クラウドのアクセス権を止めても、PCに保存済みのファイルまで消えるとは限りません。
Box・OneDriveの同期やオフライン利用で端末に残ったデータは、クラウド側の権限管理とは別に保護する必要があります。
本記事では、PC側に残る5つのリスクと、自社で確認すべきポイントを整理します。
1. クラウド上のファイルが、なぜPCにも残るのか？
クラウドストレージは、ファイルをクラウド上だけに保存する仕組みとは限りません。
閲覧やオフライン利用のために、PCへデータをダウンロードする場合があります。
|
サービス |
PCにデータが残る主な場面 |
|
Box Drive |
ファイルを開くとキャッシュに保存される。オフライン指定したフォルダーは、内容がダウンロードされる |
|
OneDrive |
オンライン専用のファイルも、開くとダウンロードされる。「常にこのデバイスに保持」を選ぶと、オフラインでも利用できる状態になる |
つまり、クラウド上の共有設定を適切に管理していても、取得済みのデータが端末でどう扱われるかは、別途確認が必要です。
（出典：Box「Box Drive Frequently Asked Questions」、Box「Making Content Available Offline」、Microsoft「Save disk space with OneDrive Files On-Demand for Windows」）
Box Driveの機能そのものについては、以下の記事で紹介しています。
|
リスク |
起きること |
|
① 紛失・盗難 |
端末に保存されたデータを第三者に読まれる可能性がある |
|
② 退職・アカウント停止後の残存 |
クラウドへのアクセスを止めても、取得済みのファイルが残る場合がある |
|
③ 同期フォルダ外への持ち出し |
USB・個人メール・私物クラウドなどへコピーされる |
|
④ 想定以上のデータ複製 |
オフライン設定によって、必要以上のファイルが端末に保存される |
|
⑤ 私物端末・個人アカウントの利用 |
管理対象外の端末や保存先へ、業務データが広がる可能性がある |
PCに保存されたファイルは、開くたびにクラウド側で認証されるとは限りません。
端末の保護状態によっては、紛失・盗難時に読み取られる可能性があります。
端末の暗号化に加え、何のデータが保存されていたかを把握できることが重要です。
BitLockerなどのディスク暗号化は、紛失・盗難時のデータ窃取対策に有効です。
ただし、正規にログインした状態でのコピーや持ち出しを制限するものではありません。
（出典：Microsoft「BitLocker の概要」）
アカウント停止だけで、PC内のデータがすべて消えるとは限りません。
Box Driveは、ログアウトするとキャッシュやオフラインでダウンロードしたデータを削除すると案内しています。
ただし、ログアウトが実行されることが前提であり、同期フォルダ外へコピーしたファイルの削除とは別です。
OneDriveも、リンクを解除しただけで、ローカルに保存済みのファイルが削除されるわけではありません。
退職時は、アカウント停止だけでなく、端末回収・ログアウト・残存データの消去まで手順に含める必要があります。
（出典：Box「Box Drive Frequently Asked Questions」、Microsoft「OneDrive のリンクを解除してリンクし直す」）
退職者・委託先に関するリスク全般は、以下の記事で整理しています。
クラウド上の共有・ダウンロード制限と、PCへ取得した後のコピー制御は別の対策です。
同期フォルダ内のファイルが、USBメモリへコピーされたり、個人メールに添付されたりすると、クラウド側の管理から離れる可能性があります。
「誰がアクセスできるか」だけでなく、「取得後にどこへ持ち出せるか」も確認してください。
暗号化とアクセス制御のどちらを優先するかという一般論は、以下の記事で解説しています。
Box Driveでは、フォルダーをオフライン指定すると、その配下のファイルやサブフォルダーもダウンロードされます。
OneDriveの「常にこのデバイスに保持」も、端末にデータを保存する設定です。
利便性のために設定を追加した結果、機密ファイルが必要以上の端末に残ることがあります。
確認すべきなのは保存容量だけではなく、どの機密データが、何台の端末に複製されているかです。
（出典：Box「Making Content Available Offline」、Microsoft「Save disk space with OneDrive Files On-Demand for Windows」）
私物PCで業務データを取得することと、個人用クラウドへ業務データを保存することは、分けて対策する必要があります。
OneDriveには、同期を許可する組織を限定する設定や、個人用アカウントの同期を禁止する設定があります。
ただし、これらの設定だけで私物PCからの業務データへのアクセス全体を制限できるわけではありません。
また、個人用アカウントの同期を禁止しても、それ以前に同期されたファイルはPCに残ると案内されています。
利用可能な端末の制限と、個人アカウント・私物クラウドへの保存制限を、それぞれ確認してください。
（出典：Microsoft「IT 管理者 - OneDrive ポリシーを使用して同期設定を制御する」）
まずは、次の項目を確認してください。
|
確認項目 |
チェックする内容 |
|
対象端末 |
Box Drive・OneDriveを利用している端末と利用者を把握しているか |
|
保存範囲 |
オフライン設定や、機密フォルダーの保存状況を把握しているか |
|
紛失・退職時の対応 |
端末回収・ログアウト・データ消去の手順があるか |
|
持ち出し経路 |
USB・個人メール・私物クラウドへの持ち出しを制限しているか |
|
管理対象外の利用 |
私物端末や個人アカウントの利用条件を設定しているか |
すべてを一度に整える必要はありません。
まずは機密データの保存状況と、紛失・退職時の手順から確認すると、優先すべき対策が見えやすくなります。
洗い出したリスクに対して、次の3つを組み合わせます。
端末を守る： ディスク暗号化、利用端末の制限、紛失・退職時の回収や消去
ファイルを守る： 端末に残るデータの暗号化やアクセス制御
持ち出し経路を守る： 同期フォルダ外へのコピー、USBや私物クラウドへの持ち出し制限
クラウド側の権限管理は引き続き重要です。
そのうえで、PCへ取得された後のデータも保護することが、対策の抜けを減らします。
「CFKeeper」は、Box・OneDriveなどの同期フォルダに残るデータを、端末側で保護するソリューションです。
同期フォルダ内のファイルを自動で暗号化し、フォルダ外へのコピーを制限します。
通常業務で必要な印刷やコピー＆ペーストは許可できるため、保護と使い勝手の両立を図れます。
端末回収やアカウント管理などの運用と組み合わせ、ルールだけでは防ぎきれない部分を仕組みで補います。
評価版で、保護の動作と日常業務への影響をご確認ください。
導入範囲が決まっていない場合も、現在の同期環境や課題からご相談いただけます。
弊社、サイエンスパーク株式会社は1994年の創業より、ソフトウェア・ハードウェアのセキュリティ対策を30年以上に渡り続けてまいりました。
セキュリティリスクの診断から対策導入・運用までのお手伝いが可能ですので、お気軽にお問い合わせくださいませ。
ご相談だけでも大歓迎です。
・Box「Box Drive Frequently Asked Questions」
・Box「Making Content Available Offline」
・Microsoft「Save disk space with OneDrive Files On-Demand for Windows」
・Microsoft「OneDrive のリンクを解除してリンクし直す」
・Microsoft「IT 管理者 - OneDrive ポリシーを使用して同期設定を制御する」