共有フォルダを全社員が見られる状態は危険？中小企業のアクセス権限見直し

専任のIT担当者がいない企業では、色んなフォルダに共有設定が残っていることがあります。業務は進めやすい一方、給与資料や顧客情報まで全社員が閲覧できる状態では、誤操作や情報の持ち出しが起きたときの影響が大きくなります。

共有フォルダは「全員に見せない」ことが目的ではありません。業務に必要な人だけが、必要な期間、必要な操作を行える状態に見直すことが重要です。

最初から細かな権限を大量に作る必要はありません。まずは総務担当者や管理者が共有フォルダを一覧にし、重要情報が入っているフォルダから順番に、閲覧者と編集者を確認しましょう。

IPAの「情報セキュリティ6か条」でも「共有設定を見直そう」と示され、無関係な人がウェブサービスや機器を利用できる設定になっていないか確認することが求められています。また、IPAの自社診断には「データの共有設定を必要な人に限定していますか」という確認項目があります。

全社員が見られる共有フォルダは、すべて危険なのか

全社員が見られること自体に問題がないフォルダもあります。例えば、次のような情報です。

一方、次のような情報は、閲覧できる人を限定する必要があります。

情報の例	想定する閲覧者	注意する点
給与・人事評価資料	経営者、人事担当者	部署単位の共有フォルダへ置かない
採用応募者の履歴書	採用担当者、必要な管理職	選考終了後の保管方法も決める
顧客名簿	営業担当者、管理責任者	ダウンロードや持ち出しも確認する
契約書	経営者、担当部署、管理部門	閲覧と編集を分ける
銀行口座・支払資料	経理担当者、承認者	振込データの編集者を限定する
システム設定資料	管理者、外部保守会社	パスワードを資料中に記載しない
製品設計・開発資料	担当部門、承認された関係者	退職者や異動者の権限に注意する

判断基準は、「見られて困るか」だけではありません。誤って削除・上書きされた場合や、社外へ持ち出された場合の影響も考えます。

アクセス権限とは

アクセス権限とは、ファイルやフォルダに対して「誰が、何をできるか」を決める設定です。一般的には、次のような種類があります。

製品や契約プランによって、権限の名称や範囲は異なります。実際の設定では、利用中のファイルサーバー、Microsoft 365、Google Workspace、オンラインストレージなどの公式手順を確認してください。

「見られる人」と「変更できる人」は分ける

よくあるのが、資料を読むだけの社員にも編集権限を付けている状態です。例えば、社内規程は全社員が閲覧する必要がありますが、内容を変更するのは総務担当者など一部の人で十分です。全員に編集権限を付けると、誤操作による上書きや削除が起こりやすくなります。

全社員へ公開したままだと起こり得る問題

1. 業務に関係のない社員が重要情報を閲覧できる

業務上必要のない社員が、給与、評価、取引条件、顧客情報などを閲覧できる状態になります。実際に誰かが見たかどうかとは別に、必要性のない人へ権限が付いていること自体を見直す必要があります。

2. 誤削除や上書きの対象が増える

編集可能な社員が多いほど、別ファイルと間違えて削除したり、元の内容を上書きしたりする可能性が高くなります。アクセス権限は情報漏えいだけでなく、ファイルの改ざんや消失を防ぐためにも使います。

編集権限を限定しても、誤削除やファイル破損を完全には防げません。重要な共有フォルダについては、3-2-1ルールに沿ったバックアップと復元確認もあわせて実施しましょう。

3. アカウントを不正利用された場合の影響が広がる

社員のアカウントが第三者に不正利用された場合、その社員が閲覧できる範囲の情報へアクセスされるおそれがあります。すべての社員がすべてのフォルダを閲覧できると、1つのアカウントの問題が多数のファイルへ広がりやすくなります。

4. 退職者や異動者の権限が残る

担当者が異動しても、以前の部署のフォルダを引き続き閲覧できる場合があります。また、外部業者や一時的なプロジェクトメンバーの権限が、作業終了後も残ることがあります。

共有フォルダの権限だけでなく、メール、クラウドサービス、VPNなどの利用もまとめて停止する必要があります。具体的な対応順序は、退職者アカウントの停止・引き継ぎ・削除手順で解説しています。

5. 誰が責任者なのか分からなくなる

長年使っているフォルダでは、作成者が退職し、権限を変更してよい人が分からないことがあります。「念のため残しておく」を繰り返すと、不要な権限が徐々に増えていきます。

アクセス権限見直しの基本は「必要最小限」

アクセス権限を考える際は、「業務に必要な人へ、必要な権限だけを付ける」という考え方を基本にします。一般に、必要最小限の権限と呼ばれる考え方です。

ただし、最初から社員一人ひとりに細かな設定を行うと、管理が複雑になります。中小企業では、次のような単位から始めると現実的です。

• 全社員
• 経営者・役員
• 総務・人事
• 経理
• 営業
• 製造・開発
• 拠点
• プロジェクト
• 外部委託先

個人へ直接権限を付けるよりも、「経理部」「営業部」などのグループを作り、そのグループへ権限を設定します。社員が異動したときは、所属グループを変更することで対応しやすくなります。

中小企業が共有フォルダの権限を見直す7つの手順

手順1. 共有フォルダを一覧にする

どのフォルダが存在し、誰が管理しているかを把握します。総務担当者またはシステム管理者が、フォルダ名、保存場所、主な情報、利用部署、管理責任者、全社員が閲覧可能か、編集できる人、最終確認日を表にします。すべてを一度に調査するのが難しい場合は、最上位のフォルダだけでも構いません。

完了の基準 少なくとも、重要情報がありそうなフォルダについて、保存場所と管理責任者が分かる状態にします。

手順2. 保存されている情報を分類する

どのフォルダから優先して権限を見直すべきか決めます。実務上は「全社公開」「社内限定」「関係者限定」の3段階程度から始めると運用しやすくなります。分類名と区分数は会社の規模に合わせて変更して構いません。

完了の基準 重要なフォルダに情報区分が付いていることです。

手順3. 現在の閲覧者と編集者を確認する

意図せず権限が広がっていないか確認します。利用者名だけでなく、全社員グループ、部署グループ、個別登録、退職者、異動者、外部委託先、社外ユーザー、共有リンク、管理権限を持つ人も確認します。

完了の基準 重要なフォルダについて、誰が閲覧・編集・共有できるか説明できる状態です。

手順4. 不要な権限を外す

退職済みの利用者、契約が終了した外部委託先、終了したプロジェクトの参加者、異動前の部署に残っている権限、必要性を説明できない個別権限、不要な編集・削除権限、対象者が不明な共有リンクの順に確認します。判断できない権限は、利用部署の責任者に確認し、結果を記録してください。

完了の基準 変更日、担当者、対象フォルダ、変更内容、理由、確認者、例外として残した権限を記録します。

手順5. グループ単位で権限を設定する

社員の入社、異動、退職時に管理しやすくするため、個人ではなく部署や業務のグループへ権限を設定します。ただし、部長だけが閲覧する資料や特定プロジェクトの情報などは、別グループが必要になる場合があります。

完了の基準 グループの目的と管理者が明確で、個人への例外設定が必要以上に増えていない状態です。

手順6. 業務への影響を確認する

変更後は、必要なフォルダを開けるか、必要なファイルを編集できるか、不要なフォルダが表示されていないか、業務システムや自動処理への影響がないか、外部業者との受け渡しに問題がないかを利用部署に確認してもらいます。

完了の基準 利用部署の責任者が、業務に支障がなく、不要な権限が外れていることを確認した状態です。

手順7. 見直しのタイミングを決める

入社、部署異動、役割変更、休職、退職、外部委託の開始・終了、プロジェクトの開始・終了、組織変更、共有フォルダの新設、事故発生後に確認します。これに加え、半年に1回など無理なく続けられる定期確認日を決めます。

完了の基準 変更時の確認と定期確認の両方が、担当者とともに決まっている状態です。

外部IT業者への質問例

• 全社員がアクセスできる共有フォルダを一覧で確認できますか
• フォルダごとの閲覧者と編集者を確認する方法を教えてください
• 退職者や無効なアカウントの権限が残っていないか確認できますか
• 社外ユーザーや共有リンクの有効状況を確認できますか

グループ設定の例

グループ	権限
全社員	閲覧
経理部	閲覧・編集
経理責任者	閲覧・編集・権限管理
外部会計事務所	指定フォルダのみ閲覧または追加
システム管理者	システム管理に必要な範囲

管理者だからといって、すべての業務情報を日常的に閲覧する必要があるとは限りません。システム管理権限と、業務資料を利用する権限は分けて考えます。

よくある失敗と勘違い

「社内の人しか見られないから問題ない」

社内限定でも、すべての情報を全社員が見る必要はありません。また、社員のアカウントが不正利用された場合の影響も考える必要があります。

「フォルダ名を分かりにくくすれば見つからない」

フォルダ名を隠すことは、アクセス制御の代わりにはなりません。閲覧を制限したい情報には、権限を設定します。

「権限を細かくすればするほど安全」

細かすぎる設定は、管理漏れや設定ミスにつながります。まずは全社、部署、管理者、外部委託先など、分かりやすいグループから始めます。

「IT業者に任せているので、社内では確認しなくてよい」

外部IT業者は設定作業を支援できますが、誰がどの情報を必要とするかは社内で判断する必要があります。

「一度設定したから見直しは不要」

異動、退職、委託終了などにより、権限は実態と合わなくなります。変更のタイミングと定期確認の両方をルール化します。

まとめ

顧客情報、人事・給与資料、契約書などを全員が閲覧・編集できる場合は、アクセス権限を見直す必要があります。

全社員が見られる共有フォルダが、すべて問題というわけではありません。社内規程や共通様式など、全社公開が適切な情報もあります。

まず行うことは、全社員がアクセスできるフォルダを一覧にすることです。次に、重要情報が入っているフォルダから、閲覧者と編集者を分けます。その後、部署や業務単位のグループで管理し、異動・退職時と定期的な確認を続けます。

今週は、全社員が見られる共有フォルダを3つ開き、「誰が見る必要があるか」「誰が編集する必要があるか」を確認するところから始めましょう。

共有フォルダの見直しは、中小企業が最初に行いたい基本対策の一つです。パスワード、バックアップ、更新、社内ルールも含めて確認したい場合は、中小企業がまず行うべきセキュリティ対策6選もご覧ください。

よくある質問

従業員が10人程度でも権限を分ける必要がありますか？

少人数でも、人事・給与・顧客情報などは分けることをおすすめします。ただし、大企業のような複雑な設定は必要ありません。「全社員」「管理部門」「経営者・人事」といった少数のグループから始めます。

アクセス権限の見直しは無料でできますか？

既存サービスの権限機能を利用できれば、追加製品なしで始められる場合があります。ただし、機能や管理方法は製品・契約プランによって異なります。現在利用しているサービスの公式情報または外部IT業者へ確認してください。

どのくらいの頻度で確認すればよいですか？

入社、異動、退職などの発生時に確認し、それとは別に定期確認日を設けます。定期確認は半年に1回などから始め、社員の入れ替わりや扱う情報の重要性に合わせて調整してください。この頻度は法定期限ではなく、運用例です。

外部IT業者へ全部任せてもよいですか？

設定作業は依頼できますが、権限が必要な人の判断まで丸投げしない方がよいでしょう。業務上の必要性は利用部署の責任者が判断し、外部業者には一覧化や変更作業、確認方法の説明を依頼します。

参考文献・参照サイト

本記事で解説した共有フォルダのアクセス権限、共有範囲の見直し、退職者・異動者の権限削除などの考え方は、以下の公的機関が公開している公式資料を参考にしています。

中小企業向けの情報セキュリティガイド

• IPA「中小企業の情報セキュリティ対策ガイドライン 第4.0版」
  独立行政法人情報処理推進機構（IPA）が、中小企業や小規模事業者向けに公開している情報セキュリティ対策のガイドラインです。経営者が認識すべき指針や、社内で対策を実践するための手順・方法がまとめられています。
• IPA「情報セキュリティ6か条」
  中小企業が最初に取り組む基本的なセキュリティ対策をまとめた資料です。「共有設定を見直そう！」という項目があり、共有範囲の限定や、従業員の異動・退職時に設定を変更することなどが示されています。

共有設定を確認するための自己診断資料

• IPA「5分でできる！情報セキュリティ自社診断」
  自社のセキュリティ対策状況を確認できる診断資料です。「データの共有設定を必要な人に限定していますか」という確認項目があり、共有フォルダのアクセス権限を見直す際のチェックに活用できます。

※本記事は、上記資料を参考に、中小企業が共有フォルダのアクセス権限を見直す際の考え方と実施手順を独自に整理したものです。実際の権限名や設定方法は、利用しているファイルサーバー、NAS、クラウドストレージなどによって異なります。設定を変更する際は、利用中の製品・サービスの公式マニュアルもご確認ください。