【SharePoint】社外共有の申請を受けた時に確認したい項目

SharePointで社外共有の申請を受けた際、単純に承認する前に確認すべき項目がいくつかあります。社外共有は業務効率を高める一方で、情報漏洩やコンプライアンス違反のリスクを伴います。申請内容を正しく評価し、適切な判断を下すためには、確認の手順と観点をあらかじめ整理しておくことが重要です。本記事では、社外共有申請を受けたときにチェックすべき具体的な項目を、業務に即して解説します。

申請内容の基本情報を確認する

社外共有申請の最初のステップは、申請書やメールに記載された基本情報を確認することです。以下の項目が明確に書かれているかをチェックします。

• 申請者: 社内の誰が申請しているか。部門や役職、過去の共有実績を考慮します。
• 共有対象: サイト、フォルダ、ファイルの具体的なパスやURL。機密情報が含まれていないかを確認します。
• 共有相手: 外部ユーザーのメールアドレス、所属組織、共有目的。個人か法人か、取引先か不特定かを見極めます。
• 共有期間: いつからいつまで共有するか。無期限の共有は原則避けるべきです。
• アクセス権限: 編集権限か表示権限か。ダウンロードや印刷の可否も確認します。

これらの情報が不足している場合は、申請者に追加確認を依頼します。不明瞭なまま承認すると、後のトラブルの原因になります。

共有リンクの種類と権限レベルを評価する

SharePointでは共有リンクの種類によっていアクセス範囲やセキュリティが異なります。申請された共有方法が適切かを以下の観点で判断します。

リンクの種類によるリスクの違い

権限レベル(編集/表示)の適切さ

共有リンクに付与する権限が「編集」か「表示」かは、業務の必要性に応じて判断します。編集権限を与える場合は、ファイルの上書きや削除のリスクがあることを認識し、申請の正当性を厳格に確認します。表示権限のみで十分な場合は、申請者にその理由を説明し、権限を最小限に抑えるよう促します。

対象データの機密性と会社ポリシーを照合する

共有対象となるデータが会社の機密情報区分のどのレベルに該当するかを確認します。多くの企業では、情報を「公開」「内部」「機密」「極秘」などに分類しています。社外共有が許可されるのは「公開」または「内部」の一部に限られることが一般的です。機密情報を外部と共有する場合は、NDAの締結や個別の承認フローが必要なケースもあります。

また、コンプライアンス上の制約(GDPR、個人情報保護法、業界規制など)にも注意します。例えば、個人データを含むファイルを国外のユーザーと共有する場合は追加の対策が求められます。

共有先ユーザーの認証方法とアクセス制御を確認する

外部ユーザーがどのように認証されるかを確認します。SharePoint Onlineでは、外部ユーザーにMicrosoftアカウント(職場・個人)を持っていることが求められる場合と、ワンタイムパスコードで認証できる場合があります。会社のポリシーで「すべての外部ユーザーは多要素認証(MFA)を必須とする」と定めている場合は、設定が反映されているか確認します。

さらに、外部ユーザーが所属する組織がブロックリストに登録されていないか、許可リストに含まれているかを管理者に問い合わせます。Azure Active Directoryの条件付きアクセスポリシーによって、特定の国からのアクセスを制限している場合もあります。

管理者設定とポリシーの整合性をチェックする

SharePoint管理センターやAzure ADで設定されている外部共有ポリシーを確認します。多くの企業では、サイトコレクション単位で外部共有のレベルが設定されています(「既存の外部ユーザー」「新しい外部ユーザー」「組織内の全ユーザー」など)。申請された共有方法がそのサイトで許可されているかを確認しないと、設定違反で共有が失敗する可能性があります。

また、ゲストユーザーの有効期限ポリシーやアクセスレビューの設定も見ておきます。期限切れのゲストアカウントが放置されると、セキュリティホールになり得ます。

よくある失敗パターンと防止策

実際の業務で陥りがちな失敗パターンを紹介します。

• 過剰な権限付与: 「編集権限」が必要なのは一部のファイルだけなのに、サイト全体の編集権限を外部ユーザーに付与してしまう。→ 権限は最小限(表示のみ)から始め、必要に応じて段階的に上げるルールを徹底します。
• 共有期間の未設定: 無期限のリンクを作成し、共有後もアクセスが継続してしまう。→ 共有リンクに有効期限(例:30日後自動失効)を必須とします。
• リンクの再共有防止の見逃し: 外部ユーザーが受け取ったリンクをさらに第三者へ転送してしまう。→ 共有リンクの「再共有を許可しない」設定を常に有効にします。
• 承認の属人化: 特定の管理者だけが判断基準を知っていて、他の担当者が適切に判断できない。→ チェックリストを共有し、誰でも同じ判断ができるようにします。
• 監査ログの未確認: 問題が発生しても、誰がいつどのように共有したか追跡できない。→ 共有アクティビティのログを定期的に確認する仕組みを作ります。

申請者への確認事項と具体的な手順

実際に申請を受けた際の確認手順を5つのステップで示します。

1. 申請書またはメールの記載内容を確認し、不足があれば申請者に補足を依頼します。
2. 共有対象のデータがどの機密区分に該当するか、会社の情報分類基準に照らして判定します。
3. 外部共有が許可されているサイトか、SharePoint管理者に確認するか管理センターで直接確認します。
4. 共有リンクの種類と権限を決定します。推奨は「特定のユーザー」かつ「表示権限」、期限付きとします。
5. 承認判断が難しい場合は、上長やコンプライアンス部門にエスカレーションし、判断を仰ぎます。

この手順を踏むことで、リスクを最小化しつつ業務を進めることができます。

よくある質問(FAQ)

Q1: 申請された外部ユーザーが特定できない場合(フリーメールアドレスなど)はどうすればよいですか?
A1: 業務上の正当な理由がない限り、原則として拒否します。どうしても共有が必要な場合は、申請者に相手の身元確認を依頼し、管理者の承認を得てから実施します。

Q2: 共有リンクの有効期限はどのくらいに設定すべきですか?
A2: 一般的には30日以内が推奨されます。プロジェクト期間に合わせて設定し、必要な場合は延長申請を受け付けます。無期限の設定は禁止するポリシーが望ましいです。

Q3: 社外共有の申請がなく、管理者が自ら共有するケースはどう扱いますか?
A3: 管理者自身も申請ルールに従う必要があります。社内規定で定められた承認フローを必ず経るようにし、監査で確認できるようにします。

まとめ

SharePointの社外共有申請を適切に処理するには、申請内容の精査、リンクの種類と権限の評価、データの機密性とポリシーの確認、認証方法のチェック、管理者設定との整合性確認が欠かせません。よくある失敗パターンを理解し、チェックリストに沿った手順を踏むことで、リスクを抑えながら業務を進められます。社外共有は便利な機能ですが、使い方を誤ると大きなセキュリティインシデントにつながることを常に意識し、慎重に対応しましょう。