「ゼロトラスト対応を進めてほしい」と上長から指示を受けたものの、自社の現在のファイル共有やアクセス制御のどこが改善対象なのかを把握できていない担当者は少なくありません。概念の説明を読んでも、「では自社は何から見直せばよいのか」が見えにくいのが実態です。

この記事では、現行の社外共有フローを、ゼロトラストの基本原則を踏まえた確認項目に沿って自己診断するための視点と手順を提供します。製造業・卸売業を想定した具体的なシーン、自己診断のための確認項目、優先順位付きの改善ステップ、上長・経営層への説明材料の整理まで、一通りのプロセスを解説します。 

現行フローの”よくある落とし穴”

ゼロトラスト対応を検討する前に、まず自社の現状フローのどこにリスクが潜んでいるかを把握することが出発点です。ファイル共有の運用では、専任のセキュリティ部門を持たず、管理リソースが限られている企業を中心に、次のような状態が課題になることがあります。

パターン①：リンク共有の”誰でも閲覧可”設定

取引先とNDAを締結した案件で、設計図や見積書をクラウドストレージの共有リンクで送る場面はよくあります。この際に「リンクを知っていれば誰でも閲覧可能」という設定のまま共有してしまうと、転送された先の第三者や、将来リンクが流出した相手にもアクセスを許してしまいます。

NDAの存在とシステム設定上の制御は別物です。共有相手との信頼関係だけを根拠に、システム上の本人確認やアクセス制限を省略する運用は、暗黙の信頼を前提としないゼロトラストの考え方と整合しません。

パターン②：フォルダ単位での一括権限付与

「製造部フォルダ」「営業部フォルダ」のようにフォルダ単位でグループ権限を与え、そのまま数年間管理しているケースでは、異動・退職・外注契約終了後も旧権限が残り続けます。「あの人はもう担当ではないが、フォルダへのアクセス権限はそのままになっている」という状態では、アカウントの無効化や権限削除が適切に行われていない場合、退職者や契約終了後の外注先がアクセスできる可能性があります。

最小権限の原則に基づき、業務上必要なファイルやフォルダに、必要な権限を必要な期間だけ付与することが重要です。

パターン③：VPN接続＝安全という前提

VPN接続が完了したことだけを根拠に、社内リソースへの広範なアクセスを許可する設計は、ネットワーク上の位置を信頼しないゼロトラストの考え方と整合しません。VPNを利用する場合も、多要素認証（MFA）、端末のセキュリティ状態、ユーザー属性、接続先などに基づいてアクセスを制御する必要があります。個人所有端末からの接続を認めている場合は、端末登録、セキュリティ状態の確認、アクセス可能な情報の制限などが実施されているかを追加で確認します。

パターン④：アクセス権限の棚卸しが属人化・未実施

誰がどのフォルダにアクセスできるかを一元的に把握している担当者がいない、あるいは最後に棚卸しした時期が不明というケースも多く見られます。このような状態では、インシデント発生時に「いつ・誰が・何にアクセスしたか」を追跡することが困難になります。

誰にどの権限が付与されているかを確認できる状態にし、権限設計や変更手順を文書化することが重要です。表計算による台帳だけでなく、ID管理システムやクラウドサービスの管理画面を管理記録として利用する方法もあります。

ゼロトラスト要件をファイル共有に適用する4つの設計軸

ゼロトラストをファイル共有の文脈で実装するには、「誰が・何に・どんな条件で・どこまでアクセスできるか」を設計する4つの軸で考えることが有効です。IT専任者でなくとも、この4軸を念頭に置くことで、自社のフローの穴を体系的に整理できます。

設計軸①：アイデンティティの検証（誰がアクセスするか）

ファイルやフォルダへのアクセスを「ユーザーが誰であるか」を確認した上でのみ許可する仕組みを指します。具体的には、多要素認証（MFA）の適用、外部共有時の相手ユーザー認証、ゲストアクセスの発行条件の明文化などが該当します。

パスワード認証だけで機密度の高いファイルを含む広範な情報へアクセスできる設計は、認証強度と権限範囲の両面で見直しが必要です。情報の機密度やリスクに応じて、MFAの適用を検討します。

設計軸②：最小権限の原則（何にアクセスできるか）

ユーザーが業務に必要な最小限のファイル・フォルダにのみアクセスできるよう権限を絞ることです。「営業部全員に営業部フォルダ全体の編集権限を与える」と一律に設定するのではなく、業務上必要な範囲に合わせ、プロジェクトや職務に応じた適切な粒度で権限を設定します。

社外共有では、共有相手の限定、閲覧・編集・ダウンロードなどの操作権限、有効期限を組み合わせ、目的に必要な範囲へ制限することが重要です。

設計軸③：アクセス条件の明示と動的制御（どんな条件でアクセスできるか）

「誰でもいつでもアクセスできる」ではなく、「この条件を満たすユーザーが、この端末から、この時間帯のみアクセスできる」という制御を指します。例えば、特定ファイルの共有に有効期限を設定する、ダウンロードを制限して閲覧のみ許可するといった制御がこれに当たります。

なお、ダウンロード禁止はローカル保存の抑止に有効ですが、画面撮影や転記などを完全に防ぐものではありません。対象ファイル形式やプレビュー方式によって制限できる操作が異なるため、製品仕様を確認する必要があります。

より高度な実装例としては、社外アクセスに端末証明書の確認を要求する構成もありますが、これはIDaaSやMDMとの連携が必要な発展的な取り組みです。全条件を一度に実装する必要はなく、「まず有効期限とダウンロード禁止だけでも設定する」という段階的アプローチが現実的です。

設計軸④：アクセスの可視化と記録（何が起きたかを把握できるか）

誰がいつ何にアクセスしたか、ダウンロード・編集・削除が行われたかを記録し、事後に確認できる状態を維持することです。アクセス状況を追跡できない状態では、異常の検知、事後調査、アクセス方針の改善が難しくなります。ログの取得・保存期間・閲覧権限者を事前に定めておくことが必要です。なお監査ログの具体的な活用方法については「機密文書共有の落とし穴とファイル共有セキュリティの新常識」で詳しく解説しています。

優先順位別の改善ステップ：3フェーズで段階的に対処する

ゼロトラスト対応を「すべてを一度に整備する」と考えると、工数とコストが膨らみ、着手できないまま時間が過ぎます。自己診断の結果を踏まえ、以下の3フェーズで段階的に取り組むことが現実的です。以下の区分は一例であり、対象範囲、情報の機密度、社内の変更手続きに応じて、自社の実施期限を設定してください。

フェーズ1（優先対応）：リスクの高い設定を早期に修正する

まず「今すぐ変えられる設定変更」から着手します。具体的には以下の3点です。

  • 現在「誰でも閲覧可」の設定になっている社外共有リンクを棚卸しし、有効期限の設定・認証要求への変更・不要なリンクの失効を行います。
  • 退職者や契約終了者について、定められた終了日時にアカウントを無効化し、不要なアクセス権限を削除します。必要なデータや監査記録は社内規程に従って引き継ぎ・保存します。
  • 外部共有中のファイルについて、ダウンロード禁止・閲覧専用への変更が可能なものを変更します。

現在使用しているクラウドストレージの設定変更で対応できる場合もありますが、機能の有無はサービスによって異なります。まず利用中のサービスの機能を確認してください。対応内容・日時・担当者を簡単な記録として残しておくことが、後の稟議・証跡として有効です。

フェーズ2（短期整備）：ルールと管理方法を整える

設定変更を終えた後、それを維持・管理するためのルールと台帳を整備します。

  • 社外共有リンクの発行ルール（誰が・どんな条件で・誰の承認を得て発行するか）を文書化します。
  • アクセス権限の管理台帳を作成し、現在のフォルダ・ファイルへのアクセス権限を一元化します。部署異動・入退社・外注契約変更のタイミングで台帳を更新する担当者を明確にします。
  • 権限棚卸しの実施周期（例：半年に1回）と担当者を決め、カレンダーに登録します。

この段階でも特別なツール投資は必ずしも必要ではありませんが、管理台帳の維持にコストがかかると感じる場合は、アクセス制御機能を持つクラウドストレージへの移行を次のフェーズで検討します。

フェーズ3（中期対応）：必要に応じてツール・システムを見直す

フェーズ1・2で明らかになった「手作業による運用では維持できない箇所」を、ツールの機能で補います。例えば、以下のような要件を手作業で管理し続けることが難しい場合は、ツール変更の検討材料になります。

  • 有効期限付き共有リンクの発行が機能として存在しない
  • 現在の業務区分に合った粒度で権限を分離できず、不要なファイルまで閲覧・編集できる
  • アクセスログが記録されていない、または社内規程、契約、監査・インシデント調査の要件に必要な期間保存できない
  • 外部共有時のダウンロード・印刷制御ができない

Fleekdriveでは、共有リンクの有効期限設定、ダウンロードに関する制限、アクセスログの確認など、ゼロトラストの考え方に沿ったファイル共有の運用を支援する機能が提供されています。各機能の詳細については、ファイル共有ページをご確認ください。ツール選定の際には、「現在の手作業による運用に伴う管理コストとリスク」を整理したうえで比較・評価すると、自社に適した運用を検討しやすくなります。

ファイル共有サービスの具体的な選び方については「ファイル共有サービスのおすすめ5選｜導入メリットや注意点を解説」も参照してください。

上長・経営層への説明と社内合意のための論点整理

自己診断と改善ステップの整理ができたら、次は社内合意です。「セキュリティ対策をしたい」という説明では稟議が通りにくく、「何が起きるリスクがあり、今どの状態にあり、何をすれば防げるか」という構造で説明することが重要です。

説明の3点セット

①現状のリスクの見える化：確認項目ごとの診断結果を整理し、「現在○項目が未対応の状態です」と伝えます。「リンクを知っていれば誰でもアクセスできる共有が現在○件あります」のように、件数、対象ファイル、共有先、情報の機密度などを示すと、現状と対応の優先度を説明しやすくなります。

②インシデント発生時のビジネス影響：情報漏洩が発生した場合、調査・報告・復旧の費用、取引先からの信用低下、契約上の対応など、事業上の影響が生じる可能性があります。「NDAを締結していても、システム設定上は第三者が閲覧できる状態にあった」という事実は、NDAの条項や状況によっては契約義務との関係で問題となる可能性もあります。法的な判断は弁護士等の専門家にご確認ください。

③対応コストと段階的な進め方：フェーズ1は、既存サービスの機能で対応できる場合、追加の製品導入を伴わず着手できる可能性があります。ただし、利用プラン、追加ライセンス、設定作業などの費用は事前に確認してください。フェーズ2は文書化や運用整備を中心に進められますが、権限情報の抽出、部門への確認、管理方法によっては追加ツールや外部支援が必要になる場合があります。ツール投資はフェーズ3であり、まず現状把握と即時修正を進めることへの承認を求めることで、稟議の障壁を下げられます。

まとめ

ゼロトラスト対応の出発点は、概念の習得よりも「自社の現行フローのどこが要件を満たしていないか」を把握することにあります。本記事で示した4つの設計軸と確認項目を使えば、セキュリティ専任でない兼務担当者でも現状を自己診断し、優先順位をつけた改善計画を作成できます。

まず各確認項目に沿って現状を整理し、未対応項目の件数だけでなく、情報の機密度や影響範囲を踏まえて優先順位を決め、対処を始めてください。フェーズ1の設定変更は、既存サービスの機能で対応できる場合には新たな製品導入をせず着手でき、対応記録を上長への説明材料として活用できます。