取引先へ見積書を送るために、クラウドストレージの共有リンクを作った。

制作会社と共同作業をするため、外部担当者をゲストユーザーとして登録した。

税理士や社会保険労務士に資料を見てもらうため、共有フォルダへ招待した。

こうした外部共有は、中小企業でも日常的に使われています。問題は、案件や契約が終わった後も、共有リンクやゲスト権限が残りやすいことです。

ファイルそのものを削除していなくても、共有設定が残っていれば、以前の取引先や外部協力者がアクセスできる場合があります。反対に、必要なゲスト情報が整理されていないため、システム変更後に取引先が突然アクセスできなくなることもあります。

以前の記事では、退職者・異動者などの「人」を起点として、不要なアカウントを確認する方法を取り上げました。今回は、クラウド上のファイル、フォルダ、サイト、共有リンクという「情報側」から、誰がアクセスできるのかを確認します。

「クラウドに保存したから安全」ではない

クラウドサービスには、事業者側が管理する部分と、利用企業が管理する部分があります。

サービスの基盤や設備をクラウド事業者が守っていても、利用企業が「誰と共有するか」「閲覧と編集のどちらを許可するか」「いつアクセスを終了させるか」を誤れば、情報が意図しない相手へ見える状態になります。

IPAのSECURITY ACTIONでも、「情報セキュリティ6か条」の一つとして「共有設定を見直そう！」が挙げられています。共有範囲を限定し、従業員の異動や退職時には速やかに設定を変更することが、基本的な対策として示されています。

重要なのは、一度設定して終わりにしないことです。

外部共有は、次のような出来事によって不要になります。

  • 案件や共同研究が終了した
  • 業務委託契約が終了した
  • 取引先の担当者が変更された
  • 制作会社や保守会社を変更した
  • ファイルを別のクラウドへ移した
  • 公開用だった資料が社外秘情報を含む内容へ変更された

共有を開始した時点では正しい設定でも、時間がたてば不要な権限になることがあります。

2026年夏に確認しておきたい二つの変更

Microsoft 365では外部ユーザー管理がMicrosoft Entra B2Bへ移行

Microsoftは、SharePoint Online独自の外部認証から、Microsoft Entra B2Bを使った外部ユーザー管理へ移行しています。

Microsoftの公式FAQでは、この変更は全テナントが対象で、利用企業が対象外を選択することはできないと説明されています。また、Microsoft Entra B2Bのゲストアカウントが存在しない外部利用者は、2026年7月以降、以前共有されたファイルへアクセスした際に「アクセス拒否」となる場合があるとされています。

一方で、「Anyone」などの匿名共有リンクは、この移行の影響を受けません。つまり、Microsoft 365では、次の二つを別々に確認する必要があります。

  1. 外部利用者がゲストアカウントとして適切に管理されているか
  2. 認証を必要としない共有リンクが残っていないか

ゲストアカウントだけを調べても、匿名リンクの有無は確認できません。反対に、共有リンクだけを調べても、TeamsやMicrosoft 365グループなどに残るゲスト権限は把握できません。

Google Workspaceでは共有対象となる情報が広がっている

Google Workspaceでは、2026年5月から6月にかけて、Geminiのチャット、Canvas、生成したメディアなどをGoogle Driveの仕組みで共有する機能が展開されました。

Googleは、これらの共有には既存のGoogle Drive共有ポリシーが適用され、組織外へのDrive共有が許可されている場合は、Geminiで作成した情報も組織外へ共有できると説明しています。棚卸し対象は、従来の文書やスプレッドシートだけではありません。AIとの会話や生成物も、業務情報として確認する必要があります。

Google Groupsについても、2026年6月に内部グループと外部グループの分類が厳格化され、外部メンバーが含まれていることを示す表示や、外部ユーザーを追加できる利用者を制御する設定が追加されました。共有先が個人ではなくグループの場合は、グループ内に社外メンバーがいないかも確認しなければなりません。

共有リンクとゲストアカウントは別物として管理する

月次棚卸では、少なくとも次の五つを分けて確認します。実際の名称や動作は、利用するクラウドサービスによって異なります。

確認対象主な確認内容残りやすい例
匿名・Anyone共有リンクURLを知る人がアクセスできないか資料送付後もリンクが有効
特定ユーザー向けリンク宛先、権限、期限が適切か以前の取引先担当者が残る
ゲストアカウント所属先、利用目的、契約期間委託終了後もアカウントが残る
外部メンバーを含むグループ現在のメンバーと共有範囲グループへ追加した人が見える
サイト・フォルダの継承権限上位階層の権限を引き継いでいないか個別ファイルを閉じても親フォルダから見える

特に注意したいのが、「共有リンクを削除したから、ゲストアカウントも不要」とは限らないことです。

一人のゲストが複数の案件やサイトに参加している場合、ゲストアカウント自体を削除すると、現在進行中の業務にも影響する可能性があります。まず対象ファイルやグループから不要な権限を外し、ゲストアカウントそのものを削除する場合は、他の業務で使われていないことを確認します。

月次棚卸を五つの手順で進める

ここからは、中小企業向けの実務上の運用案です。

「月1回」という頻度や以下の判定基準は、すべての企業に一律に課される法的義務ではありません。取り扱う情報の重要度、契約条件、取引先からの要求、自社の業務量に応じて調整してください。

手順1　重要なクラウドを三つ選ぶ

最初から社内のすべてのサービスを調べようとすると、棚卸しが続きません。

まずは、次の条件に該当するサービスから三つ選びます。

  • 顧客情報や個人情報を保存している
  • 図面、見積書、契約書、研究資料を保存している
  • 外部の制作会社や保守会社が利用している
  • 退職者や異動者が多い部署で使っている
  • 社内で最も多くの従業員が利用している

Microsoft 365、Google Workspace、オンラインストレージ、プロジェクト管理ツールなど、外部共有の多いサービスを優先します。

手順2　共有状況を一覧にする

Microsoft 365では、SharePointサイトの「サイトの利用状況」から「外部ユーザーと共有」レポートを実行できます。OneDriveにも共有レポートがあります。公式資料では、ファイル、利用者、権限、共有リンクなどをCSV形式で確認できるとされています。

ただし、Microsoftの公式資料には、このレポートには、共有画面を経由せずメールで送られた未使用リンクや「Anyone」リンクが含まれないという制限も記載されています。

したがって、共有レポートだけを見て「匿名リンクは存在しない」と判断してはいけません。サイト全体の共有設定、各フォルダの権限、ファイル所有者への確認を組み合わせます。

Google Workspaceでは、管理コンソールのDriveログイベントで、Visibilityを「Shared externally」にして検索できます。

ただし、Googleの公式資料では、外部ユーザーを許可できるグループへ共有した場合、実際には外部メンバーが存在しない場合や、外部共有が無効でアクセスできない場合でも、「Shared externally」と表示されることがあると説明されています。

ログは調査対象を見つける入口として使い、最終的にはファイルの現在の共有設定とグループのメンバーを確認します。

管理画面から一覧を出せないサービスでは、各部署のファイル所有者に共有画面を開いてもらい、対象と共有先を棚卸表へ記録します。

手順3　業務上の必要性を確認する

共有が必要かどうかは、情報システム担当者だけでは判断できません。

次の三者を分けて記録します。

役割主な確認内容
ファイル・サイト所有者何の業務で作成し、現在も使用しているか
業務責任者社外共有を継続する必要があるか
クラウド管理者権限や共有方式が社内ルールに合っているか

技術担当者が「アクセスされていないから削除する」と判断しても、年に一度だけ使う契約資料かもしれません。

反対に、現場担当者が「また使うかもしれない」と考えていても、すでに契約が終わり、共有を続ける根拠がなくなっている場合があります。

業務目的と終了予定日を記録し、所有者と管理者の双方で判断することが大切です。

手順4　継続・要確認・停止に分類する

棚卸し結果は、次の三段階に分けると整理しやすくなります。

判定主な条件対応
継続現在の業務目的があり、所有者、共有先、権限、期限を説明できる次回確認日を記録
要確認業務は続いているが、期限、所有者、外部メンバーが不明責任者へ確認し、期限を設定
停止契約・案件が終了、目的不明、所有者不明、不要な編集権限があるリンク停止または権限削除

「Anyone」リンクを一律に禁止しなければならないわけではありません。

一般公開する会社案内や製品カタログなど、公開して問題のない情報であれば、業務上の目的がある場合もあります。重要なのは、共有方式と情報の重要度が合っているかを確認することです。

顧客名簿、個人情報、見積条件、設計図、未発表製品、研究情報などを、認証不要のリンクで共有することは原則として避けるべきです。共有が必要な場合は、特定の相手に限定し、閲覧のみとし、可能であれば有効期限を設定します。

手順5　確認結果を証拠として残す

棚卸しは、実施した記録を残して初めて、取引先への説明や次回確認に使えます。

最低限、次の項目を記録します。

確認日サービス・場所共有対象共有先権限目的・期限判定実施した処置確認者
2026年8月31日顧客資料フォルダ見積書一式A社担当者閲覧9月末まで継続次回9月確認総務担当
2026年8月31日旧案件フォルダ完了報告書Anyoneリンク閲覧案件終了済み停止リンク削除管理部
2026年8月31日制作共有サイトWeb素材旧制作会社編集契約終了済み停止ゲスト権限削除広報担当

スクリーンショットだけを証拠にすると、対象ファイルや判断理由が分からなくなることがあります。

棚卸表に、確認日、判断者、判断理由、実施した処置を文字で残し、必要な場合だけ設定画面のスクリーンショットやCSVを添付する方法が管理しやすいでしょう。

月次確認と「出来事が起きたときの確認」を組み合わせる

月1回の棚卸しだけでは、月の途中で終了した契約や、急な担当変更に対応できません。

月次確認に加え、次の出来事が発生したときにも確認します。

  • 委託契約や共同作業の終了
  • プロジェクトの完了・中止
  • 取引先担当者の変更
  • 従業員の退職・異動
  • クラウドサービスの移行
  • 共有ポリシーや新機能の変更
  • 情報漏えいや不正アクセスの疑い
  • ファイルの重要度や内容の変更

重要な設計情報や大量の個人情報を扱う場合は、月次より短い間隔で確認したり、共有期限をあらかじめ設定したりする方法も検討します。

自動化できても、業務上の判断は人が行う

Microsoft Entra IDには、ゲストユーザーが引き続きグループやアプリケーションへアクセスする必要があるかを定期的に確認する「アクセスレビュー」があります。

ただし、Microsoftの公式資料では、利用にはMicrosoft Entra ID P2またはMicrosoft Entra ID Governanceが必要とされています。対象ライセンスを利用していない中小企業では、まずスプレッドシートやExcelによる月次棚卸しから始める方法が現実的です。

自動化ツールは、誰がアクセスしているかを抽出することはできます。

しかし、その人が現在も業務上必要なのか、共有されている資料が公開可能なのか、契約が終了しているのかという判断は、業務責任者でなければできません。

システム担当者だけに任せず、総務、営業、技術、経理など、情報を所有する部署が判断に参加する仕組みを作りましょう。

経営者が月1回確認したい五つの質問

細かな設定画面を見る必要はありません。

経営者や管理部門は、担当者へ次の質問をしてください。

  1. 現在、社外と共有している重要なファイルを把握しているか
  2. 認証不要の共有リンクがどこにあるか分かるか
  3. 外部ゲストごとに、所属先と業務目的を説明できるか
  4. 案件や契約が終わったとき、誰が共有を停止するのか
  5. 最後に共有設定を確認した日と記録を提示できるか

この五つに答えられなければ、共有設定が直ちに危険だと断定することはできません。

しかし、会社として共有状況を管理できていない可能性があります。

まとめ

クラウドの共有設定は、設定した瞬間だけ正しければよいものではありません。

案件の終了、契約の変更、担当者の交代、クラウドサービスの機能変更によって、必要だった権限が不要な権限へ変わります。

月次棚卸では、次の二方向から確認します。

  • ゲストアカウントや外部グループなどの「誰が見られるか」
  • ファイル、フォルダ、サイト、共有リンクなどの「何が共有されているか」

最初は、重要なクラウドサービスを三つ選び、共有リンク棚卸表を一枚作るところから始めてください。

ライトハウスコンサルタントでは、専任の情報システム担当者がいない中小企業を対象に、クラウド・アカウント管理を含むセキュリティ現状診断を行っています。自社だけでは共有状況を一覧化できない場合は、「中小企業セキュリティ現状診断」をご活用ください。

投稿タグ
, , , , , , , ,