SONAE KNOWLEDGE / 会社の備え
ファイル共有の「リンクを知っている全員」、そのままで大丈夫?
AI技術確認日:2026-10-23/編集確認は未了
AIを用いて初稿を作成し、技術確認もCodex(AI)が実施しています。一次資料との対応、記述とひな型の整合性を確認しました。専門家による監修ではありません。運営者の判断で先行公開しています。本人による編集確認は未了です。確認範囲は運営と編集のページをご覧ください。
公開:
便利な共有リンクも、渡す相手と権限を確認するところから。
共有リンクは、相手・操作・期限から確認する
リンクを発行したことだけで、必要な相手だけへ渡せたとは判断しません。Google ドライブは閲覧や編集などの役割と、親フォルダーから継承する共有の仕組みを説明しています。SONAEは、資料の所有者、使う相手、目的、必要な操作、終了する時期を先に整理する方法を提案します。すべての公開リンクを危険と決めつけるのではなく、公開してよい情報と、現在の共有範囲が一致しているかを確認しましょう。
SONAE KNOWLEDGE / 図解 01
ファイルの共有は、親の範囲も見る。
親フォルダー
誰に共有されているか
上位の共有設定を確認する。
対象ファイル
直接の共有と継承
閲覧・編集の権限を確認する。
実際の利用者
必要な相手と利用目的
業務担当と変更の影響を確かめる。
閲覧と編集を、業務の必要性で分ける
取引先が読むだけなら、編集まで認める理由があるかを考えます。ダウンロードや複写、再共有の扱いも、製品や設定に応じて確認します。画面で制限を付けても、相手が既に取得した情報まで回収できるとは限りません。架空の見積資料では、確認用の確定版と、社内で作業する原本を分け、外部へ渡す内容を担当が確認します。共同編集が必要な場合は、その目的と役割を合意し、便利さだけで広いアクセスを認めないようにします。
SONAE KNOWLEDGE / 図解 02
共有する前と、共有した後に。
相手と目的
誰が、どの資料を、何のために使うのか。
権限と継承
閲覧・編集の権限と、親フォルダーの共有範囲を確認。
見直しの時期
案件終了後、誰が共有を終えるかを決める。
リンクだけでなく、親とグループの権限を見る
個別の共有先が少なく見えても、親フォルダー、共有ドライブ、参加グループからアクセスできる人がいる場合があります。Google ドライブの現在の共有モデルでは、親から与えた権限を個々のファイルで低くすることはできないと説明されています。より狭い共有範囲が必要な場合は、別フォルダーへの移動や制限付きアクセスのフォルダーも選択肢ですが、利用できる条件と業務への影響を管理者が確認します。子のリンクだけを変更して終えず、どの経路で誰が参照できるかを照合しましょう。会社の一部だけを見た結果を、すべての共有が整理済みという説明へ広げません。
実際に相手へ渡す前に、対象を照合する
資料名、版、リンク、宛先、含まれる情報を確認します。似た名前の別の資料や、作業中のメモを共有していないかを見ます。権限の確認は正規の画面と許可された方法で行い、確認のために未承認の外部サービスへ資料を送らないようにします。公開する資料に個人情報や契約の条件が関係する場合は、適切な担当へ確認します。相手が読めるかを確かめる試験でも、対象と連絡を合意し、無断の実送信を避ける計画が必要です。
案件の終了と、所有者の交代へ対応する
いつ、誰が共有を見直し、何を残すかを決めます。担当の退職や異動、取引の終了、情報の更新で、同じリンクを使い続けてよいかは変わります。所有者を変えたことと、前の共有がなくなったことは別に確認します。期限の設定機能が使える場合も、契約や対象に条件があるため一律に利用できると推測しません。元の資料と相手が持つ控えを区別し、共有を終了した際に、どこまで確認したかを記録します。
共有の管理を、一件の記録として残す
完了の目安は、対象、相手、必要な役割、継承する範囲、見直す担当を説明できることです。見つかった広い共有は、業務への影響を確認してから変更します。必要な人まで使えなくなる場合の連絡先も準備しましょう。すべてを一度に直すのが難しい場合は、影響する情報と公開範囲から優先順位を判断し、未確認を残します。リンクを作る操作の簡単さと、その後の責任を切り離さず、使い終わるまでの管理を仕事へ組み込みます。
公開してよい資料と、案件資料を同じ扱いにしない
架空の広報資料は、会社が一般公開を認めているなら、公開範囲と目的が一致する可能性があります。一方、案件ごとの見積資料は相手と必要な操作を指定し、リンクの転送や親フォルダーの権限も確認します。公開リンクを見つけたことだけで、どちらも即座に削除する判断にはしません。まず資料の所有者に目的を聞きます。取引先が閲覧だけ必要なのに編集まで許可されていれば、業務影響を確認して権限の変更案を作ります。
変更後は、許可した経路と不要な経路を別に確認する
Google Driveでは親フォルダーの権限を個々のファイルで低くできないという現行の案内があります。制限付きアクセスのフォルダー等も公式条件に沿って検討し、子の共有先だけを見て判断せず、親やグループ経由で誰が使えるかを管理者と整理します。確認は承認された対象と利用者で行い、未承認の外部アカウントへ実資料を送って試しません。必要な相手が作業を続けられることと、終了した相手の経路を見直したことを別々に記録します。ほかの製品や共有ドライブへ同じ画面操作を適用せず、それぞれの公式条件を確認してください。
CASES / 2026年10月23日確認
実際の事例から、備えを考える。
以下は公表資料をもとにした要約です。SONAEの診断実績ではありません。自社への適用は、下の問いと分けて考えます。
サービス提供元の注意喚起
公開サイトのゲスト権限を狙う活動
- 公表・更新
- 2026年3月7日公表/3月11日更新
- 発生・観測
- 公表時点で調査中の活動。全対象の発生日は記載されていません。
Salesforceは、Experience Cloudの広すぎるゲスト権限を悪用し、意図しないデータ参照につながる活動を警告しました。
確認範囲:提供元は、基盤の脆弱性ではなく顧客側の権限設定に関連する問題と説明しています。
「公開するページ」と「公開してよい情報」の範囲を、設定と照らして確認していますか。
事業者の脅威調査
SaaS連携の信頼関係を悪用する活動
- 公表・更新
- 2026年7月13日
- 発生・観測
- 観測されたキャンペーン:2025年半ば〜2026年半ば。
Microsoftは、電話による誘導や外部連携を介し、OAuthのアクセス権がデータ窃取に悪用された活動を報告しています。
確認範囲:Salesforce基盤自体の脆弱性による事案として報告されたものではありません。AIが使われたとの断定もしていません。
人のログインだけでなく、連携アプリの権限・承認者・解除方法も管理していますか。
WORKSHEET / 05
共有リンク・アクセス経路の棚卸し票
まずは記入例を読み、自社で決める欄を確認してください。以下はSONAEの運用提案・架空例で、技術確認はAIが実施しています。専門家による監修ではありません。
UTF-8テキスト。メモ帳や文書アプリで編集できます。保存したファイルへの記入内容をサイトへ送る機能はありません。
記入済みの架空例を見る
- 資料・所有者
- 架空:案件Aの見積資料/営業担当A
- 情報の種類・共有目的
- 案件限定の価格情報/取引先の見積確認
- 相手と必要な操作
- 指定した取引先担当/閲覧のみが必要
- 直接の共有・リンク
- 現在の一般公開・指定相手・役割を管理者と確認
- 親・グループなどの経路
- 親フォルダーと所属グループの権限を確認/未確認なら保留
- 変更案と承認
- 不要な編集権限を見直す案/所有者と管理担当が承認
- 変更後の確認方法
- 許可した対象で業務継続と、不要な経路の見直しを確認
- 終了・見直し時期
- 案件終了時に担当Aが終了条件を確認
- 記録と残課題
- 確認日・担当・根拠の参照先/親の権限は管理者回答待ち
このひな型の受入チェック
- 資料の目的と実際の共有経路が対応している
- 親やグループの未確認を、共有終了済みと扱っていない
- 必要な利用が続き、終了担当と見直し時期が決まっている
公式資料の対応:Google Driveヘルプ「Share and manage access」の権限継承と制限付きアクセスの説明を参照。親から継承するアクセスの説明は同製品の条件です。案件の判断例、承認と終了の記録はSONAEの提案です。
相談前の確認表
- 資料の所有者と共有目的が分かる
- 閲覧・編集の権限を確認した
- 親フォルダーの共有範囲も確認した
- 共有を終了する担当と時期が決まっている
参考資料(確認日:2026年10月23日):Google ドライブ:共有とアクセスの管理 ↗
一般的な説明とSONAEの運用提案です。製品の公式条件と自社の管理責任者の判断を確認してください。
業務クラウドの点検について相談する →