者についても同じです。認証に必要な番号は社内の連絡ツールに届く仕組みのため、組織から抜けた人には届きません。権限を削除する作業をしなくても、アクセスできない状態になります。
コピー・ダウンロード・印刷・外部への共有・他者の招待は、文書を登録した時点で禁止が適用されます。管理者が設定する項目ではなくなったため、設定漏れが起こりません。
文書につけた持出禁止の表示は、消えていないかをシステムが定期的に確認しています。消えていれば記録に残り、その時間帯に閲覧していた人とあわせて確認できます。
そして、すべての操作が記録されています。誰が、いつ、どの文書に、何をしたのか。アクセスの許可も、失効も、失敗も残ります。
この記録が、最も大きな成果です。
機密情報を守っていたと主張する場面では、規程があることではなく、実際に管理が続いていたことが問われます。アクセスできる人が限られていたか、秘密であることが示されていたか、誰が見たかを辿れるか。当社は現在、そのすべてを記録として示せる状態にあります。
課題の章で書いたとおり、管理していたつもりだったという状態は、証明できなければ管理していなかったことと変わりません。いま当社にあるのは、つもりではなく記録です。
当社では2026年7月からL-WORKSの利用を開始し、現在は他社にも提供しています。
L-WORKSは、実際に事案を経験した会社が、二度と同じことを起こさないために作ったシステムです。同じ不安を抱える企業様に、引き続きお届けしてまいります。
Contact
お問い合わせ
