「誰が何を見られるか分からない」事務所のアクセス権限問題——士業の内部漏洩リスク
- 5月14日
- 読了時間: 3分
情報漏洩というと「外部からの攻撃」をイメージしがちですが、実際の漏洩事案の多くは「内部」から起きます。悪意のある持ち出しに限りません。「見えてしまった」「間違えてアクセスした」ことが起点になるケースも含まれます。
「全員が全部見られる」状態の何が問題か
士業事務所では、案件ごとの機密性が高い情報が混在しています。
離婚協議中のAさんの案件。相続で揉めているB家の案件。顧問先C社の決算情報。これらが「全職員がアクセスできる共有フォルダ」に並んでいる事務所は少なくありません。
担当していない案件の情報まで目に入る環境は、意図せずとも情報にアクセスできてしまう状態です。これは単なるプライバシーの問題ではなく、守秘義務違反のリスクに直結します。
また、外部から事務所のシステムに侵入された場合、アクセス権限が適切に設定されていれば被害の範囲が限定されます。全員フラットの場合、1つのアカウントが乗っ取られただけで、すべての情報に触れられます。
アクセス権限の整理とは何をすることか
難しいことではありません。「この人はこのフォルダを見ていい、見てはいけない」を整理して、設定することです。
Microsoft 365のSharePointやOneDriveでは、フォルダ・ファイル単位でアクセス権限を設定できます。役割ごと（所長・担当弁護士・事務員）に見える範囲を分ける設計が可能です。
基本的な考え方は「最小権限の原則」です。業務に必要な最小限のアクセス権だけを与える。これが、内部漏洩と外部侵入の両方に対して有効な設計思想です。
退職者の権限が残ったままになっていないか
アクセス権限の問題で最もよく見かけるのは、「退職した人のアカウントが有効なまま残っている」状態です。
退職者がいつでもログインできる状態は、現役職員以上にリスクが高い。退職後のアクセスには業務上の必要性がありません。動機があれば、制止する理由がない状態です。
退職日に即時アカウントを無効化する手順を決め、確実に実行する体制が必要です。「次の担当者が気づいたときに削除する」では遅い。
「管理できている」状態の具体的な目安
以下がすべてYesであれば、アクセス権限はある程度整っています。
担当者以外が案件フォルダを開けない設定になっているか。退職者のアカウントが退職日当日中に無効化される手順があるか。現在有効なアカウントの一覧を管理者が把握しているか。誰がどの権限を持っているかを一つの管理表で確認できるか。外部共有されているフォルダ・ファイルのリストを把握しているか。
逆に言えば、これらが即答できない状態であれば、権限管理は整っていません。「たぶん大丈夫」という感覚は、確認されるまで保証にならないのです。
「権限管理をしたことがない」という状態から始める
SharePointやOneDriveの権限設定は、使い始めたままにしていると「デフォルト設定」のままになっています。多くの場合、デフォルトは「同じ組織の全員が見られる」設定です。
意図して制限しない限り、制限されません。「設定したから大丈夫」ではなく、「意図的に設計した」かどうかが問われます。
アクセス権限の整理を含むIT環境の無料診断を実施しています。
▶ 士業向けIT・セキュリティ整備サービス
行政書士事務所みまもり
セキュリティ研究者・デジタルフォレンジックエンジニア
成田 浩志
