クラウドサービス（Box、Backlog、Canvaなど）の普及により、業務の効率化が進む一方で、「社員の設定ミス一つ」「たった一通のフィッシングメール」から数億円規模の情報漏洩損害に発展するリスクが、いま民間企業で急増しています。
しかし、いざ社内セキュリティ研修をやろうとしても、以下のようなお悩みを抱える担当者様は少なくありません。
- 「専門用語ばかりの研修では、社員が退屈して聞いてくれない」
- 「毎年の研修資料をゼロから作る時間も、講師を雇う予算もない」
本連載では、日本の民間企業が今まさに直面しているリアルなリスクをもとに、そのまま社内研修の「講義台本」として使える構成で、全8回にわたりセキュリティの基礎を分かりやすく解説します。
本連載について
本連載は、現在STORESで販売中の『企業向け情報セキュリティ研修動画〜明日から実践できる、組織と自分を守るための「5つの行動宣言」と護身術〜』の講義内容を全編書き起こしたものです。
動画パッケージの5分間のサンプル動画をYouTubeで無料公開していますので、実際の分かりやすさやクオリティをぜひご確認ください。
- 民間企業向け情報セキュリティ研修パッケージ：55,000円（税込）
👇YouTubeでサンプル動画を視聴する
※「プロに直接講義してほしい」という組織向けに、講師派遣・リアル研修プランも承っております。
第6章：クラウドサービス誤設定の落とし穴
第6章では、私たちが毎日当たり前のように使っている『クラウドサービス』に潜む落とし穴について解説します。
Google DriveやOneDrive、Box、DropBoxなどのクラウド共有サービスは、テレワークや取引先とのデータ共有を劇的に便利にしました。
かつてのように大容量ファイルをメールに添付して送る必要はなくなり、リンクを共有するだけで一瞬で仕事が進みます。
しかし、便利すぎる道具だからこそ、たった1つの設定ミスが、世界中への情報漏洩を引き起こす引き金になります。
『ファイルをメールで送っていないから安全だ』という思い込みに潜む、設定ミスの恐怖と、会社に無断でツールを使うリスクについて詳しく見ていきましょう。
「リンクを知っている全員」という危険な罠
クラウドサービスでの情報漏洩で、今、最も多いのが『ファイルの共有設定ミス』です。
社外の取引先に資料を共有する際、クラウド上でリンクを発行します。
この時、共有設定をよく確認せずに、『リンクを知っている全員が閲覧可能』という設定のままリンクを発行していませんか？
この設定は、一見『教えた相手だけが見られる』と思いがちですが、実際には文字通り『URLさえ分かれば、世界中の誰もがアクセスできる』状態になっています。
もし、そのURLが別の第三者に転送されたり、SNSや公開チャットに誤って書き込まれたりしたらどうなるでしょうか。
あるいは、そのリンクがインターネット上の検索エンジンにインデックス、つまり登録されてしまったら……。
現代のサイバー犯罪者は、『悪意あるクローラー』と呼ばれる自動プログラムを使って、インターネット上を24時間巡回し、全体公開になっているクラウドの共有リンクを自動で見つけ出しています。
そして、中身の個人情報や社外秘ファイルを丸ごとダウンロードして闇サイトに公開する、といった被害が実際に多発しています。
便利な共有リンクは、設定を一歩間違えれば『鍵のない、世界に開かれた本棚』になってしまうのです。
クラウドを安全に使うための「2つの鉄則」
では、クラウドでの共有ミスを防ぐためには、どうすればよいのでしょうか。
今日から実践できる『2つの鉄則』を覚えてください。
1つ目は、『共有範囲の最小化』です。
『リンクを知っている全員』ではなく、共有相手の『具体的なメールアドレスやアカウント』を指定して、その人だけに閲覧権限を与える設定を徹底してください。
これなら、仮にURLの文字列が第三者に漏洩したり転送されたりしても、指定された本人以外はアクセスできません。
2つ目は、『有効期限とパスワードの設定』です。
取引先へのデータ共有など、一時的なやり取りであれば、必ず『3日間だけ』『1週間だけ』といった共有の有効期限を設定してください。
プロジェクトが終わった後も共有リンクが生きたまま放置されると、後からそのアカウントが乗っ取られた際にデータが盗まれるリスクが生じます。
また、閲覧用のパスワードを別ルートで伝えることで、万が一の誤送信時にも中身を見られるリスクを最小限に抑えることができます。
「退職者・外部メンバーアカウント」の放置リスク
クラウドの安全性において、もう一つ見落とされがちなのが『権限のライフサイクル管理』、つまり古いアカウントの消し忘れです。
過去に一緒にプロジェクトを行った社外のパートナー企業、あるいはすでに会社を退職した元社員のアカウントや共有権限が、クラウドのフォルダにそのまま残っていませんか？
退職した社員が、転職先から前の会社のクラウドにアクセスしてデータを持ち出すという事件は後を絶ちません。
また、社外のパートナー企業が使っている個人アカウントの共有権限を放置しておくと、そのパートナー企業のアカウントがサイバー攻撃によって乗っ取られた際、あなたの会社のクラウドフォルダまで連鎖的にハッキングされ、データが盗み出される原因になります。
クラウドのフォルダは定期的に見直し、『今、本当にこの権限が必要な人だけが入っているか』をチェックし、不要になった権限は即座に削除する運用を徹底してください。
便利さの誘惑に負ける「シャドーIT」の危険
クラウドに関連して、もう一つ企業が最も警戒している人的リスクがあります。それが『シャドーIT』です。
シャドーITとは、会社の許可を得ていない個人のIT機器や、個人のクラウドサービス、LINEなどのメッセージアプリを、社員が勝手に業務に使うことを指します。
『会社のファイル転送サービスはセキュリティが厳しくて手続きが面倒だから、私用のDropBoxで送ってしまおう』 『会社のチャットツールより使い慣れているから、個人のLINEグループで業務の書類を共有し合おう』。
このような行動は、確かに仕事のスピードは上がるかもしれませんが、セキュリティの観点からは極めて危険です。
個人のアカウントは、会社の監視や強力なセキュリティルール（多要素認証など）が及ばないため、パスワード漏洩や不正アクセスに対して非常に脆弱です。
もし個人のLINEや私用クラウドから顧客情報が流出した場合、会社は事故の検知すら遅れ、被害は拡大し、社会的責任はすべて会社が背負うことになります。
『便利だから』『自分たちだけなら大丈夫』という身勝手な判断が、会社を揺るがす大事故に直結するのです。
第6章 まとめ
第6章のまとめです。
クラウドサービスは非常に便利ですが、設定を一歩間違えれば、世界中に機密情報を晒すことになります。
クラウドでファイルを共有する際は、
- 『リンクを知っている全員』ではなく、相手のアドレスを名指しで指定して共有する。
- 必要に応じて有効期限やパスワードを設定する。
- 定期的に権限を見直し、退職者や不要になった外部メンバーのアクセス権は削除する。
このルールを徹底してください。
そして、会社の許可なく私用のアカウントやツールを業務に使う『シャドーIT』は絶対に禁止です。
ルールを守ることこそが、結果としてあなたと会社を最も安全に守る方法です。
続く第7章では、これほど注意を払っていても、万が一インシデント（事故）が起きてしまった場合、あなたが取るべき『最初の10分の行動』についてお話しします。
第6章、お疲れ様でした。
今回の記事（第6回）の内容を含め、全8回の講義を収録した「研修用動画パッケージ」を販売しています。
・資料作成や登壇の準備をゼロにしたい
・専門家による正確な情報を職員に届けたい
・研修の配布用スライドPDFも手に入れたい
そんな方は、ぜひ以下の販売ページをご確認ください。
また、クラウド認証ドットコムでは、 個別の情報セキュリティ研修（オンライン・対面） での教育支援を行っています。
「自庁の独自ルールを盛り込みたい」「職員の理解度を直接確認したい」といったご要望にお応えします。
専門講師が貴組織の課題に合わせたカリキュラムで登壇いたします。
■ 民間企業向け情報セキュリティ研修：連載一覧（全8回）
- 第1回：そもそも「情報セキュリティ」とは？
- 第2回：情報漏洩の致命的な代償と「法律」
- 第3回：狙われるのは「人の心」：ソーシャルエンジニアリングとメール
- 第4回：マルウェアの感染経路と「Emotet ＆ 二重脅迫」の恐怖
- 第5回：テレワーク・外出先・SNSに潜むリスク（物理的・人的脅威）
- 第6回：クラウドサービス誤設定の落とし穴
- 第7回：インシデント発生！その時あなたが取るべき「初動10分」
- 第8回：今日から守る！「私の5つの行動宣言」
