個人向けオンラインストレージを業務で使うのはなぜダメなの？：SOHO／中小企業に効く「オンラインストレージ」の選び方（第1回）（2/2 ページ）

[山口真弘，ITmedia]

個人向けオンラインストレージを業務で使うのはなぜNG？

　先ほどまでに挙げた、さまざまな強みを持つオンラインストレージだが、個人で使ってみて初めて、その便利さを実感したという人は少なくないはず。こうしたケースでは、個人向けのサービスをそのまま業務で使っている人も多いはずだが、コンプライアンスに違反しているか否かという問題にとどまらず、現実的なリスクが数多く潜んでおり決しておすすめできるものではない。個人向けサービスを業務で使う上でネックとなる点を見ていこう。

「Dropbox」

　最近のオンラインストレージは大容量化・低価格化が著しく、特に個人向けサービスではその傾向が顕著に現れている。最近は無料で100Gバイトを超える容量を持つサービスも珍しくなく、有料サービスにしても容量当たりの単価の下落が著しい。せっかくの容量は使わなくてはもったいないという理由で、それほど必要性が高くないファイルを、オンラインに保存している人もいることだろう。

初期状態で100Gバイトもの大容量が無料で利用できる「Surdoc」

　ファイルをこまめに消さなくても支障がなく、用が済んだファイルをオンラインに長期間放置されることも多く、その結果として不正アクセスなどによる情報漏えいのリスクが高くなる。法人向けのプランであれば、一定期間が経過したファイルは削除するなどのオプションが用意されており、不要なファイルを長期間放置しないようあらかじめ設定することで、リスクを低減できる。

　またこうしたファイルの受け渡しにあたり、個人向けサービスの多くは共有のURLが1つあればファイルをダウンロードできてしまうことがほとんどだ。つまりURLさえ分かれば誰でもダウンロードできてしまうわけだが、法人向けのサービスではパスワード設定のほか、閲覧をウェブ上のみに限定してダウンロードさせないなどの詳細な権限設定が行えるので、必要以上にファイルがダウンロードされ、関係のないユーザーの手元に残るのを防ぐことができる。

「Box」

　こうした利用者側でのコントロールに加えて、法人向けサービスの多くは、管理機能が用意されており、管理者がさまざまな権限を設定できる。ダウンロードする側にゲストIDを発行したり、IPアドレスを制限することで、社内および一部の協力会社からしかアクセスできなくすることも可能なほか、利用可能時間に制限を設け、管理者がチェックできない時間帯はサービスを利用できなくする設定も可能だ。

　さらに、社内システムと同等のセキュリティポリシーを適用することも可能だ。複数回続けて失敗するとログイン不可にしたり、IDの有効期限を設定して退職した社員がオンラインストレージ上のデータにアクセスできなくするなど、たとえURLが外部に漏れてもデータをダウンロードさせないために、ありとあらゆる手段が用意されている。アップロードできるファイルの拡張子に制限をかけることで、余計なファイルをアップロードできなくするといった機能もある。

　また、ファイルのアップロードやダウンロードの履歴を保管し、あとから確認できるログ機能も、個人向けサービスではあまり見かけない法人向けならではの機能だ。多くの管理機能では統計機能も利用できるので、平常時は異常なトラフィックが発生していないかをチェックしつつ、いざというときには履歴を参照して悪意のあるユーザーを特定するといったことが可能だ。

個人向けにはない特徴的な機能も

　以上ざっと見てきたが、大きくまとめると社内で運用しているセキュリティポリシーと同等の権限設定が行えるかどうかが、個人向けサービスと法人向けサービスの大きな相違点といえる。個人向けサービスの中にもパスワードが設定できたり、ダウンロードした回数が確認できるサービスもあるが、詳細なログを確認することは難しく、またサービスの利用規約を見ても情報漏えいなどに対しては免責の一筆が入っていることがほとんどで、機密情報を含んだファイルを扱うにはまったく不向きだ。

　もちろん、こうしたリスクを理解した上で、容量や価格を重視して個人向けサービスを使うという考え方もなくはないだろうが、法人向けサービスではこれに加えて、個人向けサービスにはあまり見られない、特徴的な機能の数々が用意されており、「こんな便利なこともできるのか！」と膝を打つこともしばしばだ。次回はこうした法人向けサービスならではの機能について、詳しく紹介しよう。

• →SOHO／中小企業に効く「オンラインストレージ」の選び方（第2回）：法人向けオンラインストレージならではの機能を知る