情報漏洩対策とは、USB、ファイルサーバー、クラウドストレージなどを経由して情報が外部へ流出するリスクを、アクセス制御や暗号化などの技術的な仕組みと、運用ルールの両面から抑える取り組みです。
本記事では、情報漏洩対策のうち、主にファイルの保存・閲覧・持ち出しに関係する「USB制御」「ファイルサーバー対策」「暗号化」「クラウドストレージ対策」の4つの観点を取り上げます。
メール誤送信、フィッシング、紙媒体などの対策は対象外です。
【結論】 ファイルの保存・閲覧・持ち出しに関する情報漏洩対策では、「USB制御」「ファイルサーバー対策」「暗号化」「クラウドストレージ対策」の4つを、自社のリスクに応じて段階的に組み合わせることが基本です。
USB制御: 記録媒体経由の持ち出しを仕組みで抑止する
ファイルサーバー対策: アクセス権限の見直しと、監査設定によるログ記録で内部リスクを減らす
暗号化：暗号化されたファイルや、紛失・盗難された端末からの情報閲覧リスクを抑える
クラウドストレージ対策: 共有リンクの設定やローカルキャッシュ、端末への保存にも目を向ける
これらに加えて、生成AIなど外部サービスへの入力も、新たな情報持ち出し経路として管理する必要があります。
大きな追加費用をかけずに見直しやすい運用ルールから着手し、必要な範囲で仕組みによる制御を組み合わせるのが現実的な進め方です。
1. 情報漏洩対策とは何か？
情報漏洩対策とは、企業が保有する顧客情報や技術情報が、不正に持ち出されたり、意図せず外部へ送信されたり、権限のない者に閲覧されたりすることを防ぐための総合的な取り組みを指します。
漏洩の経路は、USBメモリなどの記録媒体、社内ファイルサーバー、メール、クラウドストレージ、生成AIサービスへの入力など多岐にわたります。
経路ごとにリスクの性質が異なるため、1つの対策だけで防ぎきることは難しく、複数の対策を組み合わせる発想が必要です。
特に近年は、テレワークの普及とクラウド活用の拡大により、社外から社内データへアクセスする機会が増え、管理すべき範囲が広がっています。
USBメモリは手軽にデータを持ち運べる一方、紛失・盗難や、悪意ある持ち出しによる情報漏洩の原因になりやすい媒体です。
社内で許可されていないUSBメモリが接続されると、大量のファイルが短時間でコピーされてしまうおそれがあります。
USB制御製品では、製品や設定に応じて、USB接続の可否を端末単位・利用者単位で管理し、コピー操作の記録や制限を行うことができます。
これにより、ルールの周知だけに頼らず、仕組みとして持ち出しを抑止できる点が特徴です。
ファイルサーバーの対策では、部署や役職に応じてアクセスできるフォルダを絞り込む権限設定の見直しが基本になります。
異動や退職の際にアカウントの権限を放置してしまうと、不要なアクセス権が残り続け、漏洩リスクの温床になります。
適切な監査設定やログ管理製品を利用することで、誰が、いつ、どのファイルにアクセスし、更新・削除したかを記録できます。
たとえばWindows環境では、監査対象とするファイルやフォルダ、記録する操作を事前に設定する必要があります。
（出典：Microsoft Learn「Audit File System」／Windows環境におけるファイル監査の基本仕様
ただし、ファイルサーバー側の監査ログはアクセスや操作の把握には有効である一方、コピー先や、その後の外部への持ち出しまで直接示すとは限りません。
詳細な持ち出し状況を把握したい場合は、端末側の操作ログや、DLP（Data Loss Prevention：機密情報の持ち出しを検知・制御する仕組み）製品との組み合わせを検討する必要があります。
暗号化とは、データを第三者が読み取れない形式に変換する技術です。
本記事で扱う端末・ファイル保護の暗号化としては、ファイル単位の暗号化と、ディスク全体を暗号化する方式が代表的です。
ファイル暗号化は、暗号化されたファイルが端末外へ持ち出された場合に、復号権限を持たない第三者による閲覧被害を抑えるのに向いており、ディスク暗号化は端末の紛失・盗難時に有効という違いがあります。
どちらか一方ではなく、利用シーンに応じて組み合わせることで、対策の抜け漏れを減らせます。
クラウドストレージは利便性が高い一方、共有リンクの設定ミスや、退職者・異動者のアカウントやアクセス権限が残ることによる、意図しない閲覧・持ち出しがリスクとして挙げられます。
アクセス権限、共有リンク、外部ユーザーを定期的に棚卸しし、共有範囲を必要最小限にする運用が欠かせません。
また、不正ログイン対策として多要素認証を有効にし、必要に応じて端末や接続元に応じたアクセス制御を組み合わせることも重要です。
クラウドストレージのクライアントアプリは、閲覧したファイルをキャッシュとして保存したり、オフライン利用のために端末へダウンロードしたりする場合があります。
クラウド側でデータが暗号化されていても、端末上のデータがどのように保護されるかは、クライアントアプリの仕様やOSのディスク暗号化設定によって異なります。
端末に別途保存したファイルや、オフライン利用用にダウンロードしたデータは、クラウド側のアカウントやアクセス権限を変更しただけでは、直ちに消去されない場合があります。
キャッシュやローカルデータの削除動作は、クライアントアプリの仕様や操作方法によって異なるため、端末暗号化、MDM（Mobile Device Management：端末の設定や状態を一元管理する仕組み）による管理、オフライン保存の制限などを組み合わせることが重要です。
たとえばBox Driveでは、クラウド上のファイルをストリーミングするためにローカルキャッシュを使用します。
また、オフライン利用を指定したフォルダは、配下のファイルやサブフォルダを含めて端末へダウンロードされます。
（出典：Box「Box Drive Frequently Asked Questions」）
弊社の製品「CFKeeper」は、クラウドストレージの同期データをローカル側で自動暗号化し、同期フォルダ外へのコピーやアップロードを制限できるサービスです。
端末紛失やマルウェア感染時のキャッシュ経由の情報漏洩対策として活用できます。
外部事業者が提供する生成AIサービスに社外秘資料や顧客情報を入力すると、その情報は社外のサービス環境へ送信されます。
入力内容の保存期間や機械学習への利用の有無は、サービス、契約プラン、管理者設定、利用規約によって異なります。
そのため、利用前に規約やデータ利用条件を確認し、利用可能なサービスとアカウントを、社内で承認したものに限定することが重要です。
個人情報保護委員会も、個人情報取扱事業者に対し、個人データを含むプロンプトの入力が利用目的の範囲内か、また、当該個人データが機械学習に利用されないかを十分に確認するよう注意喚起しています。
（出典：個人情報保護委員会「生成AIサービスの利用に関する注意喚起等」）
また、ファイルをアップロードしなくても、画面上の情報をコピーしてプロンプトへ貼り付けたり、画面キャプチャを入力したりすることで、機密情報が社外サービスへ送信される場合があります。
コピー＆ペーストや画面キャプチャなど、ファイルそのものを送信しないこうした持ち出し経路は、USB制御やファイル単位の持ち出し制御だけでは把握できない場合があります。
社内ガイドラインの整備に加えて、利用できる生成AIサービスやアカウントの限定、クリップボード制御、画面キャプチャ制御などを、必要に応じて組み合わせることが重要です。
生成AI経由の情報漏洩リスクとその対策については、以下の記事でより詳しく解説しています。
USB制御・ファイルサーバー対策・暗号化・クラウドストレージ対策は、それぞれ対象とするリスクや役割が異なるため、優先順位をつけて段階的に導入するのが現実的です。
ステップ1：情報資産と、USB・ファイルサーバー・クラウドなどの保存・閲覧・持ち出し経路を洗い出す
ステップ2：アクセス権限、共有リンク、利用アカウント、社内ルール、既存のログ設定を見直す
ステップ3：リスクの高い経路から、USB制御、暗号化、MDM、DLPなどの仕組みを導入する
ステップ4：権限とログを定期的に確認し、異動・退職や利用環境の変化に合わせて設定を更新する
権限や社内ルールの見直しは、追加費用を抑えて始められる場合がありますが、棚卸しや継続運用のための担当者工数は発生します。
USB制御や暗号化などの製品を導入する場合は、対象端末数や機能範囲に応じた予算確保が必要です。
対策ごとに、防げるリスクと防げないリスクを整理すると次のとおりです。
なお、表内の「IRM」とは、Information Rights Management（ファイルの閲覧・編集・印刷などの利用権限を制御する仕組み）の略称です。
|
対策領域 |
主なリスク |
追加費用を抑えて始めやすい対策 |
仕組みによる対策 |
対策の限界 |
|
USB |
紛失・不正持ち出し |
利用申請・台帳管理 |
デバイス制御・操作ログ |
USB制御だけではメールやWeb経由の持ち出しを防げない |
|
ファイルサーバー |
過剰権限・内部不正 |
権限の棚卸し |
監査ログ・端末ログ・DLP |
サーバーログだけでは持ち出し先を判断できない場合がある |
|
暗号化 |
端末紛失・ファイル流出 |
利用可能な場合は、OS標準のディスク暗号化を有効化 |
ファイル暗号化・ディスク暗号化・IRM |
ログイン中の端末や復号後の操作には弱い |
|
クラウド |
共有設定ミス・端末への保存 |
共有リンク・退職者・外部ユーザーの確認 |
MFA・アクセス制御・MDM・端末暗号化・DLP |
クラウド側の設定だけでは、端末上のコピーや外部カメラによる画面撮影を完全には防げない |
この表のとおり、いずれの対策も単独ではすべてのリスクを防ぎきれないため、複数の対策を組み合わせる前提で優先順位を検討することが重要です。
企業規模にかかわらず、顧客情報や取引先情報を扱う以上、情報漏洩対策は必要です。
中小企業では、専任担当者や予算が限られ、対策や異常の発見が遅れる場合があります。
また、取引先との接続やデータ共有がある場合、自社の対策不足がサプライチェーン全体のリスクにつながるため、基本的な対策を段階的に進めることが重要です。
IPAの「中小企業の情報セキュリティ対策ガイドライン第4.0版」でも、経営者が認識すべき指針と、社内で対策を段階的に実践するための手順・手法が整理されています。
（出典：IPA「中小企業の情報セキュリティ対策ガイドライン」）
情報漏洩対策の費用は、対象となる端末数や利用者数、制御する経路、必要なログの範囲、クラウド管理機能の有無などによって異なります。
権限の棚卸しや社内ルールの見直しは、既存の人員や機能を活用して始められる場合があります。
一方、USB制御、ファイル暗号化、DLP、MDMなどの製品を導入する場合は、ライセンス費用に加えて、初期設定や運用管理の工数も考慮する必要があります。
まず対象範囲を絞り込み、複数製品の見積もりを比較することをおすすめします。
社外への物理的な持ち出しリスクが高い場合はUSB制御、社内での閲覧・編集権限の管理が課題であればファイルサーバー対策を優先するとよいでしょう。
多くの場合、両方を段階的に組み合わせることになります。
クラウドストレージ自体が一律に危険というわけではありません。
認証、アクセス権限、共有範囲、端末側の保存・管理が不十分な場合に、情報漏洩リスクが高まります。
適切な設定と運用を行うことで、情報漏洩リスクを抑えた共有基盤として活用できます。
情報漏洩対策では、USB、ファイルサーバー、クラウドストレージといった利用経路を管理するとともに、暗号化によって万一の流出時の被害を抑えることが重要です。
本記事で取り上げた4つの観点を、優先順位をつけながら段階的に組み合わせることが現実的です。
USBなど外部デバイスへのコピー制御、ファイルサーバー上の保護フォルダからの持ち出し制御、保護フォルダ内ファイルの自動暗号化に対応したい場合は、情報漏洩対策製品「NonCopy 2」が選択肢の一つです。
また、Boxのアクセス権限管理については、「CL-UMP」が選択肢の一つです。
職場とリモートワーク先など、利用環境に応じてBoxのアクセス権限を自動的に切り替えられるため、環境ごとにアカウントを使い分ける必要がなく、利便性とセキュリティ強化を両立できる点が特徴です。
自社だけでは判断が難しい部分は、無理に運用でカバーしようとせず、専門サービスへの相談も検討するとよいでしょう。
参考情報・出典
弊社、サイエンスパーク株式会社は1994年の創業より、ソフトウェア・ハードウェアのセキュリティ対策をおよそ30年に渡り続けてまいりました。
各種製造・開発におけるセキュリティリスクの診断から対策導入・運用までのお手伝いが可能ですので、ご相談だけでもお気軽にお問い合わせくださいませ。