【Box】ファイルの公開範囲を棚卸ししたい場合のチェック方法

Boxを業務で利用している企業では、ファイルやフォルダーに設定された共有リンクが社外や組織外に誤って公開されていないか、定期的に棚卸しを行うことが重要です。特にコンプライアンスや情報漏洩防止の観点から、管理者は共有設定を可視化し、不適切な公開範囲を是正する仕組みを整える必要があります。本記事では、Boxの管理コンソールや各種レポート機能を用いて、ファイルの公開範囲を効率的に棚卸しする方法を、具体的な操作手順とともに解説します。また、棚卸しの際に陥りやすい失敗パターンや、管理者に確認すべきポイントも紹介します。

1. Boxの公開範囲棚卸しが必要な理由

Boxではファイルやフォルダーごとに「共有リンク」を作成でき、リンクのアクセス権限を「会社内」「招待したユーザーのみ」「公開(誰でも)」などから選択できます。この設定が意図せず「公開」になっていると、社外の第三者がファイルを参照できてしまい、情報漏洩の原因となります。特に、機密性の高いプロジェクト資料や顧客情報を誤って公開してしまった場合、企業の信用失墜や法的リスクに直結します。そのため、定期的な棚卸しによって共有リンクの設定を洗い出し、不要な公開を防ぐことが重要です。

また、Boxのストレージ容量やライセンス管理の観点からも、不要な共有リンクを放置すると、セキュリティホールとなるだけでなく、ガバナンス上も好ましくありません。管理者は少なくとも四半期に一度、またはプロジェクトの節目ごとに棚卸しを実施することが推奨されます。

2. 棚卸しに必要な権限と事前準備

2.1 必要な権限

公開範囲の棚卸しにはBoxの管理コンソールにアクセスできる「共同管理者(Co-Admin)」以上の権限が必要です。一般ユーザーでは自分の所有するファイルのみしか確認できません。また、「コンテンツレポート」や「共有リンクレポート」を生成するには、管理者ロールに「レポートの作成」権限が付与されている必要があります。社内で管理者権限を持っていない場合は、Box管理者に問い合わせてください。

2.2 事前に確認すべき設定

棚卸しを始める前に、Boxの管理コンソールで「共有リンクのデフォルト設定」を確認しましょう。管理コンソールの「設定」→「共有」から、新規作成時のリンクのデフォルトアクセスレベルが「会社内」や「招待されたユーザーのみ」になっているかをチェックします。もしデフォルトが「公開」になっている場合、新しく作成されるリンクが自動的に公開されるため、根本的な対策が必要です。

3. 管理コンソールを使った棚卸し手順

以下では、Box管理コンソールのレポート機能を使用して、全てのファイルの共有リンク状況を取得する手順を説明します。

1. 管理コンソールにログインし、左メニューの「レポート」をクリックします。
2. 「レポートの作成」をクリックし、レポートタイプから「共有リンクレポート」を選択します。または、より詳細なファイル情報が必要な場合は「コンテンツレポート」を選択してください。
3. レポートの対象範囲を指定します。「すべてのコンテンツ」を選択すると、全ユーザーが所有するファイルが対象になります。特定のフォルダーやユーザーグループに絞りたい場合は、条件を設定します。
4. レポートの実行頻度を「今すぐ実行」に設定し、出力形式をCSVまたはExcelで選択します。画面の指示に従いレポートを生成します。
5. レポートが完了したらダウンロードし、開きます。列には「ファイル名」「所有者」「共有リンクURL」「アクセスレベル」「有効期限」「作成日時」などが含まれます。アクセスレベル列で「公開」や「会社内」をフィルタリングし、不適切な設定がないか確認してください。

上記の手順で生成したレポートを定期的に実行し、前回の棚卸し時点からの差分を比較することで、新たに作成された公開リンクを発見しやすくなります。また、アクセスレベルが「公開」かつ最終アクセス日時が古いリンクは、放置されていて不要な可能性が高いため、削除を検討しましょう。

4. 公開範囲の判断基準とよくある失敗パターン

4.1 判断基準の例

棚卸しで発見した共有リンクの公開範囲をどう判断すべきか、以下の基準を参考にしてください。

公開範囲	判断基準	推奨アクション
公開(誰でも閲覧可)	機密情報を含むファイルは即座に対応。ただし、意図的に公開している場合はポリシーに沿っているか確認。	非公開にするか、リンクを削除。ポリシー違反の場合は管理者に報告。
会社内(組織全体)	社内共有として許容される範囲か。プロジェクト関係者以外に見せてはいけない情報は要注意。	必要に応じて特定ユーザーのみに変更。
招待されたユーザーのみ	アクセス権限が適切に管理されているか。共同編集者に外部ユーザーが含まれていないか。	定期的に参加ユーザーリストを確認。

4.2 よくある失敗パターン

棚卸しを実施する際によく見られる失敗例を挙げます。

• レポートを生成しただけで満足する: レポートをダウンロードしても、その後の分析や是正作業まで手が回らないケースがあります。棚卸しは「確認」だけでなく「修正」までがセットです。レポートを基に公開範囲を変更するタスクをチームに割り振りましょう。
• 古いリンクを見落とす: プロジェクト終了後も放置された共有リンクはセキュリティリスクです。最終アクセス日時が半年以上前のリンクは、所有者に確認の上、削除することを推奨します。
• フォルダー単位の設定を無視する: ファイル個別のリンクだけでなく、フォルダー自体の共有設定も確認してください。フォルダー全体を公開している場合、配下の全ファイルが公開されます。

5. アクセスログを活用した詳細な棚卸し

共有リンクレポートだけでは、リンクが実際に誰に使われたかまでは把握できません。より厳密な棚卸しを行いたい場合は、Boxの「アクセスログ」を活用します。管理コンソールの「レポート」から「イベントログレポート」を作成すると、ファイルのダウンロード、プレビュー、編集などの操作履歴を取得できます。特に、公開リンク経由で外部IPアドレスからのアクセスがないかを確認することで、想定外の利用を検知できます。

アクセスログのレポートもCSV形式でダウンロード可能です。共有リンクレポートと突き合わせることで、公開リンクが実際にどの程度利用されているかが可視化されます。例えば、アクセスログで全く使われていない公開リンクは、削除対象として優先度が高くなります。

6. 棚卸し後の是正方法と再発防止策

6.1 共有リンクの権限変更手順

不適切な共有リンクを発見した場合、以下の手順で権限を変更できます。

1. Box Web版で該当ファイルまたはフォルダーを開きます。
2. 画面右上の「共有」ボタンをクリックし、「リンク設定」を開きます。
3. アクセスレベルを「招待されたユーザーのみ」または「会社内」に変更します。公開リンクを完全に無効にする場合は「リンクを削除」を選択します。
4. 変更後、保存して終了します。

複数のファイルを一括で変更したい場合は、Box Driveを使ってフォルダー単位で権限を変更したり、Box APIを利用したスクリプトを作成することも可能です。管理者は管理コンソールの「コンテンツの管理」からも一括操作を行えます。

6.2 再発防止策

棚卸しを一度実施しても、再び公開リンクが増える可能性があります。以下の対策を講じると、継続的にセキュリティを保てます。

• デフォルト設定の見直し: 新規作成される共有リンクのデフォルトアクセスレベルを「招待されたユーザーのみ」に設定します。管理コンソールの「設定」→「共有」→「新しいリンクのデフォルトアクセスレベル」で変更できます。
• 自動レポートの定期実行: 管理コンソールの「レポート」でスケジュール設定を行い、自動的に共有リンクレポートが生成されるようにします。月次や四半期ごとにメールで通知を受け取ることができます。
• ユーザー教育: ファイル共有時の注意点を社内ポリシーとして周知し、特に外部共有を行う際には承認プロセスを設けると効果的です。

7. よくある質問(FAQ)

Q: 一般ユーザーでも自分のファイルの共有リンクを一覧表示できますか?
A: 一般ユーザーは自分の所有するファイルのみ、Boxの「マイファイル」画面で一つ一つ確認する必要があります。一括レポートは管理者権限が必要です。

Q: 公開範囲の棚卸しの頻度はどのくらいが適切ですか?
A: 少なくとも四半期に一度を推奨します。機密情報を扱う部署やプロジェクトでは月次で実施するとより安全です。

Q: 公開リンクを削除すると、既に共有しているユーザーはアクセスできなくなりますか?
A: はい、リンクを削除するとそのURLは無効になり、誰もアクセスできなくなります。ただし、ファイル自体は削除されず、コラボレーターとして直接招待されているユーザーは通常通りアクセスできます。

Q: 管理者ではないのですが、不適切な公開リンクを見つけた場合どうすればいいですか?
A: 直接ファイル所有者に連絡するか、Box管理者に報告してください。多くの企業では情報セキュリティ窓口が設置されています。

まとめ

Boxにおけるファイルの公開範囲の棚卸しは、情報漏洩防止のための基本かつ重要な業務です。管理コンソールの「共有リンクレポート」を定期的に生成し、アクセスレベルが「公開」や「会社内」になっているリンクを洗い出し、不適切な設定は速やかに修正しましょう。レポートの分析だけでなく、アクセスログとの突き合わせやフォルダー単位の権限確認も併せて行うことで、より精度の高い棚卸しが実現できます。また、デフォルト設定の見直しや自動レポートのスケジュール設定など、再発防止策を導入して、セキュアなファイル共有環境を維持してください。