オンラインストレージ
インターネット(クラウド)上にデータを保管・共有できるサービスのことです。SaaS(クラウドサービス)の一種ですが、データ保管という性質から独立したカテゴリとして扱われることが多く、業務文書・写真・動画・設計データなどの保管・共有・バージョン管理に利用されます。
代表的なサービス：Google Drive、Dropbox、Box、OneDrive、iCloud など。
実務での基本ルール
組織として標準ツールを定め、機密度に応じて「社内承認済みのサービス」を使うことが鉄則です。会社が把握していない個人契約のツールに業務データを保存する「シャドー IT」は、情報漏洩の典型的な原因となるため、個人利用との線引きを明確にする必要があります。
選定と管理のポイント
- セキュリティ・法規制：データの保管国(日本の個人情報保護法や、欧州のデータ保護規則である GDPRへの対応)、暗号化レベル(保管時・通信時)。
- アカウント管理：アクセス権限の柔軟さ、SSO(シングルサインオン＝1 つの ID/パスワードで複数システムを利用する仕組み)との連携。
- ログと運用：監査ログ(誰がいつアクセスしたか)の取得、退職時の速やかなアクセス権限剥奪。
よくある落とし穴(注意点)
- シャドー IT の放置による情報漏洩。
- 外部業者とのプロジェクト終了後、共有フォルダのアクセス権限を剥奪し忘れる。
- 設定ミスにより、誰でも見られる「共有リンク」を誤って拡散してしまう。
- 退職者の個人アカウントに、業務データが残ったままになる。
- AI ツールと自動連携する設定になっており、機密情報が AI の学習データとして使われてしまう。
- バックアップを完全にサービス側に依存しており、契約終了や障害時にデータが消滅する。
言葉をよく利用する人
- 情シス
- Web 担当者(発注側)
- 法務 / 契約担当
- AI 活用担当 / プロンプトエンジニア
会話上での使用例
シャドーITが発覚した場面
-
情シス
社員が個人のDropboxに業務ファイルを保管しているのを見つけました。
-
Web 担当者
それはシャドーITで、オンラインストレージ経由の典型的な漏洩リスクですね。法人契約のGoogle DriveかBox、OneDriveのどれかを社内標準と決めて、全社員に切り替えをアナウンスしましょう。個人ストレージの業務利用は禁止と徹底して、研修も実施したいです。
業者との共有設定を相談する場面
-
Web 担当者
業者とオンラインストレージを共有するとき、運用ルールはどうしましょうか。
-
情シス
業者向けの専用フォルダを切って、期間制限とアクセス権限の最小化を基本にしましょう。月次でアクセスログを確認して、契約終了時はすぐ権限を剥奪するフローも決めておきます。共有リンクはダウンロード制限とパスワード必須に設定しておくと安心です。