Microsoft 365、Google Workspace、DropboxといったSaaSを中心に、多くの企業がクラウドサービスを活用することで、業務効率や柔軟性を向上させています。しかし、業務システムがクラウド、つまり外部にあるインターネットに“開かれる”ことで、これまで物理的に守られていた情報や社内資料が、「誰でも」「どこからでも」アクセスできてしまう危険があることを無視することはできません。

実際に、クラウドサービスを介した情報漏えい事故の多くは、「設定ミス」、「不必要な権限付与」、「退職者アカウントの放置」といったヒューマンエラーが中心です。この記事では、中小企業が取り組むべき「クラウド上のアクセス管理」「権限の棚卸」「見えないリスクの可視化」について、事例やチェックポイントを交えて解説します。

なぜ今さら「アクセス管理・権限見直し」なのか

クラウドサービス導入の有無に関係なく、アクセス管理や適切な権限付与は情シスを中心に常に管理すべき対象であることは常識です。しかし、そのアクセス管理をすべて情シス任せにしてしまう体制には、大きなリスクが潜んでいます。

第一に、現場の業務内容や人の動きを十分に把握していない情シスだけでは、「誰が何にアクセスする必要があるのか」を正しく判断できません。その結果、過剰な権限が与えられたり、退職者アカウントが放置されたりと、リスクの見逃しにつながります。

また、中小企業にありがちな「一人情シス」によって、属人化リスクも高まります。担当者の退職や長期不在時に、「緊急対応ができない」「権限の所在が不明になる」などの事態も発生しかねません。

企業の情報資産は日々オンライン上に蓄積されています。アクセス管理は、情シスだけでなく、「現場部門」や「人事部門」と共同で見直すべき経営レベルの課題です。業務実態に即したアクセス管理のルール作りと定期的な棚卸こそが、情報漏えいを未然に防ぐ鍵となります。

ありがちな“見えないリスク”4選

クラウドサービスの登場によって、場所を選ばないリモートワークが一気に普及し、多くの企業の働き方を大きく変えました。しかしその便利さの一方で、「実は情報漏えいリスクを抱えている」というケースも増えています。こうしたリスクは数多くありますが、まずはありがちな見落としポイントを4つ挙げてみます。

1. 共有リンクを「全員に公開」に設定したまま運用

OneDrive、Googleドライブ、Dropboxといったオンラインストレージにおいて、ファイルの共有は日常的に行われています。むしろ、そのためにオンラインストレージを導入していると言っても過言ではありません。

しかし、共有設定が不適切であった場合、社内の情報はあっという間に漏洩してしまいます。特に「リンクを知っていれば誰でも閲覧可」に設定にしていた場合、リンクが意図せず外部に流出すれば、機密情報が第三者に渡る可能性があります。

2. 退職者のアカウントが有効のまま

退職した従業員や外部委託用のアカウントをそのまま放置することは大変危険です。退職後も社内の情報にアクセス可能な状態であるため、意図的な情報の持ち出しの事案に発生することもあります。

また、退職者が何もしなくても、アカウント放置はセキュリティ上の大きなリスクです。認証情報が窃取されれば第三者も容易に社内の情報資産にアクセスできる状態になります。

3. “全員管理者”状態

少人数企業では「とりあえず全員に全部の権限を渡しておく」ケースが多いですが、この状態では誰でも設定の変更・データの削除・外部共有の許可などができてしまい、誤操作や不注意が即、重大な事故につながる危険性があります。

また、何か問題が起きた際に「誰が何をしたのか」が特定しづらく、責任の所在が不明確になるのも大きなリスクです。

4. アクセスログを見ていない／見られない

多くのクラウドサービスにはアクセスログが記録されていますが、「そもそも確認方法を知らない」「見ても意味がわからない」状態の企業も少なくありません。そのため、重大なインシデントを見逃し、重大なセキュリティ事案に繋がることもあります。

中小企業のアクセス管理と権限管理

前述したように、アクセス管理や権限管理は情シスだけが担当する業務ではありません。経営判断によって全社的に当事者意識を持った課題であることを認識できるかどうかが重要です。

1.管理者を決める

最初に「管理者」を決めます。この時、必ず「管理者アカウントの二重化」を実施します。つまり、サブの管理者を決めておくことで、管理者の退職や休暇にも対応できるようにしておくということです。Microsoft 365やGoogleでは“バックアップ管理者”を設定できます。

2.誰が何にアクセスできるか、棚卸する (現状把握)

社内で使用しているクラウドサービスを洗い出し、各サービスの「管理者」「編集者」「閲覧者」レベルの区分を把握「退職済み / 契約終了済みユーザー」が残っていないかチェックします。

ここで注意すべきことは「シャドウIT」の存在です。全従業員を対象に、会社が指定している以外のツールを使用していないか確認します。Microsoft FormsやGoogle フォームなどでアンケート調査を実施する企業も多いようです。年1回でもよいので、定期的な棚卸を実施することを推奨します。

3. 最小権限の原則を導入する

使用するサービスやツールを洗い出した後、各アカウントに必要最小限のアクセス権だけを与えるように設定し直します。

「権限管理を細かくすると使いづらい」などの声が上がることもあります。当然ですが「誰が何にアクセスする必要があるのか」を正しく判断できるのは現場の担当者なので、こちらも事前アンケートなどで把握しておく必要があります。最小限ではあるが「業務に支障が出ない」ラインを設定し、部署単位のテンプレなどを作っておくと便利です。

なお、管理者権限は「1部署1名」などに絞り、不要になった共有リンクは即時削除してください。

4. 共有方法と例外ルールを明文化

OneDriveやGoogleドライブなどの共有設定方法、Slackの「公開チャンネルと非公開チャンネルの違い」などを社内マニュアルに記載します。なお、外部共有が必要な場合になった場合の「申請ルール」などもあらかじめ決めておきます。

5. 定期的なアクセスログの確認・棚卸

Microsoft 365やGoogle Workspaceでは管理コンソールからアクセス状況が確認可能可能です。また、Dropboxの共有通知などクラウドサービスからの通知機能も積極的に活用します。

6. アカウント発行と削除の迅速化

適切なアカウント発行と削除は、人事を担当する部門と情シスの連携が不可避です。「いつ」「誰」が「入社/退職」するのかというスケジュールを共有し、可能な限り最短時間で発行や削除ができるようにします。

7. 困ったら専門家に相談する

アクセス管理や権限の設定が負担の大きい業務であることは間違いありません。他の業務に追われて手が回らない場合には、専門家に相談する方が素早く、安全な解決に繋がります。

クラウドサービスは、その利便性でビジネスを加速する力を持っています。しかし、それはあくまで「安全に使える」ことが前提です。アクセス管理や権限の見直しは、会社の資産を守ることであり、管理者を可視化することは責任の所在を明確にすることでもあります。

中小企業だからこそ、「今あるツールを正しく、安全に使い続けること」が、最も現実的で強力なセキュリティ対策となるのです。

関連記事：増えるランサムウェア攻撃に多い侵入経路と対策は？https://hypervoice.jp/ransomware-entry-points

あらゆる企業の情報セキュリティ対策を支援！ハイパーのセキュリティア推進部

詳細はこちら：https://www.securitier.jp/security/ciso/cisocs/

まとめ

クラウドサービスによる情報漏えいの多くは、「設定ミス」などのヒューマンエラーが中心
「誰が何にアクセスする必要があるのか」を正しく判断し、最小権限の原則を導入する
アクセス管理は、情シスだけでなく、「現場部門」や「人事部門」と共同で見直すべき“経営課題”