指定フォルダの暗号化とアクセス制御、情報漏洩対策としてどちらを優先すべきか

指定フォルダの暗号化とアクセス制御は、どちらも情報漏洩対策の中核となる仕組みですが、防げるリスクの範囲が異なります。
限られた予算・工数の中でどちらを先に導入すべきか、判断に迷う情報システム担当者は少なくありません。

【結論】 アクセス制御と暗号化は防御の層が異なり、どちらか一方だけでは情報漏洩を防ぎきれません。

• アクセス制御は「誰がフォルダを読み書きできるか」を管理し、権限のない社内関係者・退職者による閲覧や持ち出しを防ぐ

• 暗号化は、端末・媒体の紛失や盗難、または暗号化された状態を維持したまま持ち出されたファイルからの情報流出被害を抑える

• まずアクセス権限を整理し、機密度や持ち出しリスクが高いフォルダから暗号化を重ねる順序が現実的

• 両者は代替関係ではなく、異なるリスクを補完し合う対策

本記事では、指定フォルダの暗号化とアクセス制御がそれぞれ防げるリスクの違いを整理したうえで、優先順位の判断基準と組み合わせ方を解説します。

目次

1. 指定フォルダの暗号化とアクセス制御、それぞれ何を防ぐのか？
   1. アクセス制御とは何か？
   2. 暗号化とは何か？
2. 情報漏洩対策として、なぜ優先順位を考える必要があるのか？
3. アクセス制御を優先すべきケースとは？
4. 暗号化を優先すべきケースとは？
5. アクセス制御と暗号化はどちらを先に導入すべきか？
6. 指定フォルダへの対策をどう組み合わせればよいか？
7. 導入費用・期間は何によって決まるか？
8. よくある質問
   
   1. アクセス制御だけで情報漏洩は防げるか？
   2. 暗号化しておけばアクセス制御は不要か？
   3. 中小企業はどちらから始めるべきか？
   4. クラウドストレージの同期フォルダも同様に考えてよいか？
9. まとめ
10. 指定フォルダの暗号化・アクセス制御対策を検討中の方へ
    1. フォルダ単位でコピー制御・暗号化・持ち出し制御をまとめて行いたい方へ
    2. クラウドストレージの同期フォルダを保護したい方へ
    3. Boxのアクセス権限を柔軟に管理したい方へ

1. 指定フォルダの暗号化とアクセス制御、それぞれ何を防ぐのか？

 アクセス制御と暗号化は、情報漏洩対策における防御の層が異なります。 

1.1. アクセス制御とは何か？

アクセス制御とは、フォルダやファイルへの読み取り・書き込み・削除・共有といった操作を、利用者やグループの権限に応じて制限する仕組みです。
WindowsファイルサーバーにおけるNTFS権限とActive Directoryのグループ管理、Boxなどクラウドストレージのフォルダ権限設定などが代表例です。

権限のない利用者はそもそもフォルダの中身を閲覧できないため、アクセス権限を与えられていない内部関係者による閲覧を防げます。
また、異動・退職に応じてアクセス権を適切に変更・削除することで、不要になったアクセスからの漏洩を防ぐ効果もあります。

1.2. 暗号化とは何か？

暗号化とは、データを、復号に必要な鍵や権限を持たない第三者が読み取れない形式に変換する技術です。
データの暗号化には、ファイル・フォルダ単位で暗号化する方式のほか、端末やディスク全体を暗号化する方式があります。
（出典：NIST「SP 800-111 Guide to Storage Encryption Technologies for End User Devices」）

暗号化された状態が維持されたまま持ち出された場合、たとえ社外に流出したり、権限のない第三者の手に渡ったりしても、復号権限がなければ中身を読み取ることができません。

なお、本記事では主にファイル・フォルダ単位の暗号化を扱いますが、端末そのものの紛失・盗難対策では、ディスク全体の暗号化もあわせて検討する必要があります。

2. 情報漏洩対策として、なぜ優先順位を考える必要があるのか？

予算・人員が限られる中で、すべての対策を同時に導入することは現実的ではないため、リスクの大きさに応じた優先順位付けが欠かせません。

アクセス制御は権限のない人物による閲覧・操作を防ぎますが、一般的なフォルダの閲覧・編集権限だけでは、権限を持つ利用者によるファイルの持ち出しまで一律に制御できるとは限りません。

一方、暗号化は端末・媒体の紛失時や、暗号化された状態が維持されたファイルの流出時にデータの内容を保護しますが、暗号化そのものは、誰にフォルダへのアクセスを許可するかというアクセス権限の設計を代替するものではありません。

どちらか一方だけでは防ぎきれないリスクが残るため、自社の脅威シナリオに応じてどちらを先に着手するか判断する必要があります。

3. アクセス制御を優先すべきケースとは？

次のような状況では、暗号化よりも先にアクセス権限の整理から着手することをおすすめします。

• 部署異動や退職があっても、フォルダへのアクセス権限が更新されずに残っている

• 誰がどのフォルダにアクセスできるか、権限の全体像を把握できていない

• アクセス権限を定期的に棚卸しするルールや担当者が決まっていない

• 複数の部署やプロジェクトで同じ共有フォルダを使い、権限の範囲があいまいになっている

これらの状態を放置すると、暗号化を導入しても、権限を持つ人物の範囲自体が広すぎるという根本的な課題が残ってしまいます。

中小企業向けの情報セキュリティ対策の指針としては、IPAの「中小企業の情報セキュリティ対策ガイドライン 第4.0版」が参考になります。
同ガイドラインの「IDアクセス制御」の項目では、IDの発行・変更・削除や、異動・退職時の権限見直しについても整理されています。
（出典：IPA「中小企業の情報セキュリティ対策ガイドライン 第4.0版」）

4. 暗号化を優先すべきケースとは？

次のような状況では、アクセス権限の見直しと並行して、暗号化を優先的に検討する価値があります。

• ノートPCなど、フォルダを含む端末を社外に持ち出す機会が多い

• 設計図面や顧客情報など、機密度の高いデータを保管している

• USBメモリやクラウドストレージへのコピーなど、フォルダ外への持ち出し経路が複数あり、暗号化とあわせてコピー・持ち出し制御が求められる

• 社外へファイルを持ち出した後も、暗号化状態を維持したまま復号権限を持たない第三者による閲覧を防ぐ必要がある

これらの状況では、権限設定だけでは端末紛失やファイル流出後の閲覧リスクをカバーしきれないため、端末紛失にはディスク全体の暗号化、ファイル流出にはファイル・フォルダ単位の暗号化など、リスクに応じた暗号化を組み合わせることが有効です。

なお、権限を持つ利用者によるUSBメモリやクラウドストレージへのコピーそのものを防ぎたい場合は、暗号化だけでなくコピー・持ち出し制御も組み合わせる必要があります。

5. アクセス制御と暗号化はどちらを先に導入すべきか？

基本的にはアクセス権限の整理を先に行い、端末の社外持ち出しが多い場合や機密度の高いデータを扱う場合は、暗号化を並行または先行して検討します。

両者の違いを整理すると、次のとおりです。

表のとおり、アクセス制御は「誰がデータにアクセスできるか」を、暗号化は「権限のない第三者にデータが渡った場合でも内容を読み取られにくくすること」を担う対策であり、どちらか一方で完結するものではありません。

自社の状況が表のどちらに近いかを確認したうえで、優先順位を判断することが重要です。

6. 指定フォルダへの対策をどう組み合わせればよいか？

指定フォルダの情報漏洩対策は、次の4ステップで段階的に進めるのが現実的です。

• ステップ1: 指定フォルダの棚卸し。保存されている情報の機密度、想定される持ち出し・紛失シナリオを洗い出す

• ステップ2: アクセス権限の整理。部署・役職・プロジェクト単位で必要最小限の権限に絞り込み、退職者・異動者の権限を削除する

• ステップ3: 暗号化の対象範囲を決める。機密度が高いフォルダや、社外に持ち出される可能性のある端末・データから優先的に暗号化する

• ステップ4: 運用ルールとログ管理を継続する。権限設定を定期的に見直すとともにログを確認し、異動・退職や利用環境の変化に応じて設定を更新する

特にステップ3の暗号化は、フォルダ内の全ファイルを一律に対象とするのではなく、機密度や持ち出しリスクの高いフォルダから優先的に適用することで、運用負荷を抑えながら効果を高められます。

7. 導入費用・期間は何によって決まるか？

費用は、対象フォルダの数や端末台数、必要な暗号化方式によって幅があります。

アクセス権限の見直しは、既存のOSやNAS、クラウドストレージの標準機能を使って行える場合、大きな追加費用をかけずに着手できます。

一方、暗号化製品や、コピー制御まで含めた仕組みを導入する場合は、対象端末数や機能範囲に応じたライセンス費用に加えて、導入設定や運用管理の工数も考慮する必要があります。

具体的な費用感は製品や対象範囲によって異なるため、複数の製品・ベンダーから見積もりを取り、自社の対象範囲に照らして比較することをおすすめします。
導入までの期間についても、対象端末数や既存環境、検証(PoC)の有無によって大きく異なるため、同様にベンダーへの確認を推奨します。

8. よくある質問

8.1. アクセス制御だけで情報漏洩は防げるか？

一般的なフォルダのアクセス権限設定だけでは、権限を持つ利用者による不正な持ち出しや、端末紛失時の情報流出まで十分にカバーできない場合があります。

権限のない人からの保護には有効な一方、権限保有者の行動や端末外に出た後のデータまでは十分にカバーしないため、暗号化など別の対策と組み合わせる必要があります。

8.2. 暗号化しておけばアクセス制御は不要か？

不要ではありません。
権限設定と暗号化は、互いの弱点を補い合う関係にあります。

暗号化は、端末・媒体の紛失時や、暗号化状態が維持されたファイルが流出した場合に、復号権限を持たない第三者によるデータの閲覧を防ぐための対策であり、そもそも権限のない人がフォルダを閲覧・編集できてしまう状態を防ぐものではありません。

8.3. 中小企業はどちらから始めるべきか？

多くの場合、追加費用を抑えて着手しやすいアクセス権限の見直しから始め、リスクの高いフォルダから暗号化を重ねる順序が現実的です。

ただし、ノートPCの社外持ち出しが多い、機密度の高い設計データを扱うといった事情がある場合は、暗号化を先行させる判断もあり得ます。

8.4. クラウドストレージの同期フォルダも同様に考えてよいか？

基本的な考え方は同じですが、クラウド側の共有権限設定に加えて、端末に同期・キャッシュされたローカルデータの保護も必要になる点が異なります。

同期フォルダについては、端末側の暗号化やローカルデータのコピー制御まで含めて検討することが重要です。

9. まとめ

指定フォルダの情報漏洩対策では、アクセス制御によって権限のない人物からフォルダを守ることと、暗号化によって端末・媒体の紛失や暗号化状態を維持したファイルの流出による被害を抑えることを、自社のリスクに応じて組み合わせることが重要です。

まずは自社のフォルダ利用状況とリスクを洗い出したうえで、権限整理と暗号化を段階的に組み合わせることが、現実的な進め方といえます。

情報漏洩対策全体の考え方については、以下の記事でも整理しています。

オンプレミスサーバーでの暗号化強化策については、以下の記事で詳しく取り上げています。

USBメモリ経由の持ち出し対策との使い分けについては、以下の記事も参考になります。

10. 指定フォルダの暗号化・アクセス制御対策を検討中の方へ

10.1. フォルダ単位でコピー制御・暗号化・持ち出し制御をまとめて行いたい方へ

「NonCopy 2」は、指定フォルダ内のファイルを自動暗号化しつつ、USBなど外部デバイスへのコピーや、保護フォルダ外への持ち出しを制御できる情報漏洩対策製品です。

ファイルの持ち出しを仕組みで抑止するコピー制御と、ファイルを保護する暗号化を1製品でまとめて運用したい場合の選択肢になります。

10.2. クラウドストレージの同期フォルダを保護したい方へ

「CFKeeper」は、クラウドストレージの同期データをローカル側で自動暗号化し、同期フォルダ外へのコピーやアップロードを制限できるサービスです。

ローカルストレージ上の同期データを保護する仕組みであり、クラウドストレージに同期・アップロードされるファイルにはCFKeeper独自の暗号化は適用されず、クラウド側では通常のファイルとして利用できます。

端末紛失やマルウェア感染時の、ローカルキャッシュ経由の情報漏洩対策として活用できます。

10.3. Boxのアクセス権限を柔軟に管理したい方へ

「CL-UMP」は、職場とリモートワーク先など利用環境に応じてBoxのアクセス権限を自動的に切り替えられるサービスです。

環境ごとにアカウントを使い分ける必要がなく、アクセス制御の運用負荷を抑えながらセキュリティを強化できる点が特徴です。

自社だけでは判断が難しい部分は、無理に運用でカバーしようとせず、専門サービスへの相談もご検討ください。

弊社、サイエンスパーク株式会社は1994年の創業より、ソフトウェア・ハードウェアのセキュリティ対策を30年以上に渡り続けてまいりました。

セキュリティリスクの診断から対策導入・運用までのお手伝いが可能ですので、お気軽にお問い合わせくださいませ。ご相談だけでも大歓迎です。

参考情報・出典

・IPA「中小企業の情報セキュリティ対策ガイドライン 第4.0版」

・NIST「SP 800-111 Guide to Storage Encryption Technologies for End User Devices」

（NonCopy 2・CFKeeper・CL-UMPの製品仕様は、本文中の製品名リンクを参照）