武生さん

自社展開用ガイドライン、私も欲しくて探し求めています。
ただ、やはり100社100通りで、それぞれの環境に適切なルールがあると思っています。
なので、他社の方に話を聞いたり、kintoneコミュニティで質問してみたりして、最終的には自社の就業規則に戻ってきました（特にジャトコさん、日清さんの事例を参考にしました！）

自環境でもトライ&エラーを繰り返しながら、ガイドラインを作成している真っただ中です。
ルールが厳しすぎたらゆるめて、ゆるすぎたら新しいルールを追加して…と模索しています！

こちらもどストライクな回答でなくて申し訳ないのですが、お互い情報をシェアできたらと思ってます^^

武生　ワッタさん

ガイドラインですか。

アクセス権が適切かの確認や、ファイルエクスポートや不正アクセスの監査

たしかに必要ですね。

ただ、だれでも自由に作れるのが魅力のkintone、利便性の観点からみると監査はトレードオフになりがち。難しいところですね。

正直アドバイスできるレベルのものはありませんが、うちでは「アプリ開発者権限」については承認性としていて（ゆるいですが）アプリ開発者限定のスペースを設けて、そこにガイドライン的な要素を記載しています（アプリの開発方針や、やっていいことわるいことなどを書いている）。

現時点では、システム的に制限するより利用者側の制限をゆるくやっているという感じです。

監査については、内部監査か外部の監査によって対応もちがってきますが

内部監査であれば、アプリに

・CSVファイルの機能を搭載するか否かの判断基準
・アクセス権の設定ガイドライン

などをアプリ開発者のスペースで周知となります。

あとは、システム的な監査をするなら、監査の根拠となる「情報セキュリティポリシー」などがあるかと思いますので、社内の情報セキュリティポリシーにしたがって社内規程などを順次整備ですね。

情報セキュリティポリシーの策定

外部の監査については、その監査の要求事項によって変わってきます。

厳密な監査や証跡が求められる監査であるなら、その部分はkintoneアプリ化せずに、もっとそれ向きのツールや方法を考えた方がよいケースもあるかと思います。今回でいうと「(3) リスクの回避」など。

リスクへの対応

ワッタさんの「ガイドラインのテンプレートがほしい」という、質問のどストライクな回答になってなくて恐縮ですが、なんらかの参考になれば幸いです。