ファイル転送サービスでは、送った相手がダウンロードできるURLを発行します。このURLに有効期限を設定する機能があるサービスと、設定できないサービスがあります。
有効期限付きURLとは何か、なぜセキュリティに関わるのかを解説します。
有効期限とは、設定した日時を過ぎるとURLへのアクセスが無効になる仕組みです。期限後はURLをクリックしても、通常はファイルをダウンロードできなくなります。ファイルを必要以上に長期間ダウンロードできる状態にしないための手段のひとつです。
有効期限のないURLが生み出すリスク
URLが転送されて意図しない相手にもアクセスされる
一度発行したURLは、受け取った相手が第三者に転送してしまう可能性があります。有効期限が設定されていなければ、URLが長期間利用可能な状態のままになることがあります。取引先の担当者が社内でURLをチャットや社内メールで共有した場合、発信者が想定していない相手もファイルにアクセスできる可能性があります。
担当者の退職や異動後もURLが利用できる状態のまま残る
メールでURLを送った後、受け取った担当者が退職や異動をしても、URLはそのまま有効な状態が続きます。メールボックスが引き継がれたり、URLが保存されていた場合には、後任者などがアクセスできる可能性があります。
「送った当時の担当者だけが持っているURL」という認識が、実際とは一致しない状態になっていることがあります。
不要になった後もファイルへのアクセスが継続してしまう
納品・確認・承認が完了した後も、URLに有効期限がなければそのファイルはダウンロード可能な状態のままです。業務が完了した後にファイルが残り続けることは、情報管理の観点から、不要なアクセス機会を減らせることが望ましいとされています。
不要になった時点でアクセスを無効にできる手段があるかどうかは、サービスを選ぶ際のポイントになります。
ファイル転送サービスを選ぶ際に確認したいポイント
1. 有効期限を自分で設定できるか
有効期限の設定が利用者に委ねられているサービスは、用途に応じた管理がしやすくなります。「3日以内に確認してほしい」「1週間以内にダウンロードしてほしい」など、案件の期日に合わせた設定ができると、不必要にURLが有効な期間を短くできます。
2. 期限が過ぎた後にアクセスが自動で無効化されるか
有効期限を設定しても、期限後に自動でアクセスが停止されない場合は、十分な効果が得られないことがあります。設定した期限を過ぎた後、URLをクリックしてもダウンロードができない状態に自動で切り替わるかどうかを確認しましょう。
3. 有効期限に加えて認証の仕組みがあるか
有効期限はURLのアクセス可能期間を制限しますが、期限内であればURLを知っている人がアクセスできる仕組みの場合、URLが漏えいした際のリスクは残ります。パスワード認証やOTP（ワンタイムパスワード）認証と組み合わせることで、有効期限内であっても指定した相手以外からのアクセスを制限しやすくなります。有効期限と認証の両方が整っているかを確認することが重要です。
よくある質問
Q. 有効期限が過ぎたら、ファイルや送った情報はどうなりますか？
A. 有効期限が過ぎると、URLへのアクセスが無効化されることが一般的です。送られたファイルそのものがすぐに削除されるかどうかはサービスによって異なります。サービスの仕様や利用規約を確認してください。
Q. 有効期限は後から変更できますか？
A. サービスによって異なります。有効期限を延長できるサービスでは、相手がまだダウンロードしていない場合に、期限を延長して再案内できるサービスもあります。逆に、早めに期限を切りたい場合に短縮できるかどうかも確認しておくとよいでしょう。
Q. 有効期限が短いほどセキュリティは高まりますか？
A. 有効期限が短ければ、URLが有効な状態で残る期間を短くできるという意味でリスクを減らせます。ただし、相手がダウンロードする前に期限が切れてしまうと、再送の手間が発生します。業務の期日と相手の受け取りやすさを考慮して設定することが大切です。
Q. 有効期限なしでパスワード認証だけ設定すれば十分ですか？
A. パスワード認証はURLだけでアクセスされるリスクを下げますが、パスワード自体が漏えいした場合は、追加の対策がなければアクセスを制限しにくくなります。有効期限と認証を組み合わせることで、万が一の状況でもリスクを抑えやすくなります。
まとめ
有効期限付きURLは、ファイル転送のセキュリティを高めるための基本的な仕組みのひとつです。サービスを選ぶ際には以下のポイントを確認しましょう。
- 有効期限を自分で設定できるか
- 期限後に自動でアクセスが無効化されるか
- 有効期限に加えて、パスワード認証やOTP（ワンタイムパスワード）認証を利用できるか
- 必要に応じて有効期限を延長・短縮できるか