無料クラウドストレージの業務利用は、サービスの良し悪しより、中身も共有先も会社が把握できない点で危険があります。止めるには、実態を聞き、代わりを用意し、ルールと通信の制限を入れ、置かれていたデータを回収する順に進めます。
今日は、部署の責任者に「大きなファイルを社外に渡すとき、何を使っていますか」と聞いてください。違反の調査として聞くと答えが返ってこないので、困りごとの確認として聞きます。名前の出たサービスと用途を書き出せば、次の手順の材料になります。
TeraBoxのようなサービスの何を確かめるか
「terabox 危険性」と調べるとさまざまな評判が出てきますが、判断の材料にするなら公式の情報です。TeraBoxの場合、公開情報から次のことが確かめられます。
- App Storeの掲載情報では、デベロッパはFLEXTECH INC.で、1024GBの無料ストレージをうたっている
- 2024年12月の発表では、短期または恒久の共有リンクを作れ、登録していない人でも5GBまで共有できるとしている
- App Storeのプライバシー欄には、他社のアプリやWebサイトをまたいだトラッキングに使用状況データが使われる場合があること、メールアドレス、名前、電話番号、写真またはビデオなどがユーザーに関連付けられる場合があることが、開発者の申告として載っている。Appleはこの内容を検証していない
これだけで「危険なサービスだ」とは言えず、私たちも問題があると判断できる材料は持っていません。App Storeの掲載情報からは利用規約とプライバシーポリシーへのリンクをたどれます。私たちは本文を確かめられなかったため、ここでは内容に触れません。検討する場合は担当者が原文を読んでください。
会社として確かめるのは、次の問いです。名前が別のサービスに変わっても同じです。
- 業務データの利用を規約や料金プランはどう扱っているか
- 管理者が社員のアカウントと共有をまとめて管理できるか
- 操作の記録を会社が見られるか
- データをどの国や地域に保存しているか
- 退職時に会社がデータを回収できるか
1つでも答えられないなら、業務データの置き場にはしません。法人向けの製品と比べる場合の項目は、法人のクラウドストレージ比較の7項目にまとめました。
個人のアカウントに業務データを置くと何が起きるのか
サービスの安全性がどれほど高くても、個人のアカウントである限り残る問題があります。
設定が個人に任される。 総務省のクラウドの設定ミス対策ガイドブックは、管理部門の許可なく使われるサービスを「シャドーIT」と呼び、使う個人がセキュリティの設定をするため、知識不足からミスをする危険があると説明しています。社員が個人的に使っていたサービスの業務ファイルが公開設定で、外部からの指摘で発覚した事例も載っています。
会社から見えないので、記録も取れません。事故が起きても、何が誰に見えていたのかを説明できず、原因の調査は本人の記憶とアカウント次第になります。
退職後の回収もできません。データは本人のアカウントに残ります。IPAの情報セキュリティ10大脅威 2026の解説書は、組織の情報管理規則に背いた持ち出しや、不注意による紛失も内部不正による情報漏えいに含めています。本人に悪意がなくても、会社の情報管理の問題として扱うことになります。
取引先との約束にも関わります。秘密保持契約に保管場所や再提供の条件があれば、個人のクラウドに置くこと自体が問題になる場合があります。個人データなら、IPAの手引きが挙げる保存先の国や地域、適用法令の確認もできていないことになります。
クラウドの利用が問題なのではありません。経済産業省の営業秘密管理指針は、外部のクラウドで保管しても秘密として管理されていれば秘密管理性は失われないとしています。ただ、会社が把握していない個人のアカウントでは、その管理を説明しにくくなります。
手順1：実態を、責めずに確かめる
聞き取りと記録の両方で確かめます。聞き取りでは、使っているサービスと、そのサービスが要る理由を聞きます。通信の記録がある会社なら、プロキシやファイアウォールのログに、よく知られたストレージのサービス名がどれだけ出てくるかも見ます。
ログの分析に手が回らなければ、製品に任せる方法もあります。たとえばMicrosoft Defender for Cloud Appsの説明では、端末やファイアウォール、プロキシからの情報で使われているクラウドアプリを見つけ、リスクを調べ、未承認のアプリを止める流れが示されています。こうした製品の違いはCASBの製品比較で確かめられます。
同じ説明は、承認されていないアプリは正当な業務目的で使われていることが多いとも述べています。ここを読み違えて犯人探しにすると、次からは誰も話してくれません。
手順2：理由ごとに代わりを用意する
禁止だけ先に出すと、別のサービスへ移るだけになりがちです。聞き取りで出た理由に合わせて、代わりを先に決めます。
| 使っている理由 |
代わりの例 |
| 大きなファイルを社外へ渡したい |
法人向けのファイル転送サービス |
| 外出先から資料を見たい |
会社契約のクラウドストレージ |
| 容量が足りない |
社内の置き場の整理と増量 |
| スマホの写真を現場で共有したい |
会社アカウントのアプリ |
大容量の受け渡しが主な理由なら、法人向けファイル転送サービスの比較から候補を探せます。
手順3：ルールを1枚にして周知する
総務省のガイドブックは、シャドーITを取り締まるのは難しく、まずルールを決めて周知するところからだと述べています。A4で1枚に次の4つを書けば、最初の版になります。
- 業務データを置いてよいサービスの一覧
- 個人のアカウントに業務データを置かないこと
- 一覧にないサービスを使いたいときの申請先
- すでに置いてしまったときの連絡先と、早く申し出た人を責めないこと
最後の項目が抜けると、データの回収が進みません。IPAの中小企業の情報セキュリティ対策ガイドラインには、規程のひな形も付いています。
手順4：通信と端末で止める
ルールと代わりがそろってから、技術の制限を入れます。順序を逆にすると、現場の業務が先に止まります。
社内からのアクセスは、ファイアウォールやプロキシで止められます。Webの通信を途中で検査する仕組みを入れるなら、SWG（クラウド型プロキシ）の製品比較が材料になります。社外の回線でも同じ制限をかけられるかは、製品ごとに確かめます。
限界も知っておきます。Microsoftの説明も、従業員は企業ネットワークの外からもアクセスできるため、ファイアウォールのルールだけでは足りないとしています。私物のスマホからの利用は、通信の制限では止まりません。社内のデータの持ち出しそのものを見たい場合は、DLP（情報漏えい対策）の製品比較で、検知や制限の方法を比べます。
手順5：置かれていたデータを回収する
利用を止めるだけでは、データは残ったままです。申し出てもらった人ごとに、次の順で進めます。
- 置いていたデータと、共有リンクの有無、共有相手を書き出す
- 共有リンクを止める
- 必要なものを会社の置き場へ移す
- 個人のアカウントから削除し、本人に確認してもらう
- 何をいつ処理したかを記録する
順序は変えないでください。先に消すと、誰に見えていたかを確かめる材料が減ります。個人データや取引先の情報が含まれていたら、削除の前に社内の担当者に報告します。報告の要否は個別の判断になるので、弁護士や関係先に相談します。
製造業の場合：図面や動画の受け渡しから見直す
たとえば、試作メーカーの設計担当者が、メールで送れないサイズのCADデータや加工動画を協力工場へ渡すために、無料のサービスを使っている場合を考えます。禁止するだけでは納期に響くので、本人はまた別の方法を探します。
ここで先に決めるのは、協力工場との受け渡しの正規の経路です。取引先のアカウントを登録し、案件ごとに期限を切る形にすれば、誰に何を渡したかが会社に残ります。協力工場の側も個人のサービスを使っていないか、契約の更新の機会に確かめます。
一度きりで終わらせず、年に1度は手順1の聞き取りを繰り返します。入社や退職の手続きにも、個人のアカウントに業務データが残っていないかの確認を入れます。SaaS全般の管理は導入前の確認項目と権限の管理で、クラウド全般はクラウドのセキュリティのカテゴリで整理しています。
