法人のクラウドストレージ比較の見方は？安全面で確かめる7つの項目

法人のクラウドストレージは、容量と価格の前に、共有リンクの制限、権限、操作履歴、版の復元、認証と端末、退職時の処理、保存先と契約の7項目⁠で比べます。どれも、事故が起きてから足そうとすると手間がかかる部分です。

今日は、いま使っているサービスの管理画面で、社外共有の設定を開いてください。認証なしで開けるリンクを誰でも作れる状態なら、比較の前にそこを直す判断が先に来ます。これから導入する会社は、候補の製品ごとに下の表を埋めていきます。

なぜ容量と価格だけでは比べられないのか

クラウドの安全は、事業者と利用者が役割を分けて保つものだからです。IPAの中小企業のためのクラウドサービス安全利用の手引き（2026年6月）⁠も⁠、この分担を前提に、選ぶとき、運用するとき、セキュリティ管理の3段階で確認点を挙げています。どんな設定ができるかは製品の差で、実際にどう設定するかは利用者の責任です。

設定の失敗は実際に起きています。総務省のクラウドの設定ミス対策ガイドブック（2024年4月）⁠に⁠は⁠、2023年⁠の事例として、ファイル共有サービスの公開範囲の設定ミスにより、顧客や取引先、退職者などの情報が「リンクを知っているインターネット上のすべての人⁠」⁠に閲覧可能だったものが載っています。

国家サイバー統括室が2026年11月5日⁠に出した文書も、設定の点検の例として、クラウドストレージのアクセスや外部共有設定を挙げています。

比べる7項目の一覧

機能の説明は製品ごとに言葉が違うので、同じ問いを各社に当てて比べます。

以下の製品名は、公式の説明を確かめられた例として挙げています。私たちが試した結果ではなく、機能はプランによって変わることがあるので、自社の契約で確かめてください。

1. 共有リンクは、管理者がどこまで縛れるか

共有の失敗を防ぐには、社員の注意に任せる形ではなく、管理者が全社の上限を決められる製品を選びます。

Microsoft 365の共有設定の説明では、社外共有の範囲を「すべてのユーザー」「新規および既存のゲスト」「既存のゲスト」「組織内のユーザーのみ」⁠か⁠ら選びます。「すべてのユーザー」⁠のリンクは認証なしで開け、有効期限の強制や、表示のみへの制限ができます。同じページは、このリンクが転送されると、誰がアクセスしたかを追跡できなくなるとも説明しています。

Google Workspaceの説明では、組織外との共有のオンとオフを部門やグループごとに切り替えられ、信頼できるドメインとだけ共有を許可する設定もあります。変更の反映に最長24時間ほどかかることがある点も、切り替えの計画に入れておきます。

比較表には次の4つ⁠を書きます。

• 認証なしのリンクを全社で禁止できるか
• リンクの有効期限を強制できるか
• 共有相手を取引先のドメインに絞れるか
• 最初に選ばれるリンクの種類を管理者が決められるか

2. 権限は、上の設定が下を縛れるか

部署ごとに権限を分けられるのは多くの製品の前提です。見るのは、その設定の強さです。Microsoft 365では、サイトごとの共有設定は組織全体と同じか、より厳しくする必要があります。OneDriveの設定もSharePointより緩くはできません。

社員が個別に緩められる作りだと、棚卸しのたびに例外を探すことになります。社外と共有できる人を特定のグループに限れるかも、中小企業では効きます。

3. 操作履歴は、社外共有の一覧をすぐ出せるか

事故のときに最初に聞かれるのは「何が、誰に見えていたのか」⁠で⁠す⁠。答えるには履歴が要ります。Google Workspaceのドライブのログの説明では、公開設定で絞り込み、組織外と共有中のファイルを確かめられます。

比べるのは、履歴の有無だけではありません。

• 共有の設定と解除が記録されるか
• 閲覧とダウンロードまで記録されるか
• 何か月分を見られ、書き出せるか
• 見られる人を管理者に限れるか

他のシステムの記録とまとめて保管するなら、統合ログ管理ツールの比較も材料になります。

4. 版の履歴は、上限を数字で確かめる

版の履歴は、誤った上書きやランサムウェアからの復旧で頼りになりますが、上限はサービスと形式で違います。

Microsoftの説明では、Microsoft 365の新しいライブラリは既定でバージョン管理が有効で、最後の500バージョンが保存されます。Googleドライブの説明では、ドライブに保存したPDFや画像などの版は、30日後または新しい版が100個作られると完全に削除される可能性があり、残したい版は個別に固定します。

版の履歴はバックアップの代わりになるとは限りません。IPAの手引きは、重要情報を手元に確保し、複数世代を取るよう挙げています。同じ手引きの事故例には、事業者の作業ミスで5,000件⁠を超える顧客データが消失したものもあります。

5. 認証と端末は、例外なく強制できるか

多要素認証の機能があるだけでは足りず、全員に強制できるかを見ます。社員ごとの任意設定だと、使っていない人のアカウントが弱点として残ります。既存のIDとまとめて管理するなら、IDaaSの製品比較を併せて見ます。

私物端末からの保存を止めたい会社は、端末の制限も確かめます。Microsoftの説明では、管理されていない端末からのアクセスを遮断するか、ダウンロードや印刷、同期ができないブラウザーだけのアクセスに制限できます。

6. 退職時のファイルは、どこへ行くのか

アカウントを消すと、その人が持っていたファイルと共有まで消えるのかを確かめます。Microsoftの説明では、ユーザーを削除するとマネージャーへOneDriveへのアクセス権が既定で渡り、既定では30日間、ファイルにアクセスしてダウンロードできます。マネージャーが未設定なら、誰にも渡らない場合があります。

Google Workspaceでは、管理者がファイルのオーナーを移管でき、ユーザーの削除時に移管することもできます。比較表には、移管の手段と、削除後に何日残るかを書きます。

7. 保存先と契約は、表に書いて残す

IPAの手引きは、データの保存先の国や地域、稼働率や回復目標、利用終了時のデータの扱い、適用法令と契約条件を確かめるよう挙げています。事業者を見る材料には、ISMAP、ISMSクラウドセキュリティ認証、クラウド情報セキュリティ監査制度、ASP・SaaS情報開示認定制度があります。

認証があっても、見られているのは事業者の側です。自社の共有設定まで保証するものではありません。

製造業の場合：図面を取引先と共有する前提で埋める

たとえば、金型メーカーが複数の取引先と図面をやり取りする場合を考えます。項目1では取引先のドメインだけに共有を許可できるか、項目2では案件ごとにフォルダーの権限を分けられるか、項目3では誰がダウンロードしたかを追えるかが、選ぶ決め手になりやすいところです。

クラウドに置くこと自体が直ちに問題になるわけではありません。経済産業省の営業秘密管理指針は、外部のクラウドで保管しても、秘密として管理されていれば秘密管理性は失われないとし、階層制限に基づくアクセス制御を例に挙げています。取引先との秘密保持契約に保管場所の条件があるかは、契約ごとに読みます。

比較表の作り方と、ストレージ以外の選択肢

○と×だけの表にすると、差が消えます。各マスには「管理者が全社に強制できる」「利用者ごとの設定」「上位プランのみ」のように、できる形を書きます。公開情報で埋まらないマスは、販売元に文面で確かめて残します。

ストレージだけで解けない課題もあります。

• 単発で大きなファイルを社外へ渡す：法人向けファイル転送サービスの比較
• 機密データの持ち出しを検知したい：DLP（情報漏えい対策）⁠の製品比較
• 複数のクラウドの利用状況をまとめて見たい：CASBの製品比較

社員がすでに個人のサービスを使っている場合は、無料クラウドストレージの利用を止める手順を、導入後の権限と退職者の管理はSaaSの確認項目と権限の管理⁠を見てください。クラウド全般の整理はクラウドのセキュリティのカテゴリ⁠にまとめています。