採用管理システムのセキュリティと権限設計で確認する項目｜認証番号と適用範囲、SSO、面接官に見える範囲を公式記載で突き合わせる

採用管理システムには、応募者の履歴書・職務経歴書・面接の評価コメントが集まります。社内の情報システム部門から見れば、機微な個人情報を外部のクラウドへ預ける話です。導入の社内審査で止まるのは、たいてい機能ではなくこの部分です。各社が公式ページで何をどこまで公表しているかを並べ、審査のチェックシートに答えるために確認する項目を整理します。

「取得しています」だけでは審査に答えられない

セキュリティの説明で、もっともよく見かける書き方は「ISMS認証を取得しています」です。しかし情報システム部門のチェックシートに答えるには、これだけでは足りません。必要なのは、どの規格を、どの事業所・どのサービスの範囲で取得しているか、という情報です。

この表示では、No.I507としてISO/IEC 27001、No.U032としてISO/IEC 27017が示され、適用事業所は渋谷アクシュ、そして経費精算システム「HRMOS経費」は適用対象外である、と明記されています。シリーズ全体が認証を取っているのではなく、範囲があるという事実を、提供側が自分から書いている形です。

この書き方が重要なのは、自社が契約する製品が範囲に入っているかを確認できるからです。「シリーズとして取得」とだけ書かれている場合、採用管理の部分が含まれるかどうかは公開情報からは分かりません。チェックシートに「適用範囲」の欄があるなら、ここを埋められるかどうかで作業量が変わります。

認証の公表状況を並べる

この並びで分かるのは、無料で使える製品ほど認証の公表が薄い傾向です。ただし、認証の記載がないことと、対策をしていないことは別です。engageのセキュリティページには、通信・データの暗号化、AWSのデータセンターでの24時間365日の保護、ハードウェアの常時監視、バックアップによる復旧、データベースの冗長化と分散管理、全社員を対象とした毎月1回のセキュリティeラーニング、コードを使用できる人の制限が挙げられています。内容は具体的で、足りないのは第三者による裏付けの表示です。

アクセス制御として公表されているもの

この表の「記載なし」は、機能がないという意味ではありません。公開されているページに書かれていない、という意味です。実際、HERP Hireはよくある質問で「ログイン時のIPアドレス制限や、SAMLによるSSOなどのセキュリティに関する機能を備えています」とまとめて書いており、個別の項目は公開されているホワイトペーパーやチェックシート側にあると考えられます。

権限の役割は製品ごとに粒度が違う

採用管理システムの権限設計は、セキュリティと運用の両方にまたがります。応募者の履歴書を誰まで見られるようにするか、評価コメントを他の面接官に見せるかどうかは、情報管理の話であると同時に、選考の公平さの話でもあるからです。

役割が4段階に分かれている製品では、面接官に「自分が担当する候補者の情報だけ」を見せる設計ができます。HRMOS採用では面接官数が登録数無制限であることと組み合わせて、現場を広く巻き込みながら閲覧範囲を絞る運用が想定されています。社内公募の機能にIP制限を掛けて従業員限定にできる、という記載もあり、社外向けと社内向けを同じデータベースで出し分ける考え方です。

一方、権限の記載がない製品では、アカウントを配った人がどこまで見えるのかが公開情報からは判断できません。人事だけで完結する運用なら問題になりませんが、現場の面接官へアカウントを配る前提なら、商談で確認する項目になります。

データの保管場所とバックアップ

チェックシートで必ず聞かれるのが、データの保管場所です。公開されている範囲では、HRMOS採用が「複数の第三者認証を取得しているアマゾン ウェブ サービス（AWS）を利用し、お客様のデータを管理します」と記載し、データは毎日バックアップされ複数のデータセンターに保管されるとしています。engageも「高い信頼性とセキュリティを誇るAWSのデータセンターの稼働により、24時間365日データを保護します」と書いています。

ジョブカン採用管理は、国内のGoogleサーバーを使用していると案内しています。国内保管が要件になっている企業では、この一行が判断材料になります。保管先のリージョンまで指定が必要な場合は、公開情報では足りないため、個別に確認することになります。

推奨環境とブラウザの制約も審査の対象になる

情報システム部門の審査では、社内の標準環境で動くかどうかも確認されます。会社支給の端末を特定のブラウザに統一している企業では、採用管理システムだけ別のブラウザを使わせることになりかねません。

とくに注意したいのが、同じシリーズでも版によって条件が違う例です。HRMOS採用は中途版が4つのブラウザを推奨している一方、新卒エディションはGoogle Chromeのみと記載されています。社内の標準ブラウザがMicrosoft Edgeで統一されている企業が新卒採用で導入すると、採用担当者だけChromeを入れる運用になります。審査の段階でこの1行を見落とすと、運用が始まってから例外申請が必要になります。

外国籍の社員が面接官に入る組織では、画面の言語も要件になります。HERP Hireは機能一覧の「全般・その他」に英語対応を挙げています。他の製品については公開ページに記載を確認できませんでした。日本語だけの画面でよいかどうかは、採用の体制によって変わります。

審査用の資料を先に取れる製品がある

HERP Hireは、よくある質問のなかで、情報システム部門などの担当者向けにセキュリティホワイトペーパーとセキュリティチェックシートを公開していると案内しています。商談を始める前に資料を入手できるため、社内の審査を並行して進められます。

この差は、導入までの日数に効いてきます。採用管理システムの利用開始までの期間は、HRMOS採用が申し込みから中5営業日、HERP Hireが電子契約・アカウント開設は最短即日と公開されていますが、これは契約が決まってからの話です。社内のセキュリティ審査に2週間かかるなら、全体の所要日数はそちらで決まります。資料を先に取れることは、審査の開始を前倒しできるということです。

解約後のデータと、運用側の論点

公開情報で埋まりにくい項目のうち、もっとも後から問題になりやすいのが解約後のデータです。採用管理システムには不採用になった応募者の情報も残ります。契約を終了したあと、そのデータがどうなるのかは、今回確認した5サービスのいずれも公式ページに記載がありませんでした。

無料プランで保持期間が公開されている例はあります。ジョブカン採用管理の無料プランは候補者データの保持が30日間、有料プランは10年間と公開されています。ただしこれは契約中の保持期間であって、解約後の扱いとは別です。

5サービスの認証の公表状況は採用管理システム比較5選の表にも載せています。乗り換えに伴うデータの持ち出しについては採用管理システムの乗り換え手順で扱いました。

よくある質問

採用管理システムのセキュリティで、最初に見るべき項目は何ですか。

第三者認証の適用範囲です。「取得しています」とだけ書かれている場合、自社が契約する製品が範囲に入っているかは分かりません。認証番号と適用事業所、適用対象外のサービスまで書かれていれば、チェックシートの該当欄を埋められます。

ISO27001とISO27017は何が違うのですか。

各社の表記では、ISO27001がISMS認証、ISO27017がISMSクラウドセキュリティ認証として案内されています。クラウドサービスとして提供する部分を対象に含むかどうかが分かれ目です。

IPアドレス制限はどの製品でも使えますか。

今回確認した範囲では、HRMOS採用、HERP Hire、ジョブカン採用管理に記載がありました。無料で使える製品については、公開ページに記載を確認できませんでした。

SSOに対応しているのはどれですか。

公開ページでSAMLによるSSOを明記していたのはHERP Hireです。他の製品については、公開情報からは判断できませんでした。

面接官に応募者の情報をすべて見せたくないのですが。

権限の役割を分けられる製品を選びます。HRMOS採用は管理者・採用担当者・採用コーディネーター・面接官の4種類で、アクセスできる範囲をアカウントごとに設定できると記載されています。HERP Hireもユーザーごとの権限管理が可能で、職種別・組織別のグループ管理は提供予定とされています。

データはどこに保管されますか。

HRMOS採用とengageはAWSのデータセンターを利用すると記載しています。ジョブカン採用管理は国内のGoogleサーバーを使用すると案内しています。リージョンの指定が必要な場合は個別に確認してください。

解約したあと、応募者のデータはどうなりますか。

今回確認した5サービスのいずれも、解約後のデータの扱いを公式ページに記載していませんでした。契約前に、削除の方法と期間を文書で確認することをおすすめします。

社内のセキュリティ審査に必要な資料は事前にもらえますか。

HERP Hireは、セキュリティホワイトペーパーとセキュリティチェックシートを公開していると案内しています。HRMOS採用もセキュリティホワイトペーパーへのリンクをサイト下部に置いています。

認証を公表していない製品は使わないほうがよいですか。

認証の記載がないことと、対策をしていないことは別です。engageのように、暗号化・データセンター・監視・バックアップ・冗長化・社内研修といった取り組みを具体的に列挙している例もあります。社内の審査基準が第三者認証を必須としているかどうかで判断してください。