Google Drive、OneDrive、SharePoint、Slack Connectなどの外部共有リンクを棚卸しする手順を整理。確認項目、初動対応、判断基準を情シス・SaaS管理者向けに解説します。
外部共有リンクは「便利な機能」ではなくデータ出口として見る
Google Drive、OneDrive、SharePoint、Slack Connect などの外部共有は、取引先との作業を速くするための正規機能だ。一方で、リンクの範囲、共有相手、期限、対象データ、所有者が分からないまま残ると、ユーザー一覧だけでは見えないデータ出口になる。
外部共有リンクがあること自体を事故と決めつける必要はない。問題は、誰が、何を、どの範囲で、いつまで共有しているかを説明できない状態だ。特に、退職者が所有していた共有、期限のない外部リンク、個人情報や契約情報を含むフォルダ、Slack Connectで外部組織とつながるチャンネルは、平時の棚卸しとインシデント初動の両方で確認対象になる。
この記事では、2026年6月7日時点で公開されているGoogle Workspace、Microsoft 365、Slackの公式情報を確認したうえで、情シス、SaaS管理者、開発者、CSIRTがまず見るべき確認項目と判断基準を整理する。実際の作業表として使う場合は、SaaS権限棚卸しチェックリスト と合わせて確認してほしい。
この記事は、防御・確認・初動対応を目的にした実務ガイドです。各SaaSの管理画面や機能名は変更されるため、画面操作の細部ではなく、外部共有リンクをどう棚卸しし、どこでエスカレーションするかに焦点を置きます。
読者別の影響：誰が何を確認するべきか
外部共有リンクは、ひとつの部門だけで完結しない。ファイル共有は情シス、Slack ConnectはSaaS管理者、ソースコードや成果物は開発者、漏えい疑いはCSIRTというように、確認すべき視点が分かれる。
| 読者 | まず知りたいこと | 確認する対象 |
|---|---|---|
| 情シス担当者 | 外部共有が組織ポリシーに合っているか | Google Drive、OneDrive、SharePoint、共有ドライブ、監査ログ |
| SaaS管理者 | 外部ユーザーや外部組織がどこに残っているか | Slack Connect、ゲスト、外部チャンネル、共有ファイル |
| 開発者 | ソースコード、設計書、CI成果物が広く共有されていないか | リポジトリ関連ファイル、設計資料、チケット添付、共有リンク |
| CSIRT / SOC | 外部共有が不審アクセスや漏えい疑いと関係するか | 監査ログ、最終アクセス、共有変更、退職者・侵害疑いアカウント |
| 部門管理者 | 業務上必要な共有か、期限や所有者を説明できるか | 部門フォルダ、取引先チャンネル、契約・提案資料 |
外部共有の棚卸しは、誰かを責める作業ではない。正規機能として作られた共有を、業務目的、期限、データ分類、監査ログと結び付けて説明できる状態に戻す作業だ。
まず確認すること：外部共有リンクの8項目チェックリスト
最初に確認したいのは、リンクの有無だけではない。外部共有リンクが存在しても、共有相手が明確で期限があり、対象データが低リスクで、所有者が説明できるなら、直ちに高リスクとは限らない。逆に、リンク数が少なくても、顧客情報や認証情報に近いデータを「リンクを知っている全員」に共有していれば優先度は高い。
| 確認項目 | 見る内容 | 判断の観点 |
|---|---|---|
| 共有種別 | 特定ユーザー、外部ゲスト、リンク共有、組織外チャンネル | 誰に共有されているか説明できるか |
| リンク範囲 | 組織内のみ、特定外部ユーザー、リンクを知っている全員 | 想定外の第三者が到達できないか |
| 対象データ | 顧客情報、個人情報、契約、財務、人事、ソースコード | データ分類上の重要度は高いか |
| 所有者 | ファイル所有者、フォルダ管理者、チャンネル管理者 | 退職者や異動者が所有したままではないか |
| 期限 | 有効期限、レビュー日、契約終了日 | 期限なしの例外になっていないか |
| 外部ドメイン | 取引先、個人メール、フリーメール、不明ドメイン | 業務上の関係を説明できるか |
| 最終アクセス | 直近の閲覧、ダウンロード、共有変更、招待 | 利用実態がない共有だけ残っていないか |
| 監査ログ | 共有作成、権限変更、外部ユーザー追加、ファイル操作 | 後から判断理由を説明できるか |
この8項目をそろえると、外部共有リンクを「消すか残すか」ではなく、「何を先に止めるべきか」「どこまで調査するべきか」で判断しやすくなる。
Google DriveやOneDriveのリンク共有だけでなく、共有ドライブ、SharePointサイト、Slack Connectの外部チャンネル、SaaS内の公開ページや添付ファイルも確認対象に入れる。データの出口はファイルリンクだけとは限らない。
Google Drive、OneDrive、Slack Connectで見る観点
各サービスの管理画面は変わるため、ここでは公式ドキュメントで確認できる範囲をもとに、棚卸しの観点だけを整理する。詳細手順は必ず各ベンダーの最新ヘルプを参照してほしい。
| サービス | 確認する観点 | 実務上の注意 |
|---|---|---|
| Google Drive / 共有ドライブ | 組織の外部共有設定、共有ドライブの外部共有、外部共有インジケーター、Driveログイベント | 組織全体設定と共有ドライブ単位の設定が一致しているとは限らない |
| OneDrive / SharePoint | 組織・サイト単位の外部共有、Anyoneリンク、ゲスト共有、監査ログの共有イベント | SharePointサイト、Teams連携、OneDrive個人領域を分けて見る |
| Slack Connect | 外部ユーザーダッシュボード、外部組織と共有するチャンネル、外部ユーザーが参加する会話 | ファイル共有、チャンネル履歴、外部組織との契約終了を合わせて確認する |
| その他SaaS | ゲスト、公開ページ、共有リンク、エクスポート権限、APIトークン | SaaSごとに「外部共有」の名称が違うため、機能名ではなくデータ出口で見る |
Google Workspaceの公式ヘルプでは、管理者がDriveとDocsの外部共有を組織部門やグループに応じて制御できること、Driveのログイベントで共有関連の操作を確認できることが説明されている。Microsoft Learnでは、SharePointとOneDriveの外部共有の前提や、監査ログで共有関連イベントを確認する考え方が示されている。Slack Helpでは、Slack Connectの外部ユーザーダッシュボードや外部組織とのチャンネル共有の管理観点が整理されている。
重要なのは、どのSaaSでも「共有設定」と「実際の共有状態」と「監査ログ」を分けて見ることだ。設定が厳しくても、過去の例外や既存リンクが残っている可能性がある。逆に、共有が存在しても、契約中の取引先に限定され、期限と所有者が明確なら通常運用として扱える。
初動対応：止める・確認する・記録する
棚卸し中に説明できない外部共有が見つかった場合は、削除だけで終わらせない。共有リンクを止めることは大切だが、何が共有され、誰が見られる状態で、いつから存在し、業務上必要だったのかを残さないと、後から影響判断ができなくなる。
やること
- 対象ファイル、フォルダ、サイト、チャンネル、共有リンク、所有者、外部共有先を記録する。
- 共有範囲が広い場合は、リンクを無効化する、特定ユーザー共有へ変更する、有効期限を設定するなど、影響を抑える。
- 対象データに顧客情報、個人情報、契約、財務、人事、ソースコード、認証情報が含まれるか確認する。
- 共有の作成日、変更日、最終アクセス、ダウンロード、外部ユーザー追加など、監査ログで確認できる範囲を保全する。
- 所有者または部門管理者へ、業務目的、契約相手、必要期限、代替方法を確認する。
- 漏えい疑いがある場合は、漏えい疑い初動テンプレート を使い、事実、時刻、対象データ、判断者を分けて記録する。
やらないこと
- 所有者確認もログ保存もせずに、大量の共有リンクを一括削除しない。
- 共有リンクやログをチャットに貼り付け、二次拡散させない。
- 「外部共有があった」だけで漏えいと断定しない。
- 退職者が所有していた共有を、移管なしに削除しない。
- 公式情報で確認できない攻撃手順や被害規模を推測で書かない。
記録すること
| 記録項目 | 例 |
|---|---|
| 対象 | SaaS名、ファイル・フォルダ・サイト・チャンネル名、URLの管理用ID |
| 共有範囲 | 外部ユーザー、外部ドメイン、リンク共有、ゲスト、Slack Connect組織 |
| データ分類 | 公開可、社内限定、機密、個人情報、契約、ソースコード |
| 時刻 | 共有作成、変更、最終アクセス、停止、所有者確認、エスカレーション |
| 判断 | 維持、期限付き維持、範囲縮小、無効化、追加調査、インシデント化 |
| 後続対応 | 所有者移管、DLPルール見直し、SSPM確認、部門教育、定期レビュー |
記録は、セキュリティ担当者だけのためではない。部門管理者、法務、広報、委託先管理、監査対応が後から同じ事実を見られるようにするためのものだ。
判断基準：どこまでエスカレーションするか
外部共有リンクの優先度は、共有リンクの数ではなく、データの重要度、共有範囲、所有者の説明可能性、監査ログ、発見経緯で決める。
| 優先度 | 条件 | 対応 |
|---|---|---|
| 高 | 顧客情報、個人情報、認証情報、ソースコード、財務・人事情報を含む。外部共有先が不明、リンク範囲が広い、退職者所有、侵害疑いと近い時刻に作成された | 共有を止め、ログを保全し、CSIRT・法務・管理者へエスカレーションする |
| 中 | 取引先共有だが期限がない。所有者はいるが共有範囲が広い。契約終了後も外部ゲストが残っている | 期限を設定し、共有範囲を縮小し、部門オーナーに判断を依頼する |
| 低 | 共有先、目的、期限、データ分類、所有者が明確。監査ログ上も想定内 | 台帳に記録し、次回レビュー日を設定する |
高リスク条件が複数重なる場合は、平時の棚卸しではなく初動対応として扱う。たとえば「退職者が所有」「個人情報を含む」「リンクを知っている全員がアクセスできる」「最終アクセスが直近」の組み合わせなら、共有停止だけでは足りない。アクセスログ、ダウンロード、外部ユーザー、二次共有の有無を確認し、必要に応じてインシデント管理へ移す。
よくある誤解
「外部共有を禁止すれば安全」
全面禁止にすると、部門が別のSaaSや個人アカウントへ逃げる場合がある。重要なのは、業務上必要な外部共有を承認済みの経路へ寄せ、期限と所有者を付けることだ。禁止だけでは、実際のデータ出口を見失うことがある。
「退職者アカウントを止めたから共有も消える」
退職者のログインを止めても、退職者が所有していた共有リンク、共有ドライブ、Slack Connectチャンネル、Bot、Webhookが残る場合がある。退職処理では、アカウント停止だけでなく、所有物の移管と外部共有の確認が必要になる。詳しくは 退職者アカウント確認チェックリスト も確認してほしい。
「リンクを非公開にしたのでログは不要」
共有範囲を縮小しても、過去に誰がアクセスできたか、実際にアクセスがあったか、対象データは何かという判断は残る。漏えい疑いの説明では、対応した事実だけでなく、判断根拠が必要になる。
「DLPがあるから棚卸しは不要」
DLPは重要な補助線だが、すべての業務文脈を理解するわけではない。契約上必要な共有か、外部組織とのプロジェクトが終了しているか、例外期限が過ぎているかは、人と運用で確認する必要がある。
関連用語・関連ページ
外部共有リンクの棚卸しは、SaaS権限、データ分類、DLP、退職者対応、インシデント初動を横断する。次のページを合わせて読むと、作業に落とし込みやすい。
| 目的 | 内部リンク |
|---|---|
| 実務チェックリストとして使う | SaaS権限棚卸しチェックリスト、退職者アカウント確認チェックリスト |
| 漏えい疑いへ進む | 漏えい疑い初動テンプレート、ログを読む初心者向けの基本 |
| 関連する権限管理を理解する | SaaS権限棚卸しの進め方、ブラウザ拡張機能の権限棚卸し |
| 用語を確認する | SSPM、DLP、Data Classification、Access Review |
| 違いを理解する | DLPとCASBの違い、認証と認可の違い |
| 初心者向けに練習する | 認証と認可の違いミニCTF、クイズで用語を復習する |
まとめ：外部共有は「誰が見られるか」だけでなく「いつまで説明できるか」で管理する
SaaS外部共有リンクの棚卸しでは、リンクの数を減らすことだけを目標にしない。重要なのは、共有相手、リンク範囲、対象データ、所有者、期限、監査ログを結び付け、外部共有を説明できる状態にすることだ。
まずはGoogle Drive、OneDrive、SharePoint、Slack Connectのように、日常業務で広く使うSaaSから始める。顧客情報、個人情報、契約、財務、人事、ソースコードを含む共有、退職者が所有する共有、リンク範囲が広い共有、期限のない外部共有を優先して確認する。
平時の作業としては、SaaS権限棚卸しチェックリスト に外部共有リンクの確認項目を組み込み、四半期レビューで繰り返す。漏えい疑いに近い共有が見つかった場合は、共有停止だけで終わらせず、ログ、対象データ、外部共有先、判断者を記録し、必要に応じて 漏えい疑い初動テンプレート へ進む。
公式情報・参考情報
- Google Workspace Admin Help: Manage external sharing for your organization — Google Driveや共有ドライブの外部共有設定、組織部門・グループ単位の制御、外部共有インジケーターを確認できる。
- Google Workspace Admin Help: Drive log events — Driveの共有、外部共有、監査ログで確認できるイベントを確認できる。
- Microsoft Learn: Overview of external sharing in SharePoint and OneDrive — SharePointとOneDriveの外部共有、ゲスト共有、Entra B2B連携の前提を確認できる。
- Microsoft Learn: Use sharing auditing in the audit log — Microsoft 365監査ログで共有関連イベントを確認する考え方を確認できる。
- Slack Help: Use the Slack Connect external people dashboard — Slack Connectの外部ユーザーとアクセス可能なチャンネルを管理者が確認する方法を確認できる。
- Slack Help: Slack Connect guide — Slack Connectで外部組織とチャンネル・DMを共有する仕組みと管理観点を確認できる。
