A3：誰にどこまで使わせるか
基準は「役職・職種」ではなく「扱うデータ × 実行できる権限」の2軸で設計することを推奨します。人で切ると組織変更のたびに崩れますが、データと権限で切ると持続します。
| 軸 | 分類 |
|---|---|
| 軸1 入力データ | 公開情報のみ／社内一般／機密・個人情報 |
| 軸2 実行権限 | 読み取りのみ／書き込み／外部連携・自動実行 |
| レイヤー | 打ち手 |
|---|---|
| ① 誰に使わせるか | 会社管理アカウント必須・SSO連携・個人アカウントの業務利用は禁止 |
| ② 何を許可・禁止 | managed settings / permissions / hooks / MCP統制 |
| ③ どんな環境を配る | Minimal / Standard / Full とプロファイルを段階化・「いきなり全機能を全員に」を避ける |
- 設定の置き場：全社で必ず禁止するものは強制層、部門ごとの判断はプロジェクト設定、個人の使いやすさはユーザー設定
- 段階化の理由：導入機能が増えるほどセキュリティレビュー対象も増えるため
- 本編「企業配布の3層モデル」（プロビジョニング層／ポリシー強制層／標準環境配布層）と同じ整理
人で切ると崩れる。「扱うデータ × 実行できる権限」で切ると持続する