# PMツール権限・データガバナンス確認チェックリスト

PM / Product Opsが新しいツールを導入するときに、便利さだけでなく「誰が何を見られるか」「何を外へ出してよいか」「退会時に何が残るか」を導入前に確認するためのテンプレートです。

## 1. 利用データの棚卸し

|データ|具体例|機密度|入力可否|理由 / 条件|
|---|---|---|---|---|
|公開情報|公開済み仕様・ヘルプ|低| | |
|社内情報|Roadmap・社内議事録|中| | |
|顧客情報|問い合わせ・インタビュー|高| | |
|個人情報|氏名・メール・行動履歴|高| | |
|認証情報|Token・Secret・API Key|最重要|原則不可| |

## 2. 権限モデル

- Workspace owner:
- Admin:
- Editor:
- Viewer:
- Guest / External collaborator:
- Service account:

確認:

- [ ] 最小権限で利用できる
- [ ] 退職・異動時に権限を即時停止できる
- [ ] 外部協力者の閲覧範囲を限定できる
- [ ] 管理者操作と一般ユーザー操作を分けられる
- [ ] 誰が権限変更したか追跡できる

## 3. データフロー

```text
Source
  -> Import / Integration
  -> Tool workspace
  -> AI / automation processing
  -> Export / downstream
  -> Archive / delete
```

- 主な入力元:
- 主な出力先:
- 外部連携:
- AI機能で送信されるデータ:
- 学習利用の有無:
- 保存地域 / retention:
- 削除方法:
- export方法:

## 4. AI機能を使う場合

- [ ] 学習利用の設定を確認した
- [ ] 機密情報をpromptへ入れる条件を決めた
- [ ] RAG / knowledge sourceの権限継承を確認した
- [ ] AI生成物のレビュー責任者を決めた
- [ ] 自動実行できる操作とHuman approvalが必要な操作を分けた
- [ ] Prompt / output logの保存範囲を確認した

## 5. インシデント時

- Security owner:
- Vendor contact:
- Access revoke手順:
- API key rotate手順:
- データ削除依頼手順:
- 影響確認手順:
- 社内報告先:

## 6. 導入判定

- [ ] 必須データを安全に扱える
- [ ] 必要な権限分離ができる
- [ ] 監査 / export / deleteの要件を満たす
- [ ] 導入後ownerが決まっている
- [ ] 重大な未確認事項をPoCまたは稟議に明記した

### 未確認事項

- 

### Decision

- Go / Conditional Go / No-Go:
- 条件:
- Decision owner:
- Review date: