ITトレンドがおすすめする製品・サービス
- ■認証・権限管理の方式別
- シングルサインオン（SSO）対応：Loglass 人員計画
- 多要素認証対応：Loglass 人員計画
- 役職・組織単位の閲覧権限設定：Loglass 人員計画
- 管理者権限や承認フローの設定：ジョブカン勤怠管理、KING OF TIME、ジンジャー勤怠
- ■提供会社の第三者認証別
- ISMS（ISO/IEC 27001）認証取得：ジョブカン勤怠管理、KING OF TIME、ジンジャー勤怠、Loglass 人員計画、oplus、SHIFTEE
- プライバシーマーク取得：KING OF TIME、ジンジャー勤怠、oplus
- ■記録と連携の仕組み別
- システムログの管理や保管：KING OF TIME、oplus
- API連携に対応：ジョブカン勤怠管理、KING OF TIME、ジンジャー勤怠、oplus
WFMが扱う情報とセキュリティ上のリスク
WFMのセキュリティを考える第一歩は、システムにどのような情報が集まるかを把握することです。WFMには、人事情報と、事業の動きを示す業務データの両方が蓄積されます。
従業員の個人情報と勤務実績
WFMには、氏名や連絡先、雇用形態、保有資格やスキル、勤務希望、出退勤の実績などが登録されます。希望休の理由や勤務制限の事情として、通院や家庭の状況が備考欄に入力される場合もあります。
健康状態に関わる情報は、個人情報保護法で特に配慮が必要な「要配慮個人情報」にあたる可能性があります。備考欄に何を書いてよいかを社内で決めておくと、不要な情報の蓄積を防げます。勤務の配慮に必要な事情は「夜勤不可」のように結論だけを登録し、詳しい理由は人事の管理する別の記録で扱う方法も考えられます。
需要予測に使う売上や業務量のデータ
WFMは、必要な人員数を算出するために、売上や来店客数、受注件数、コールセンターの入電数などの業務量データを取り込みます。これらは個人情報ではありませんが、事業の状況や繁閑の傾向を示す社外秘の情報です。
拠点別の人件費や予算と実績の差など、経営に近い数値を扱う製品もあります。個人情報だけを保護の対象と考えず、業務量データや人件費データにも閲覧範囲を設定する必要があります。特に、需要予測を検証するために外部の分析担当者へデータを渡す場合は、渡す項目と期間を絞りましょう。
連携が増えるWFMで起こりうる漏えいの経路
WFMは勤怠管理や給与計算、POS、生産管理などと連携して使われる場合があり、連携部分が情報漏えいの経路になる場合があります。代表的な経路と対策を確認しましょう。
API連携で使う認証情報の管理
API（システム同士をつなぐ窓口）で連携する場合、接続に使う認証キーやトークンが必要です。これらが設定資料やメールに平文で残っていると、第三者に不正利用されるおそれがあります。
認証キーは保管場所と閲覧者を限定し、担当者の異動時や定期的なタイミングで再発行しましょう。連携ごとに付与する権限を必要な範囲に絞れるかも、製品選定で確認したい項目です。例えば、勤怠システムへの連携には勤務実績の読み取りだけを許可し、従業員情報の更新は許可しないといった設定です。
CSVファイルによる受け渡し
API連携ができない場合は、CSVファイルを出力して他システムに取り込む運用がとられます。この方法では、ファイルが個人のパソコンや共有フォルダ、メール添付に残り、管理の目が届きにくくなります。
出力できる担当者を限定する、受け渡し後のファイルを削除する、パスワード付きの圧縮に頼らず権限管理された保管場所を使うなど、手順を決めておきましょう。出力の操作履歴が残るかも確認が必要です。連携の頻度が高い場合は、手作業を減らすためにもAPI連携への切り替えを検討するとよいでしょう。
連携先システムとの責任分界
連携部分で問題が起きた場合、原因がWFM側にあるのか連携先システム側にあるのかを切り分ける必要があります。双方の提供会社や社内の担当部署が異なると、対応の責任が不明確になり、調査が遅れるおそれがあります。
導入時に、連携の仕様、データの受け渡し方法、障害時の連絡先と一次対応の担当を文書にまとめておきましょう。責任分界をあらかじめ決めておくことで、迅速な原因調査につながります。
WFMに求めたいアクセス制御と記録の仕組み
WFMは本社の人事担当、拠点の管理者、現場のスタッフなど、立場の異なる多くの人が利用します。誰がどの情報を見られるかを制御し、操作の記録を残せる仕組みが重要です。
役割と拠点で閲覧範囲を分ける機能
拠点の管理者には自拠点の従業員情報だけを、スタッフには自分のシフトと必要な範囲の同僚の勤務予定だけを表示するといった制御が求められます。人件費や評価に関わる情報は、さらに限られた役職者だけに見せる設定が望まれます。
製品によって、権限を設定できる単位が役割ごとか、拠点や部署ごとか、項目ごとかが異なります。兼務者や応援勤務で複数拠点に関わる従業員がいる場合、その人の閲覧範囲をどう設定できるかも確認しておきたい点です。自社の組織構造を表現できるかを、デモ環境で確かめましょう。
操作ログと変更履歴の保存
確定したシフトの変更や従業員情報の更新、データの出力を、誰がいつ行ったかを記録できるかは重要な確認項目です。記録があれば、誤って変更された場合の原因調査や、不正な閲覧の有無の確認に役立ちます。
ログの保存期間や、管理者が画面から検索・出力できるかも製品により異なります。社内の監査で必要な保存期間を満たせるかを、提供会社に確認しておきましょう。ログは記録するだけでなく、定期的に確認する担当と頻度を決めて初めて役立ちます。
シングルサインオンと多要素認証
シングルサインオン（SSO）は、社内で使っている認証基盤のIDで複数のシステムにログインできる仕組みです。退職者のIDを認証基盤で止めれば、WFMへのログインもあわせて止められるため、削除漏れの防止に役立ちます。
多要素認証は、パスワードに加えて別の要素で本人確認を行う仕組みです。管理者権限を持つアカウントだけでも多要素認証を設定できるかを確認しておくと安心です。
ITトレンドでは、最新の製品・サービスを多数比較・掲載しています。まず資料請求して、さまざまな製品の機能や特徴を比較してみてください。忙しい業務時間内でも、各社に問い合わせる手間なく、たった1回の入力（約60秒）でシフト管理・人員計画システム（WFM）の一括資料請求が可能です。浮いた時間で、じっくりと製品を比較検討し進めましょう。
WFM提供会社のセキュリティ体制を評価する方法
クラウド型のWFMでは、データの保管や基盤の運用を提供会社に委ねます。個人情報保護法では、個人データの取り扱いを委託する場合に委託先を監督することが求められます。提供会社の体制を、客観的な資料で確認しましょう。
第三者認証と公開資料の確認
ISMS（情報セキュリティマネジメントシステム）の国際規格であるISO/IEC 27001の認証や、プライバシーマークの取得状況は、提供会社の管理体制を確認する手がかりです。認証の対象範囲がWFMの提供部門を含むかもあわせて確認しましょう。
セキュリティに関するホワイトペーパーや、外部監査の報告書を開示している提供会社もあります。公開されていない場合は、秘密保持契約を結んだうえで提供を受けられるかを問い合わせてみましょう。
チェックシートで質問したい項目
情報システム部門が用意したセキュリティチェックシートで、提供会社に回答を求める企業もあります。WFMの場合は、データの保管場所、通信と保存データの暗号化、バックアップの頻度、障害や漏えい時の通知方法を確認したい項目に含めます。
あわせて、契約終了時のデータの返却方法と削除の証明、サポート担当者が自社データを閲覧する際の手続きも確認しましょう。回答内容は製品間で同じ項目に並べると比較できます。
WFMのセキュリティを保つ社内の運用ルール
システムの機能や提供会社の体制が整っていても、社内の運用が伴わなければ安全性は保てません。導入後に継続して行う運用ルールを決めておきましょう。
権限とアカウントの定期的な棚卸し
異動や昇格、退職のたびに権限を見直す運用を決めていても、手続きの抜けが起こる場合があります。そのため、四半期や半期ごとに、アカウントの一覧と付与している権限を出力して点検する機会を設けましょう。
点検は人事担当と情報システム担当の複数人で行い、結果を記録に残すと、担当者が替わっても同じ水準を保てます。使われていない管理者アカウントの停止も、点検の対象に含めます。
インシデント発生時の連絡と対応の手順
誤送信や不正アクセスが疑われる事態が起きた場合に備え、社内の報告先、提供会社への連絡方法、影響範囲の調査手順を決めておきます。個人情報保護法では、一定の漏えい等が発生した場合に個人情報保護委員会への報告と本人への通知が求められます。
報告の要否の判断には、どの情報が何件影響を受けたかの把握が必要です。操作ログを確認できる担当者を複数人決めておくと、初動を早められます。
認証取得と保護機能で比べるWFM製品一覧
認証や権限管理の仕組み、提供会社の第三者認証に注目して、この記事で取り上げる製品を一覧にしました。情報システム部門との確認の際に活用してください。
| 製品名 | 特徴 |
|---|---|
| ジョブカン勤怠管理 | ジョブカンシリーズでISO/IEC 27001認証を取得。管理者権限の設定やAPI連携に対応 |
| KING OF TIME | ISMS・プライバシーマークを取得。システムログのシリーズ製品を契約後に無料で利用可能 |
| ジンジャー勤怠 | ISO/IEC 27001・プライバシーマークを取得。最大10段階の承認フローやAPI連携に対応 |
| Loglass 人員計画 | SSO・多要素認証に対応。役職・組織・ユーザー単位で人件費情報の閲覧権限を管理 |
| oplus | ISMS・プライバシーマークを取得。通信・機密データの暗号化やログの取得・保管などに対応 |
| SHIFTEE | ISMS/ISO 27001認証に関する情報を公開。アプリとPCでシフト作成・調整から労務管理まで対応 |
認証・権限の確認に役立つWFM製品
提供会社の第三者認証やセキュリティ対策の公開状況、アクセス制御の機能など、セキュリティを評価する材料を確認しやすい製品を紹介します。
ジョブカン勤怠管理
- 1ヶ月ごとのシフト状況を1つの画面で確認可能！楽々シフト作成！
- スタッフへのシフト募集からシフト作成までをシステム上で実現！
- 人員の過不足が背景色で一目瞭然！人員配置が楽々！
株式会社DONUTSが提供する「ジョブカン勤怠管理」は、管理者権限の設定や外部システムとの連携を重視する企業向けのクラウド型勤怠管理システムです。ジョブカンシリーズとして情報セキュリティマネジメントシステムの国際規格「ISO/IEC 27001」の認証を取得しています。シフト作成から打刻・勤務時間の集計までを一元管理し、管理者による勤怠情報の確認や承認業務を効率化。API連携にも対応しており、外部システムとのデータ連携を進めたい企業にも適しています。
KING OF TIME
- 20年以上要望に応え続けた圧倒的信頼性。細かな要望に応えます。
- 導入から運用後も。豊富なノウハウと体制万全のサポート。
- パターン登録数無制限。様々な働き方に対応します。
株式会社ヒューマンテクノロジーズが提供する「KING OF TIME」は、勤怠管理に加えてシステムログも管理したい企業向けのクラウドサービスです。ISMS（ISO/IEC 27001）とプライバシーマークを取得しており、契約後は「システムログ」などのシリーズ製品を無料で利用できます。管理者権限や承認フローの設定に対応し、シフト作成から勤怠集計までを一元管理。CSVやAPIによる外部システムとのデータ連携も可能で、勤怠管理の効率化と運用体制の整備を支援します。
ジンジャー勤怠
- 給与システムとの連携も簡単！
- アプリも対応！スマホやタブレットで簡単操作
- 希望シフト収集や募集、休暇申請/承認を効率化できます！
jinjer株式会社が提供する「ジンジャー勤怠」は、申請・承認業務や外部システムとの連携を安全かつ効率的に進めたい企業向けのクラウド型勤怠管理システムです。ISO/IEC 27001とプライバシーマークを取得しており、申請承認のワークフローは最大10段階まで設定可能。API連携により従業員情報を外部システムへ自動同期でき、ジンジャー給与と併用すれば、CSV出力を介さずに勤怠データを給与計算へ連携できます。手作業によるファイルの受け渡しを減らし、情報管理の効率化を支援します。
oplus
- スマホやPCからシフトを提出・編集
- 条件に応じたシフトをAIを活用して自動作成
- 多彩な勤怠・労務管理サービスとの外部連携
Oplus株式会社が提供する「oplus」は、提供会社のセキュリティ対策や管理体制を重視する企業向けのクラウド型シフト・勤怠管理サービスです。ISMS（ISO/IEC 27001）とプライバシーマークを取得しており、サーバーへの接続制限や通信データ・機密データの暗号化、侵入検知システム、セキュリティ診断、ログの取得・保管などの対策を公開しています。シフトの提出・作成・確定から勤怠管理までを一元化でき、API連携にも対応。自社の運用にあわせたカスタム開発についても相談できます。
Loglass 人員計画 （株式会社ログラス）
- 集計作業から解放し、簡単にミスを発見する人員数管理機能
- 事業計画への影響や予実ギャップを正確に把握する人件費管理機能
- 人事情報の閲覧権限管理がより簡単になった権限管理機能
SHIFTEE （株式会社システムサポート）
- 小売・飲食店などで25,000超の導入実績。
- 1日単位のタイムライン表示でシフト作成
- ISMS/ISO27001認証の万全なセキュリティ体制。
まとめ
WFMのセキュリティは、従業員の個人情報に加え、需要予測に使う業務量データや連携経路まで含めて考えることが大切です。役割や拠点ごとの閲覧制御、操作ログ、SSOや多要素認証の有無を確認し、提供会社の第三者認証や開示資料で体制を評価しましょう。
導入後は権限の棚卸しとインシデント対応の手順も欠かせません。シフト管理・人員計画（WFM）の資料請求で、各製品のセキュリティ情報を比較してください。
