情報漏洩に備えるには、部署・システムごとの保存先に加え、メール添付や個人端末への複製経路も含めた棚卸しが欠かせません。重要度に応じて所在を記録・点検することで、漏洩が疑われた際の確認範囲を絞り込みやすくなります。

本記事では、情報漏洩が疑われたときに、重要なファイルの保存先や既知の複製先・送付先、アクセス可能な範囲を確認できる状態を作る方法を解説します。保存先の棚卸しから所在管理表の作成、定期点検まで、実務で使える手順を紹介します。

情報漏洩時にファイルの保存先を把握すべき理由

機密ファイルが複数箇所にあるリスクは？

機密ファイルが複数の保存先に散在していると、漏洩が疑われた時点で「どこまで影響が及んでいるか」を判断できなくなる点が最大のリスクです。たとえば、取引先との見積書が次のように残っているケースを考えます。

  • 部署の共有フォルダに原本がある
  • 担当者が社外の協力会社へメール添付で送付している
  • 別の担当者が自分のPCにダウンロードし、修正版を作っている
  • 部署ごとに契約している別のクラウドストレージにも同じファイルが置かれている

この状態で1つの保存先から漏洩が見つかっても、他の複製が同じ内容なのか、古い版なのか、誰がアクセスできるのかを即答できません。結果として、調査対象が広がり、関係者への説明や対応判断が遅れます。

所在を「答えられる状態」にする

対策の軸は、すべてのファイルを1か所に集めることではなく、次の3点に答えられる状態を作ることです。

  1. 重要なファイルがどの保存先にあるか
  2. そのファイルがどの経路で複製されうるか
  3. 各保存先に誰がアクセスできるか

以降のセクションでは、この3点を順に整理する手順を説明します。

ファイルの保存先を洗い出す棚卸し手順

最初に、自社でファイルが保存されうる場所を洗い出します。情報システム部門が把握している正式な保存先だけでなく、現場が独自に使っている保存先も対象にすることが重要です。

洗い出す保存先の種類

保存先の種類具体例所在把握の難易度（目安）漏洩時に確認すべき点
社内共有フォルダ部署別フォルダ、全社共有フォルダ低いフォルダごとのアクセス権限
全社で契約したクラウドストレージ情報システム部門が管理するサービス低〜中共有リンクの有無、外部共有の設定
部署単位で契約したクラウドサービス現場判断で導入したサービス高い管理者が誰か、契約が継続しているか
メール送受信済みの添付ファイル高い送付先、転送の有無
個人端末PCのデスクトップ、ダウンロードフォルダ高い端末の持ち出し、紛失時の扱い
外部記録媒体USBメモリ、外付けディスク高い保管場所、貸出記録
チャット・業務ツールチャットに添付されたファイル中〜高参加者に社外メンバーが含まれるか

棚卸しの進め方

  1. 情報システム部門が把握している正式な保存先を一覧にする
  2. 各部署に「業務で使っているファイルの置き場所」をヒアリングする
  3. 正式な一覧に無い保存先を「未登録の保存先」として別枠で記録する
  4. 保存先ごとに管理責任者を決める

ヒアリングでは「規程に違反していないか」を問う聞き方をすると、現場が実態を話しにくくなります。目的は漏洩時の影響範囲を把握することだと伝え、実態をそのまま記録する姿勢で進めるとスムーズです。

ファイルの複製経路を把握する方法

保存先を洗い出したら、次にファイルがどの経路で複製されるかを整理します。漏洩時に影響範囲が読めなくなる原因の多くは、保存先そのものより、保存先の間をファイルが移動・複製する経路にあります。

典型的な複製経路

  • メール添付：送付先のメールボックスに添付ファイルが届き、受信者が端末や別の保存先へダウンロード・保存することで複製が増える場合がある
  • ダウンロード：共有フォルダやクラウドから個人端末へ保存される
  • 転送・再共有：受け取った人がさらに別の人へ送る
  • 別サービスへの再アップロード：社外とのやり取りのために別のクラウドへ置き直す
  • 版の分岐：修正版を別名で保存し、原本と修正版が並存する

複製経路の整理フロー

  1. 原本の保存先 → 個人端末へのダウンロード
  2. 原本の保存先または個人端末 → メール添付による社外送付
  3. 社外の送付先 → 第三者への転送・再共有（自社での把握が困難）

※実際の複製経路はファイルごとに異なります。クラウドストレージ間のコピーやチャットへの添付なども含め、確認できた経路を記録します。

このフローを重要ファイルごとに書き出すと、「どの時点から自社で追跡できなくなるか」が見えてきます。追跡できなくなる地点が早いほど、漏洩時の影響範囲は読みにくくなります。

重要度に応じたファイルの所在管理方法

すべてのファイルを同じ水準で管理するのは現実的ではありません。漏洩時の影響の大きさに応じて分類し、所在管理の厳しさに差をつけます。

分類の判断基準（例）

区分判断の目安所在管理の水準
高個人情報、取引先の機密、未公開の経営情報を含む原本の保存先、確認できた複製先、アクセス可能なユーザー・グループを記録
中社内限定の業務資料、社外に出ると業務に支障が出るもの保存先とアクセス権限を記録
低公開済みの情報、社外に出ても影響が小さいもの保存先の記録のみ

区分の基準は業種や取り扱う情報によって変わります。上記は出発点として使い、自社の情報管理規程と照らし合わせて調整してください。

不要なファイルの複製を削減する手順

所在を把握したら、影響範囲を広げている不要な複製を減らします。複製の数が少ないほど、漏洩時に確認すべき範囲は狭くなります。

削減の進め方

  1. 所在管理表で「既知の複製先・送付先」が多いファイルを抽出する
  2. 業務上必要な複製と、不要な複製を区別する
  3. 法令や契約、社内規程による保存義務がないか確認する。情報漏洩が疑われる場合は、調査に必要な証拠を保全する
  4. 削除可能と判断した不要な複製について、保存先の管理責任者に削除を依頼する
  5. 削除の実施状況を確認し、所在管理表に反映する

よくある誤解

  • 「削除すれば漏洩リスクはなくなる」：社外へ送付したファイルの複製は、自社から直接削除できるとは限りません。削減はあくまで社内に残る複製の整理であり、社外に出た複製は送付記録として管理表に残します。
  • 「最新版だけ残せばよい」：古い版に、最新版では削除した情報が含まれている場合があります。どの版を残すかは内容を確認してから判断します。

メール添付を減らす工夫

複製経路のうち、メール添付は送付後に追跡しにくい経路の代表です。ファイル本体をメールに添付する代わりに、アクセス権限を設定した保存先の共有リンクを案内すれば、メール添付による複製を減らせます。ただし、共有先でダウンロードが許可されている場合は、端末などに新たな複製が作られる可能性があります。また、共有リンクの有効期限やアクセス範囲の設定が適切でないと、別の漏洩経路になるおそれがあるため、設定内容も所在管理表に記録します。 

所在管理表を維持するための定期点検

所在管理表は、作った時点から実態とずれていきます。漏洩時に役立つ状態を保つには、定期的な点検が必要です。

点検で確認する項目

  • 新しい保存先が増えていないか(部署単位の新規サービス契約など)
  • 退職者・異動者のアクセス権限が残っていないか
  • 重要度「高」のファイルに、管理表に無い複製が増えていないか
  • 外部共有の設定が当初の想定どおりか
  • 管理責任者が不在になっている保存先が無いか

点検のタイミング（例）

タイミング主な確認内容
定期(四半期ごと等、自社で設定)管理表全体の見直し
人事異動・退職時該当者のアクセス権限と個人端末の複製
新しいサービス導入時保存先一覧への追加
取引終了時社外送付済みファイルの扱い確認

点検頻度は、取り扱う情報の重要度や社内体制に応じて決めてください。

ファイルの所在管理を始める際の3つのステップ

1. 重要度の高いファイルから対象を絞る

最初から社内のすべてのファイルを調査するのではなく、個人情報や取引先の機密情報など、漏洩時の影響が大きいファイルを選びます。

2. 所在管理表を試作し、記録できない情報を洗い出す

選んだファイルについて、原本の保存先、既知の複製先、アクセス可能な範囲を記録します。保存先や複製経路を確認できない場合は、その項目を未確認として残し、調査すべき課題を明確にします。

3. 管理方法を見直し、対象範囲を広げる

試作した管理表をもとに、不要な複製の削減やアクセス権限の見直しを進めます。運用方法が固まったら、管理対象のファイルや部署を段階的に増やします。

棚卸し後のファイル共有・管理を見直す

ファイルの保存先や複製経路を把握した後は、分散した保存先を整理し、アクセス権限や共有方法を見直すことが重要です。法人向けオンラインストレージのFleekdriveでは、ファイルの共有・保管に加え、ユーザーごとのアクセス権限設定や自動バージョン管理に対応しています。保存先を整理し、社内外のファイル共有を管理する際の選択肢となります。

ただし、Fleekdriveの導入だけで、個人端末や他のクラウドサービス、社外に送付済みのファイルまで自動的に把握できるわけではありません。まずは所在管理表で課題を明確にし、必要な機能や運用方法を検討しましょう。

よくある質問

機密ファイルが複数箇所にあるリスクは？

漏洩が疑われたときに、どの複製が影響を受けたか、誰がアクセスできたかを特定できず、調査範囲が広がる点がリスクです。原本と複製の所在、複製経路、アクセス可能な範囲を記録しておくと、確認すべき範囲を絞り込めます。

すべてのファイルを1か所に集めれば解決しますか？

保存先を集約すると所在の把握はしやすくなりますが、メール添付やダウンロードによる複製は集約後も発生します。集約するかどうかにかかわらず、複製経路とアクセス権限を記録する運用が必要です。

所在管理表はどこから作ればよいですか？

漏洩時の影響が大きい重要度「高」のファイルから始めるのがおすすめです。対象を絞って試作し、記入項目や点検の手順を固めてから対象を広げると、現場の負担を抑えられます。

社外に送ったファイルはどう管理すればよいですか？

社外に送付したファイルは、自社側で相手先の複製を直接管理・削除できるとは限りません。そのため、送付先・送付日・送付したファイルの版を所在管理表に記録します。取引終了時には、相手先での扱いを確認する手順を点検項目に含めておくと、漏洩時の確認がしやすくなります。