無料会員登録
会社の重要データは、USBメモリだけでなく、Google Drive、Dropbox、OneDrive、私用メール、ファイル転送サービスなどを経由して社外へ持ち出されることがあります。とくにクラウドサービスは日常業務でも利用されるため、正規の操作と不正な持ち出しを見分けにくく、発見が遅れる場合があります。
たとえば、退職予定者が大量のファイルをダウンロードした後に個人クラウドへアップロードしたり、外部共有リンクを作成したり、未承認のOAuthアプリと連携させたりするケースがあります。こうした操作は、クラウド側の監査ログや端末側の操作痕跡を組み合わせることで確認できる場合があります。
また、持ち出しを疑った時点で対象アカウントを削除したり、PCを初期化したりすると、ログや設定が失われ、後から誰がどのファイルを操作したのか確認しにくくなることがあります。まず証拠を保全し、その後に共有停止やセッション失効などの封じ込めを進めることが重要です。
そこで本記事では、クラウド経由で会社データが持ち出された可能性を確認する方法、Microsoft 365やGoogle Workspaceで確認すべき監査ログ、外部共有やOAuth連携のチェックポイント、再発防止策、フォレンジック調査で持ち出し経路を確認する方法までを解説します。
クラウド経由のデータ持ち出しで確認すべきポイント
クラウド経由の情報持ち出しが疑われる場合は、対象ユーザー、期間、ファイル、端末を整理したうえで、クラウド側の監査ログを確認します。
対象ユーザーと期間を特定する
まず、持ち出しが疑われるユーザーID、利用端末、対象期間、対象となるデータを整理します。
「退職前の1週間」「深夜に大量アクセスがあった時間帯」など、調査期間をできるだけ絞ることで、監査ログを確認しやすくなります。
対象データについても、顧客情報、営業資料、設計データ、個人情報など、持ち出された可能性のあるファイル群を整理してください。
大量ダウンロードの履歴を確認する
Microsoft 365、Google Workspaceなどの監査ログから、短時間に大量のファイルをダウンロードしていないかを確認します。
通常業務では数件しか扱わないユーザーが、退職前に数百件・数千件のファイルを取得している場合は、詳しく調べる必要があります。
ただし、大量ダウンロードだけで不正持ち出しと断定することはできません。業務内容、操作対象ファイル、時刻、外部送信の痕跡などと合わせて判断します。
外部共有・共有リンクの作成を確認する
SharePoint、OneDrive、Google Driveなどでは、外部ユーザーへの共有や共有リンクの作成が情報持ち出しに使われる場合があります。
個人メールアドレスへの共有、匿名リンクの作成、共有先の変更などがないかを確認してください。
外部共有が見つかった場合は、誰が、いつ、どのファイルを、誰に共有したのかを記録します。
私用メールや個人クラウドへの送信を確認する
会社データが私用Gmailへ添付されたり、個人のGoogle Drive、Dropbox、OneDriveなどへアップロードされたりするケースがあります。
メール送信ログ、ブラウザ履歴、プロキシログ、DLPログなどを確認し、対象ファイルが外部へ送信された可能性を調べます。
OAuthアプリや外部SaaS連携を確認する
クラウドサービスでは、OAuth連携を利用して外部アプリへデータアクセス権を付与できる場合があります。
見覚えのないアプリ、未承認SaaS、個人契約の連携サービスなどが登録されていないか確認してください。
利用者本人がファイルを直接ダウンロードしていなくても、外部アプリがAPI経由でデータへアクセスしている可能性があります。
送信元IP・端末・時刻を照合する
監査ログでは、操作内容だけでなく、送信元IP、端末情報、時刻も確認します。
通常利用しない自宅回線、国外IP、私物端末などから大量の操作が行われている場合は、持ち出しとの関連を詳しく確認する必要があります。
- 対象ユーザーと利用端末を特定します。
- 疑われる期間を絞ります。
- 対象ファイルやデータ分類を整理します。
- ダウンロード・共有・アップロード履歴を確認します。
- IP・端末・時刻を時系列で照合します。
クラウド上の持ち出しは、一つのログだけで判断せず、ダウンロード・共有・認証・端末操作を時系列で結び付けることが重要です。
Microsoft 365でデータ持ち出しを確認する方法
Microsoft 365を利用している場合は、SharePoint、OneDrive、Exchange、Entra IDなど複数のログを組み合わせて確認します。
SharePoint・OneDriveのファイル操作を確認する
監査ログから、対象ファイルの閲覧、ダウンロード、共有などの操作を確認します。
退職前や休日、深夜帯など、通常とは異なる時間に大量のファイル操作がないかも確認してください。
外部共有や共有リンクを確認する
外部メールアドレスへの共有や、リンクを知っている人が閲覧できる形式の共有が作成されていないかを調べます。
不審な共有が残っている場合は、証拠を記録したうえで共有リンクを停止します。
メール送信・転送設定を確認する
Exchange Onlineでは、外部宛メールへのファイル添付や、不審な自動転送設定がないかを確認します。
自動転送ルールが設定されている場合、ユーザーが意識せず継続的に社外へ情報が送られている可能性もあります。
Entra IDのサインイン履歴を確認する
Entra IDのサインインログから、操作を行ったアカウントがどのIP・端末・地域からアクセスしていたかを確認します。
管理外端末や普段利用しない場所からのアクセスがあれば、ファイル操作ログと時刻を照合します。
OAuthアプリ・同意履歴を確認する
外部アプリにSharePoint、OneDrive、メールなどへの権限が付与されていないかを確認します。
利用目的が不明なアプリや、個人向けサービスへ広範な権限を付与している場合は、承認経緯を確認してください。
Google Workspaceでデータ持ち出しを確認する方法
Google Workspaceを利用している場合は、Drive、Gmail、ログイン、OAuthアプリなどの記録を確認します。
Google Driveのダウンロード・共有履歴を確認する
対象ユーザーがどのファイルを閲覧・ダウンロード・共有したかを確認します。
大量のファイル取得や短時間での連続操作がある場合は、対象データと業務上の必要性を照合してください。
外部ユーザーへの共有を確認する
社外メールアドレスや個人Googleアカウントへの共有がないかを確認します。
共有先の変更、リンク共有の有効化なども確認対象です。
Gmailの外部送信を確認する
会社のGmailから個人メールへファイルが送信されていないかを確認します。
添付だけでなく、クラウドファイルの共有リンクが送信されている可能性もあります。
ログイン元や端末を確認する
不審な操作が行われた時刻に、どのIPや端末からログインしていたかを確認します。
会社管理外の端末からの利用が確認された場合は、端末管理の状況も確認してください。
外部アプリ連携を確認する
Googleアカウントへ接続されたサードパーティアプリに、不必要なDriveやGmailの権限が付与されていないかを確認します。
未承認アプリが存在する場合は、証跡を記録したうえでトークン失効などを検討します。
クラウド経由の持ち出しが疑われる場合の初動対応
持ち出しの疑いがある場合は、証拠を失わないよう注意しながら被害拡大を止めます。
監査ログを先に保全する
クラウドサービスの監査ログには保持期間があり、時間が経過すると確認できなくなることがあります。
対象期間のログをエクスポートし、取得日時、取得担当者、保存場所などを記録してください。
重要案件では、取得したファイルのハッシュ値も記録し、後から内容が変更されていないことを確認できる状態にします。
不審な外部共有を停止する
持ち出しに使われている可能性がある共有リンクや外部共有を確認し、必要に応じて無効化します。
ただし、設定変更前の状態をスクリーンショットや監査ログで記録しておくことが重要です。
セッション・トークンを失効する
不正利用が継続している可能性がある場合は、サインインセッション、OAuthトークン、APIキーなどを必要範囲で失効させます。
アカウントを完全に削除すると調査に必要な情報へアクセスできなくなる可能性もあるため、証拠保全と封じ込めの順序を検討します。
対象端末を保全する
会社PCからクラウドへの持ち出しが疑われる場合は、対象端末も調査対象になります。
ブラウザ履歴、同期クライアント、最近使用したファイル、メール、USB接続などの痕跡が残っている可能性があります。
人事・法務・情シスで調査範囲を共有する
従業員や退職者が関係する案件では、技術調査だけでなく、就業規則、調査権限、個人情報の取扱いなどにも注意が必要です。
会社管理のアカウント・端末・ログを中心に調査し、私物端末や個人アカウントを確認する必要がある場合は、適法性や同意の要否を法務と確認してください。
- 対象期間の監査ログをエクスポートします。
- 不審な共有設定を記録します。
- 必要に応じて共有・セッション・トークンを無効化します。
- 会社PCや関連端末を保全します。
- 人事・法務・情報システム部門で調査方針を共有します。
対象アカウントやPCを先に削除・初期化すると、持ち出し経路を確認するための証拠が失われる可能性があります。
クラウド経由のデータ持ち出しを防ぐ対策
持ち出し対策では、クラウドサービスを一律に禁止するだけでなく、データ分類、端末制御、DLP、監査を組み合わせます。
データを機密度ごとに分類する
個人情報、営業秘密、社外秘、一般情報など、データの重要度を分類します。
すべてのファイルを同じレベルで管理するのではなく、機密度に応じて外部共有、ダウンロード、印刷などの制限を設定します。
アクセス権を必要最小限にする
業務上必要なユーザーだけが必要な期間アクセスできるようにします。
部署異動や担当変更後も過去の権限が残っていると、不要なデータへアクセスできる状態が続きます。
外部共有を制限する
個人メールアドレス、匿名リンク、未承認ドメインへの共有を原則禁止または承認制にします。
取引先との共有が必要な場合は、許可ドメインや指定ユーザーに限定する方法が有効です。
DLP・CASBで持ち出し経路を制御する
DLPやCASBを利用すると、個人情報や機密ラベルを含むファイルのアップロード、共有、ダウンロードなどを検知・制御できます。
「禁止」だけでなく、警告、承認制、管理者通知など、データの重要度に応じたルールを設定します。
管理端末だけクラウドアクセスを許可する
MDM、EDR、条件付きアクセスなどを組み合わせ、会社管理端末からのみ重要データへアクセスできるようにします。
私物PCへファイルを同期したり、個人ブラウザからダウンロードしたりするリスクを抑えられます。
不審操作をログ監視する
大量ダウンロード、深夜のアクセス、国外IP、共有先の急増などを検知してアラート化します。
特に通常行動から大きく外れた操作を把握できるようにすることが重要です。
退職・異動時の権限剥奪を徹底する
退職や異動などの人事イベントとID管理を連携し、不要な権限を速やかに削除します。
退職予定者については、通常と異なる大量アクセスや共有設定変更がないかを重点的に監視する運用も検討します。
クラウドを一律ブロックするだけでは持ち出しを防げない
個人クラウドサービスへのアクセスを禁止しても、別の経路へ迂回される可能性があります。
私用メールへの添付
クラウドストレージを禁止していても、Webメールへ添付して送信される可能性があります。
スクリーンショット・画面撮影
ダウンロードを禁止しても、画面を撮影したり、必要な部分を手入力で転記したりする行為まで完全に防ぐことは困難です。
私物端末への転送
会社端末から個人スマートフォンや私物PCへ転送される可能性もあります。
生成AIや未承認SaaSへの貼り付け
業務データを生成AIや外部SaaSの入力欄へ貼り付けることで、管理外サービスへ情報が送信される場合があります。
同期フォルダへの保存
個人クラウドの同期クライアントがPCに導入されている場合、特定フォルダへコピーするだけで外部クラウドへ同期されることがあります。
そのため、データ分類＋端末制御＋クラウド監査＋人事イベント管理を組み合わせることが重要です。
退職者によるクラウド経由の持ち出しを確認するポイント
退職前後の情報持ち出しが疑われる場合は、通常とは異なるアクセス傾向がないかを重点的に確認します。
退職前の大量ダウンロード
通常より多いファイルを短期間でダウンロードしていないかを確認します。
業務外ファイルへのアクセス
担当業務では使用しない顧客リスト、設計資料、営業資料などへアクセスしていないかを調べます。
個人アドレスへの共有
本人の個人メールアドレスや、関係のない外部ドメインへの共有がないかを確認します。
深夜・休日のアクセス
通常勤務時間外に大量操作が行われている場合は、業務上の理由を確認してください。
退職直前のOAuth連携や共有設定変更
外部アプリへの権限付与や共有設定の変更が退職直前に行われていないかを確認します。
クラウド持ち出しの証拠を確認したい場合はフォレンジック調査会社に相談する
クラウドの監査ログから大量ダウンロードや共有操作が確認できても、実際にどのデータがどこへ持ち出されたのかをログだけで断定できない場合があります。
フォレンジック調査では、Microsoft 365やGoogle Workspaceなどの監査ログに加え、対象PCのブラウザ履歴、同期クライアント、メール利用、USB接続、ファイル操作などを解析し、持ち出し経路を時系列で整理します。
対象アカウントの削除、PCの初期化、ブラウザ履歴の削除などを先に行うと、情報持ち出しを裏付ける証拠が失われるおそれがあります。懲戒処分や損害賠償などの法的対応を検討している場合は、就業規則や調査権限を確認しながら、早い段階で専門会社へ相談することが重要です。
クラウド経由のデータ持ち出しをフォレンジック調査で確認する方法
フォレンジック調査では、クラウドと端末の双方に残る痕跡を組み合わせて、持ち出しの可能性を確認します。
クラウド監査ログを保全・解析する
対象ユーザーの認証、ファイル操作、外部共有、アプリ連携などのログを取得して分析します。
対象ファイルのダウンロード・共有履歴を確認する
持ち出しが疑われるファイルについて、誰が、いつ、どの端末から操作したかを確認します。
対象PCのブラウザ・同期履歴を確認する
Google Drive、Dropbox、OneDriveなどへのアクセス、同期クライアントの利用、ブラウザでのアップロードなどの痕跡を確認します。
メール・外部SaaSへの送信痕跡を確認する
私用メール、ファイル転送サービス、生成AI、未承認SaaSなどへの送信がないかを調査します。
複数の証跡を時系列で整理する
認証、ファイルダウンロード、外部共有、ブラウザアクセス、メール送信などを一つの時系列に並べます。
これにより、「ファイルをダウンロードした直後に個人クラウドへアクセスした」など、複数の操作の関連を確認します。
おすすめのフォレンジック調査会社
従業員や退職者によるクラウド経由の情報持ち出しが疑われる場合は、クラウド監査ログとPCの操作痕跡を横断的に分析できるフォレンジック調査会社への相談が選択肢になります。
公式サイトデジタルデータフォレンジック
編集部が厳選したおすすめのフォレンジック調査会社は、デジタルデータフォレンジックです。
デジタルデータフォレンジックは、累計4万7千件以上の豊富な相談実績を持ち、全国各地の警察・捜査機関からの相談実績も409件以上ある国内有数のフォレンジック調査サービスです。
24時間365日の相談窓口があり、緊急時でも安心です。相談から見積りまで無料で対応してくれるので、フォレンジック調査の依頼が初めてという方もまずは気軽に相談してみることをおすすめします。
まとめ
クラウド経由の会社データ持ち出しでは、Google Drive、Dropbox、OneDrive、私用メール、外部SaaSなどが利用される場合があります。業務利用と同じサービス上で行われるため、USBへのコピーより発見が遅れることもあります。
持ち出しが疑われる場合は、対象アカウントや端末をすぐに削除せず、まず監査ログを保全してください。そのうえで、ファイルのダウンロード、外部共有、メール転送、OAuthアプリ連携、送信元IP、利用端末などを時系列で確認します。
再発防止では、個人クラウドの遮断だけに頼らず、データ分類、最小権限、DLP・CASB、管理端末制御、監査ログ、人事イベントと連動した権限管理を組み合わせることが重要です。すでに持ち出しが疑われる場合は、クラウドとPC双方の証拠を保全し、必要に応じてフォレンジック調査で経路と被害範囲を確認してください。
![中小企業の情報瀬キィリティ相談窓口[30分無料]](/wp-content/uploads/2023/07/bnr_footer04.png)
