クライアントや社外パートナーとの安全なファイル共有:何が必要で、どう実践すべきか

組織内でのファイル共有は、すでに解決済みの課題です。しかし、クライアントや顧問弁護士、外注先、サプライチェーンのパートナーなど、自社の管理が及ばない相手に、管理外のデバイスや可視化できないネットワークを通じて機密データを共有することは、まったく別の課題です。

多くのファイル共有ツールは、利便性や社内コラボレーションを目的に設計されています。社外に共有される機密データに伴うコンプライアンス義務、監査要件、脅威モデルを想定して作られたものではありません。安全な社外ファイル共有に本当に必要なもの、そして一般的なツールがどこで不十分なのかを理解することが、審査に耐えうるアプローチを構築する出発点になります。

エグゼクティブサマリー

要点:クライアントや社外パートナーとの安全なファイル共有には、暗号化、きめ細かなアクセス制御、受信者認証、そして完全な監査証跡が必要であり、これらをすべての社外共有チャネルで一貫して適用しなければなりません。一部の転送で一部の機能しか提供しないツールは、安全なファイル共有ソリューションとは呼べず、実際にはリスクを生む「部分的な対策」にすぎません。

なぜ重要なのか:2024年、ファイル転送ソフトウェアはサードパーティ経由の侵害で最も悪用されたアクセスポイントとなり、サードパーティ侵害全体の14%を占めました。これは仮定の話ではなく、実際に侵害が起き続けているカテゴリーです。医療、金融サービス、法律、防衛、政府調達などの分野に属する組織にとって、ファイル共有の不備はそのままコンプライアンス上の不備でもあり、侵害通知義務や規制当局からの罰金、契約上の責任問題に直結します。

重要ポイント

1. 転送時の暗号化は必要条件だが、それだけでは不十分

TLSは送信者と受信者の間を移動するデータを保護しますが、サーバー上に保存されたデータ(at rest)は保護できず、受信者がダウンロード後にファイルをどう扱うかも制御できず、アクセス履歴の監査証跡も残りません。安全な社外ファイル共有には、転送時のTLSに加えて、保存データに対するAES-256暗号化が必要であり、理想を言えば、最初のダウンロード後もデータに付随し続けるアクセス制御が求められます。

2. 受信者認証は最も見落とされがちな管理策

パスワード付きリンクは受信者認証にはなりません。それが証明するのは文字列を知っているという事実であって、リンクを受け取った人物の身元ではないからです。クライアントやパートナーと共有する機密データにおいて、真の受信者認証とは、多要素認証、期限付きトークンによるメール認証、あるいは受信者側の企業IDプロバイダーとの連携を通じて、アクセス前に身元を検証することを意味します。これがなければ、転送されたリンクや乗っ取られた受信箱によって、誰でも共有データにアクセスできてしまいます。

3. きめ細かなアクセス制御が、受信者に許可される行動を決定する

閲覧専用アクセス、ダウンロード制限、リンクの有効期限、透かし、コピー・印刷制御は、あれば便利という程度のものではありません。これらは、クライアントとデータを「共有する」ことと、データの永続的かつ無制限な所有権を「譲渡する」ことの違いを分ける、決定的な要素です。法的機密文書、財務データ、規制対象情報については、ファイルが自社の環境から出ることなく閲覧専用権限で共有できる機能が基本的な管理策となりますが、これは多くの一般消費者向け・中小企業向けファイル共有ツールには備わっていません。

4. 監査証跡はレポート機能ではなく、コンプライアンスおよび法的要件

誰がファイルにアクセスしたか、何をしたか、いつだったかを把握することは、HIPAA、CMMC、GDPR、そしてほとんどの金融サービス規制において義務付けられています。訴訟においては証拠開示の対象となります。侵害調査においては、それが説明責任を果たせる対応と、規制当局や原告に付け込まれる隙になるかの分かれ目となります。監査証跡は、3つのシステムに異なる形式で散在しているのではなく、完全で改ざん不可能、かつ一元化されている必要があります。

5. コンプライアンスフレームワークが求めるのは暗号化以上のもの、すべてのチャネルにわたるガバナンス

ファイル共有は暗号化していても付随するメールは平文で送信するプラットフォームや、アップロードは保護してもAPI経由の転送は保護しないプラットフォームは、主要な転送を保護する目的そのものを損なうチャネルの抜け穴を生み出します。HIPAA、CMMC、GDPRはチャネルを個別に評価するのではなく、データ取り扱い全体の姿勢を評価します。安全な社外ファイル共有は、機密データが移動するすべてのチャネルにわたって一貫している必要があります。

社外ファイル共有が社内共有とはまったく異なる課題である理由

社内でのファイル共有は、自社のIT部門が管理する境界の内側で行われます。デバイスを管理し、認証ポリシーを施行し、ネットワークトラフィックを監視し、必要であれば即座にアクセスを取り消すことができます。何か問題が起きても、ログがあり、可視性があり、封じ込める能力があります。

社外ファイル共有は、定義上その境界の外側で行われます。ファイルがクライアント、パートナー、外注先、外部監査人など、自社の環境から出た瞬間、社内データを保護しているほとんどの管理策を強制する能力を失います。受信者のエンドポイントにパッチが適用されているかを制御できません。ダウンロード後にファイルがどう扱われるかを見ることもできません。相手側のシステム上でのアクセスを監査することもできません。

これが、SharePoint、OneDrive、共有ドライブ、メール添付ファイルなど、社内コラボレーションに適したツールが、社外に共有される機密データには不適切な答えとなる理由です。これらは、データが組織の境界を越えた後も制御性と監査可能性を維持するようには設計されていません。その結果生まれるのが、セキュリティチームが「データガバナンスの隙間」と呼ぶ状態、つまりデータが出て行くと同時に可視性と制御を失うという状況です。

規制業界に属する組織にとって、この隙間は具体的な法的結果を伴います。HIPAAの下では、適切な保護措置なしにビジネスアソシエイトとPHIを共有することは報告義務のある侵害に該当します。CMMCの下では、安全でないチャネルを通じて外注先とCUIを共有することはコンプライアンス違反です。GDPRの下では、文書化された管理策やデータ処理契約なしに第三者と個人データを共有することは責任問題を生みます。規制上のリスクは決して抽象的なものではありません。

クライアントとの安全な文書共有に本当に必要なもの

社外関係者との真に安全なファイル共有には、5つの技術要件があり、それらは個別にチェックすべき項目ではなく、一体として機能する必要があります。

エンドツーエンドの暗号化。データは保存時(AES-256)と転送時(TLS 1.2以上、TLS 1.3が望ましい)の両方で暗号化されている必要があります。これにより、転送中の傍受と保存ファイルへの不正アクセスの両方から保護されます。ファイルレベルとディスクレベルでの暗号化、すなわち二重暗号化は、多層防御を実現します。サーバーが完全に侵害された場合でも、復号可能なデータは露出しません。

受信者認証。ファイルにアクセスする人物が、本人であることを確認する必要があります。社外の受信者に対しては、少なくとも期限付きトークンによるメール認証済みアクセスが必要であり、理想的には多要素認証が求められます。法的文書の共有、財務データの交換、防衛関連企業との協業など、より機密性の高いシナリオでは、受信者側の企業IDプロバイダーとのID連携が最も強固な保証を提供します。

きめ細かなアクセス制御。ファイル所有者は、受信者が正確に何をできるかを指定できる必要があります。閲覧のみ、ダウンロード、アップロード、編集、またはそれらの組み合わせです。安全なビューアーを通じた閲覧専用アクセスであれば、ファイルは実際には自社の環境から出ることがなく、受信者はコンテンツを見られますが、元のファイルはサーバー上に残ります。リンクの有効期限、ダウンロード回数の制限、透かしは、実際に外部へ出るデータに対する制御を拡張するものです。これらの制御は、プラットフォーム全体で一律の権限をすべての社外共有に適用するのではなく、ファイル単位、フォルダ単位、受信者単位で設定可能であるべきです。

完全で改ざん不可能な監査証跡。誰がファイルを開いたか、いつ、どのIPアドレスから、ダウンロードしたかどうか、リンクを転送したかどうかといったすべてのアクセスイベントは、記録され、タイムスタンプが付けられ、後から改変できない形式で保存される必要があります。改ざん不可能なログこそが、監査証跡をコンプライアンス報告、法的ホールド、侵害調査に役立てる要素です。編集可能なログは監査証跡ではなく、誤った安心感を生む単なる記録にすぎません。

チャネル全体にわたる一貫した適用。機密データは、ファイル共有ポータルよりも多くのチャネルを通じて移動します。メール添付ファイル、API連携、マネージドファイル転送のワークフロー、クライアントが送信するWebフォームなどです。安全な社外共有の強度は、最も弱いチャネルによって決まります。ファイル共有は保護していてもメールは暗号化されていないプラットフォームには、高度な脅威アクターが悪用方法を熟知している隙間があります。

一般的なファイル共有ツールが不十分な点

メール添付ファイル、共有Googleドライブフォルダ、Dropboxのリンク、WeTransferといった消費者向け・汎用ビジネスツールは、複数の要件を同時に満たせません。転送時の暗号化は提供していても、意味のある受信者認証は提供していないのが一般的です。閲覧専用アクセス機能も備えていません。監査証跡は不完全で、改ざん不可能でもなく、コンプライアンス監査を満たす形式でもありません。そして、ポリシー施行の仕組みもありません。受信者がファイルをダウンロードし、権限のない第三者に転送することを防ぐ手段がないのです。

SharePointやOneDriveのようなエンタープライズコラボレーションプラットフォームは、社内共有についてはこうした隙間の一部を埋めますが、境界においては新たな隙間を生みます。社外共有の制御は、規制対象データが求める水準に比べて概して粗いものです。監査ログはサブシステムごとにサイロ化され、形式も一貫していません。これは、ファイル共有、メール、その他のチャネルにまたがる統一的なコンプライアンスを示そうとする組織にとって、よく知られた問題です。そして、これらのプラットフォームは、規制業界のファイル共有の大半を特徴づける「社外パートナーモデル」、つまり自社のIT部門が管理しない相手との個別・統制された・監査可能な交換のために設計されたものではありません。

ガバナンス管理を伴わないFTPやSFTPといった従来型のファイル転送プロトコルは、転送の仕組みは提供しますが、アクセス制御はなく、基本的なサーバーログを超える監査証跡もなく、ユーザー名とパスワード以上の受信者認証もありません。これらはインフラであって、安全な共有ソリューションではありません。

これらのツールが提供するものと、規制対象の社外共有が要求するものとの間にあるこの隙間こそが、マネージドファイル転送、セキュアメール、そして目的特化型の安全なファイル共有プラットフォームという分野が存在する理由です。

業界別に見る安全な社外ファイル共有

具体的な要件は規制フレームワークによって異なりますが、根底にあるパターンは一貫しています。データを暗号化し、受信者を認証し、受信者ができることを制御し、すべてを記録する、というものです。

医療。HIPAAは、紹介元の医師、請求業務のパートナー、保険会社、研究者といったビジネスアソシエイトと共有されるPHIが、ビジネスアソシエイト契約(BAA)と適切な技術的保護措置によって保護されることを求めています。「適切」とは、暗号化、アクセス制御、監査ログを意味します。医療分野におけるクライアントとの安全なファイル共有とは、患者記録、画像ファイル、臨床文書に、正当な必要性が文書化された認証済みの受信者しかアクセスできないようにし、HIPAAが求める最低6年間の保存期間にわたってすべてのアクセスイベントを記録することを意味します。

法律分野。法律事務所や法務部門は、契約書、ディスカバリー文書、M&A関連資料、訴訟に関わる機密データを、クライアント、相手方弁護士、裁判所、規制当局と共有します。守秘義務は職業上のものであると同時に契約上のものでもあります。文書を閲覧はできてもダウンロードはできない閲覧専用アクセス制御は、特権情報において特に価値があります。M&Aデューデリジェンス用のバーチャルデータルームは、大規模な安全ファイル共有と同様の技術的管理策を必要とし、さらに取引が成立した際や、あるプロセスから相手方候補が除外された際のアクセス期限に関する追加要件も伴います。

防衛・政府調達。DFARS 252.204-7012およびCMMC 2.0の下では、外注先とCUIを共有するために使用するクラウドサービスは、FedRAMP Moderateの要件を満たす必要があります。つまり、個々の転送だけでなく、プラットフォーム自体が独立した第三者評価を受け、継続的に監視され、C3PAO評価者が確認する監査文書を生成できる必要があるということです。転送自体が暗号化されていても、未評価のツールを通じてCUIを共有すればコンプライアンス違反となります。

金融サービス。SEC、FINRA、州レベルの金融規制は、社外に共有されるクライアントの財務データが適切な技術的・組織的管理策によって保護されることを求めています。監査証跡は定められた期間保持され、規制当局からの要求に応じて提出できる必要があります。PCI DSSの下で事業を行う企業には、決済処理業者やその他の第三者と共有するカード会員データに関する追加要件があります。

目的特化型の安全なファイル共有プラットフォームが提供するもの

汎用ツールと目的特化型の安全なファイル共有プラットフォームの違いは、あらゆる社外交換を包み込む「制御層」の有無にあります。

ファイル所有者は、きめ細かなレベルでアクセスを制御できます。ダウンロード、印刷、コピー、転送を防ぐ安全なビューアーによる閲覧専用アクセス、透かしの有無を選べるダウンロード、社外関係者がデータを送信する際のアップロード専用、そしてファイルをプラットフォーム上に保持したまま変更を可能にする所有権を伴わない編集(possessionless editing)による編集。アクセスの有効期限は共有ごとに設定可能です。受信者はアクセスが許可される前に認証されます。すべてのやり取りは、ファイル共有、メール、MFTごとに手動で照合しなければならないバラバラのログではなく、あらゆるチャネルにまたがる改ざん不可能で一元化された監査証跡に記録されます。

コンプライアンス重視の組織にとって、プラットフォームは監査が求める報告ワークフローもサポートする必要があります。誰が、何に、いつ、どこからアクセスし、何をしたのかを、IT部門が複数のシステムからログを手作業で集めることなく、監査人がそのまま確認できる形式で提示できることが求められます。

Kiteworksによる安全な社外ファイル共有への対応

Kiteworksは、社外共有という課題そのものを中心に設計されています。このプラットフォームの設計思想の前提は、機密データが組織内だけでなく組織間を移動するものであり、それが移動するすべてのチャネルに同じセキュリティとガバナンスの管理策が必要である、というものです。

暗号化について:Kiteworksは、ファイルレベルとディスクレベルの両方でAES-256を適用する二重暗号化を、顧客が所有する暗号鍵とともに実施します。Kiteworksが顧客の鍵を保有することは一切なく、顧客データを復号することもできません。これは、法的命令やベンダー側での侵害があっても、元となるデータが露出しないことを意味します。転送中のすべてのデータについて、TLS 1.2が最低基準であり、必要な導入環境向けにTLS 1.3も利用可能です。

アクセス制御について:ファイル所有者は、ファイルごと、受信者ごとに権限を設定できます。SafeVIEW(Kiteworksの安全なビューアーで、ファイルを静的画像に変換してコピー・抽出操作を防止する)による閲覧専用、ダウンロード、アップロード、SafeEDITによる所有権を伴わない編集、またはそれらの組み合わせです。リンクには有効期限とダウンロード回数の上限が設定されます。アクセスは事後的に取り消すことも可能です。透かしは共有文書を特定の受信者に紐付け、無許可の再配布を抑止します。

受信者認証について:社外の受信者は、期限付きのメール認証トークンと多要素認証によって、アクセス前に認証されます。エンタープライズ導入では、受信者側のIDプロバイダーとの連携もサポートされます。

監査証跡について:セキュアファイル共有、セキュアメール、マネージドファイル転送、SFTP、セキュアWebフォームなど、あらゆるチャネルにわたるすべてのアクセスイベントが、単一の一元化された改ざん不可能な監査証跡に記録されます。監査ログはすべてのチャネルにわたって標準化・正規化され、SIEMと連携し、HIPAA、GDPR、CMMCそれぞれに特化したコンプライアンス報告ビューで利用可能です。管理者はシステムレベルの活動を確認でき、エンドユーザーは自分自身の共有についてファイルレベルの追跡を確認できますが、どちらも元のログを改変することはできません。

コンプライアンスについて:Kiteworksは、FedRAMP Moderate認証(Coalfireによる独立評価を受け、2017年6月から維持)を取得しており、FedRAMP High申請中のステータスにあり、FIPS 140-3検証済みの暗号モジュールを備えています。このプラットフォームは、標準搭載の状態でCMMC 2.0レベル2要件の90%近くをサポートしており、防衛関連企業向けにはC3PAO評価の対象範囲を圧縮するコントロール継承機能もあります。ISO 27001、SOC 2、HIPAAコンプライアンスは、組み込みのレポート機能によってサポートされます。

Kiteworksが貴社固有の社外共有要件にどう対応できるかをご確認いただくには、カスタムデモをご予約ください。