社内でクラウドストレージを使ってファイルを管理し、取引先に共有リンクを送るやり取りはよくあります。しかし、リンクの共有設定を確認せずに送り続けていたとしたら、意図しない相手にファイルが見られる状態になっているかもしれません。
この記事では、クラウドストレージのリンク共有設定が持つリスクと、アクセスを制限するための対策を紹介します。
こんなヒヤリ、ありませんか？
「リンクを知っている全員が閲覧可能」設定のままURLを取引先に送り続けていた
クラウドストレージでファイルを共有する際、「リンクを知っている全員が閲覧可能」という設定になっていることに気づかないまま取引先にURLを送っていた。後になって設定を見直すと、そのリンクはURLを知っている人であればアクセスできる状態だったと気づいた。
取引先から「このURLを社内で共有してよいですか？」と聞かれた
取引先の担当者から「同僚にも共有してよいですか？」という確認の連絡があった。URLを知っていれば誰でも見られる設定だったため、実質的にアクセスを制限できない状態だった。意図せず社外の複数人にアクセス権が広がっていた。
別案件のURLと混同して、異なる取引先の資料が見える状態になっていた
複数の案件でクラウドストレージのフォルダを使い分けていたが、構成を誤り、A社向けのURLがB社のファイルにアクセスできる状態になっていた。A社・B社それぞれの案件情報が相互に閲覧できる状態になっている可能性に後から気づいた。
なぜオープンなリンク設定がリスクになるのか
クラウドストレージの「リンクを知っている全員が閲覧可能」という設定は、URLさえ知っていれば誰でもアクセスできる状態を意味します。URLは推測されにくい長い文字列で構成されていることが一般的ですが、一度共有したURLが転送・コピーされることを防ぐことはできません。
取引先の担当者が社内でURLを転送した場合、その相手も同じファイルにアクセスできます。URLに有効期限を設定していない場合、担当者が退職したあともアクセス可能な状態が続くことがあります。「URLを送った相手だけが見られる」という感覚とは異なり、実際にはアクセス制限がない状態です。
機密性の高いファイルや個人情報を含む書類をこの設定で送ることは、情報漏洩につながるリスクがあります。意図して設定を変更していなくても、デフォルトでオープンな状態になっているサービスもあるため、送信前の確認が重要です。
URLだけでは開けない仕組みが重要
パスワード認証
URLにアクセスしただけではファイルを見られないように、パスワード認証を設定する方法があります。URLとパスワードの両方を知らないとアクセスできないため、URLが第三者に渡っても内容を見られません。ただし、パスワード自体が漏れた場合はリスクが残ります。
ワンタイムパスワード（OTP）認証
ダウンロードのたびに、指定されたメールアドレスへ確認コードが送られる仕組みです。URLとパスワードが漏れたとしても、メールアドレスへのアクセスがなければファイルをダウンロードできません。指定したメールアドレスを利用できる相手以外のアクセスを大幅に制限できます。
メールアドレス指定による受取人の限定
ダウンロードURLを特定のメールアドレスに紐付けることで、指定したメールアドレスを利用できる受取人にアクセスを限定できます。URLが転送されても、紐付けられたメールアドレスでOTP認証を完了しなければダウンロードできません。
まとめ
クラウドストレージのリンク共有設定によるリスクは、アクセス制限の仕組みを意識することで大幅に減らせます。
- 「リンクを知っている全員が閲覧可能」設定は、URLが広まると誰でもアクセスできる状態になる
- パスワード認証やOTP認証を組み合わせると、URLだけではアクセスできない
- 受取人のメールアドレスを指定することで、アクセスできる相手を限定しやすくなる