応募書類や見積書、身分証の写しをフォームやメールで受け取っている窓口では、ファイルの受け取りとセキュリティの話が「暗号化するかどうか」に寄りがちです。ところが実務で事故に近づくのは、暗号の強さではなく、届いたファイルが1本のURLだけで開ける状態のまま何か月も放置されることのほうです。この記事は、受付をひとりで回している人が、いま自分の手元で何が危ういのかを見極めて、次に何を変えるかを決められるところまでを目的にしています。
事故の多くは破られたのではなく、開いたままだった
情報が外に出るときの経路は、外から力ずくで破られる形だけではありません。窓口の運用で目立つのは、正しく共有したはずのリンクが、必要な期間を過ぎても生きていた、という単純な形です。悪意のある行為が介在しなくても、範囲の広いリンクが転送を重ねれば、意図しない相手の手元に残ります。
受付の担当者からよく聞くのは、次のような順序で範囲が広がったという話です。最初は選考担当の2人に見せるためのリンクだった。次に現場の責任者にも意見を聞きたくなって、そのリンクをそのまま転送した。責任者は出先で見るために自分のメールに送り直した。ここまでで、誰も規則を破っていません。それでも書類のURLは4か所のメールボックスに散らばり、そのうち3か所は受付の担当者が管理できない場所です。
「知っている人は全員見られる」という設定の意味
クラウドのファイル共有には、たいてい「リンクを知っている人なら誰でも閲覧できる」という選択肢があります。この設定は、相手にアカウント登録を求めずに済むので、社外とのやり取りでは重宝します。応募者や申請者に余計な手間をかけないという意味では、正しい選択でもあります。
問題は、この設定が「誰でも」の範囲を後から狭められないことにあります。リンクが1回でも外に出れば、そのリンクを持つ人全員が見られる状態が続きます。個人を指定した共有であれば、あとから1人だけ外すという操作ができますが、リンク共有には外す相手がいません。取り消す方法はリンクそのものを無効にすることだけで、そのときはまだ見る必要がある人の分もまとめて切れます。だからこそ切りにくく、結果として生きたまま残ります。
受け取ったファイルを扱うときは、この差を意識して使い分けるのが出発点です。社内で長く回覧するものは個人指定、外部の相手に一度だけ渡すものはリンクに期限を付ける、という線引きが実務では扱いやすい形になります。
検索やクロールで拾われる経路もある
推測しにくいURLだから安全だ、という考え方は、状況によっては成り立ちません。長いランダムな文字列は総当たりに強い一方で、URLは人が扱うものである以上、思わぬところに転記されます。チャットに貼る、資料に貼る、翻訳や要約の道具に貼りつける、といった操作を通じて、リンクは元の場所から離れていきます。
公開されたページからリンクが張られていれば、検索の対象になることもあります。ファイルそのものに閲覧制限がかかっていれば中身は出ませんが、制限を外したまま公開の場所に置いてあると、順に拾われる可能性が残ります。ここでも起きているのは攻撃ではなく、公開の設定と保管場所の組み合わせを取り違えたことです。
添付メールにも同じ問題がある
フォームではなくメールの添付で受け取っている窓口も多く残っています。添付は一見リンクより安全に見えますが、性質としては「複製が人数分できる」方式です。転送されるたびにファイルの実体が増え、削除の指示を出しても、どこに何通残っているかを受付側から確かめる手段がありません。
パスワード付きの圧縮ファイルを送って、パスワードを別のメールで送る運用も広く使われてきましたが、同じ経路で2通送るなら分離の意味は薄くなります。受け取る側の環境によっては、暗号化された添付をウイルス検査の対象から外す設定になっていることもあり、安全側に働かない場合があります。この方式については官公庁でも見直しの動きが続いてきたので、いま採用するかどうかは、自分の窓口で何を守りたいのかから決め直したほうが早いです。
受け取ったファイルの置き場所を1つに決める
守り方を考える前に、まず数えるべきものがあります。同じ応募書類が、いま自分の組織の中で何か所に存在しているか、という数です。この数が1に近いほど守るのは簡単になり、5を超えたあたりから、全部を管理するのは現実的でなくなります。
保管場所が増える3つのきっかけ
置き場所が増える原因は、だいたい決まっています。1つ目は、受付の道具と保管の道具が別々になっていることです。フォームで受け取ったファイルを、確認のためにいったん自分のパソコンへ落とし、そこから共有フォルダへ上げ直す、という手順を踏むと、その時点で実体が3つになります。
2つ目は、誰かに見せるための複製です。会議で映すために資料へ貼りつける、承認をもらうために別のシステムへ添付する、という操作のたびに増えます。3つ目は、バックアップと版履歴です。これは本来なら守るための仕組みですが、消す段になると「消したはずのものが残っている」形で表に出てきます。
数を減らす方向で考えると、やるべきことははっきりします。受け取った場所から動かさずに、その場で確認して、その場で共有できるようにする。つまり受け付けた画面の中に、確認と共有の手段がそろっていることが、置き場所を1つに保つ条件になります。受付の道具を選ぶときに、届いたあと何ができるかを見るべきなのは、この理由からです。フォームの道具ごとに、送信されたあとの扱いがどう違うのかはできることで整理されているので、いま使っているものと突き合わせて見ると差がわかります。
個人のフォルダに置かない
もう1つ、置き場所で決めておくべきことがあります。担当者個人のアカウントの下に置かない、という一点です。個人のドライブに置かれたファイルは、その人が異動したり退職したりした瞬間に、組織から見えなくなります。見えなくなるだけならまだしも、共有リンクだけが生きていて、誰も管理していない状態になるのが最悪の形です。
組織のフォルダ、あるいは受付システムの中に置き、担当者は「そこを見る権限を持つ人」として登録される。この形にしておけば、担当が替わったときの作業は権限の付け替えだけで済み、ファイルは動きません。ファイルが動かなければ、URLも増えません。
業務ごとに置き場所を分ける
採用の応募書類、助成金の申請書類、修理の依頼に添えられた写真は、見てよい人の範囲がそれぞれ違います。同じ「受け取ったファイル」でも、混ぜて置くと権限を細かく分けられなくなり、結局「全員が全部見られる」に寄っていきます。
受付の入口の時点で分けておくと、あとの管理が楽になります。採用の応募をどう受けて、どこまでを選考担当だけに見せるかについては採用の応募受付に受付の流れが整理されています。公募や助成金のように、募集の期間が区切られていて、期間が終われば見る必要がなくなる種類のものは助成金・公募の受付のほうが近い形です。窓口の性質が違えば、期限の付け方も変わります。
期限の付け方
共有リンクに期限を付ける機能は、多くのサービスに用意されています。使われていない理由は、機能が無いからではなく、何日に設定すればよいのかを誰も決めていないからです。決め方には型があります。
「業務が終わる日」ではなく「見る必要がなくなる日」で決める
期限を決めるときにやりがちなのは、案件の完了予定日を入れることです。これだと延びます。選考は長引きますし、申請の審査も追加の書類を待つ間は止まります。完了予定日を基準にすると、延長のたびに期限を伸ばすことになり、そのうち「面倒だから無期限」に落ち着きます。
代わりに、その相手がそのファイルを見る必要がなくなる日で決めます。一次選考の担当者なら、一次の結果を出した日が期限です。二次以降も見るなら、二次のリンクを改めて発行します。手間が増えるように見えますが、実際には「誰がいつまで見るか」を毎回言葉にすることになるので、権限の設計そのものが整います。
目安として運用しやすいのは、外部に渡すリンクは7日、社内の確認用は30日、審査に長くかかるものでも90日で一度切って再発行する、という3段階です。短すぎると再発行の依頼が増えて業務が止まるので、自分の窓口の平均的な処理日数を測ってから決めるほうが定着します。
期限が切れたあと何が起きるかを先に確かめる
期限を設定する前に、必ず確かめておくことがあります。期限が切れたとき、リンクだけが無効になるのか、ファイル自体が消えるのか、という違いです。ここを取り違えると、必要な書類まで失います。
多くのサービスでは、期限切れはリンクの無効化を意味し、ファイルの実体は残ります。ただし挙動はサービスによって違いますし、設定の場所も違います。実際に自分の環境で、期限を翌日に設定したテスト用のファイルを1つ作り、翌日にどうなるかを見ておくのが確実です。この確認に必要な時間は10分もかかりませんが、これをやっていないと、本番のファイルで初めて挙動を知ることになります。
保存期間そのものを決めておく
リンクの期限とは別に、ファイルを組織として何年保管するのかという期間があります。採用に関する書類、契約に関する書類、税務に関する書類では、それぞれ根拠が違い、保管すべき期間も違います。個人情報を含むものは、利用する目的が終われば消すことが求められる場面もあります。
ここは業種や書類の種類で判断が分かれるところなので、記事の一般論だけで決め切らないほうが安全です。自社の保管期間の考え方は、社内の規程と、所管する省庁の案内、必要であれば専門家への相談で固めてください。個人情報の扱いについては個人情報保護委員会が窓口を設けています。
いま誰が見られるのかを確かめる手順
設定した権限は、時間が経つと実態とずれます。ずれを見つける方法は、設定画面を眺めることではなく、実際に開いてみることです。
自分のアカウントを外して開いてみる
いちばん確実な確認方法は、シークレットウィンドウを開き、どのアカウントにもログインしていない状態で共有リンクを貼りつけることです。ここでファイルの中身が表示されたら、そのリンクは世界中の誰でも開ける状態にあります。設定画面に何と書いてあるかよりも、この結果のほうが事実に近いです。
同じことを、社内の別の部署のアカウントでもやります。閲覧できてはいけない人が閲覧できてしまう状態は、権限の設定を継ぎ足していくうちに生まれます。特に、フォルダ単位で権限を与えたあとに個別のファイルを移動させると、意図しない継承が起きます。
この確認を、四半期に1回、受付の担当者が自分でやる。これだけで、放置されたリンクの大半は見つかります。手順を紙に書いて、担当が替わっても続くようにしておくと、属人化を避けられます。
共有リンクの一覧を出せるかを確かめる
もう1つ確かめたいのは、いま生きている共有リンクの一覧を、管理者として出せるかどうかです。出せるサービスであれば、棚卸しの作業はその一覧を上から見ていくだけになります。出せない場合は、フォルダを1つずつ開いて確認することになり、件数が増えると現実的でなくなります。
受付の件数が月に100件を超えるあたりから、この差が効いてきます。一覧が出せない仕組みで運用していると、棚卸しをやめてしまうからです。やめた瞬間に、生きたリンクの数は増える一方になります。
誰が開いたかの記録を見る
閲覧の記録が残る仕組みであれば、それも確認の材料になります。想定していない相手が開いていないか、想定していない時間帯にアクセスが集中していないか、といった見方ができます。ただし記録は、あとから見る人がいて初めて意味を持ちます。記録があること自体で安心してしまうと、実質は無いのと同じです。
月に1回、記録を10分だけ眺める時間を決めておく。それくらいの軽さでないと続きません。異常を見つけたときに誰へ知らせるかを、その場で決めておくところまでが準備です。
消し方は3つの意味を持つ
「消しました」という報告は、実務では3つの状態のどれかを指しています。この3つを区別せずに使うと、消したつもりのものが残ります。
1つ目は、画面から見えなくなった状態です。ごみ箱に入っただけで、実体は残っており、復元できます。2つ目は、ごみ箱からも消えて、通常の操作では戻せない状態です。3つ目は、バックアップや版の履歴からも消えて、どこからも復元できない状態です。
ごみ箱と版履歴を必ず確かめる
ファイルを消したあとに残る場所は、主に3か所あります。ごみ箱、版の履歴、そしてバックアップです。ごみ箱には自動で削除されるまでの日数が設定されていることが多く、その日数が過ぎるまでは残ります。版の履歴は、上書きした前の状態を保持する仕組みなので、消したい情報が古い版に残ることがあります。
消す作業をするときは、この3か所を順に確かめます。手順としては、対象のファイルを消す、ごみ箱を空にする、版の履歴が残る仕組みかどうかを確かめる、という順です。バックアップについては、多くの場合すぐには消せないので、バックアップの保持期間が過ぎるまでは残ることを前提に考えます。
消した記録を残す
いつ、誰が、どのファイルを、どういう理由で消したかを記録しておくと、あとから問い合わせが来たときに答えられます。応募者から、提出した書類はもう消えているのかと聞かれる場面は実際にあり、そのときに「たぶん消えています」としか言えないのは、窓口として弱い状態です。
記録は複雑なものでなくてかまいません。日付、対象、実行した人、根拠となる規程、この4項目があれば足ります。受付から保管、削除までが1つの仕組みの中で完結していれば、この記録は自動で残せます。逆に、受付と保管と削除が別々の道具に分かれていると、記録も分かれ、突き合わせる作業が発生します。
相手の手元にあるものは消せない
前提として押さえておくべきことがあります。いったんダウンロードされたファイルは、こちらから消せません。閲覧だけを許してダウンロードを禁じる設定がある場合でも、画面を撮られれば同じことです。
だからこそ、渡す前の段階で範囲を絞ることに意味があります。全員に全部を渡してから管理しようとすると、管理しきれません。見せる相手を絞る、見せる期間を区切る、そもそも渡さずに受付の画面で見てもらう。この順で考えるのが実務的です。
応募者や申請者に説明できる状態にしておく
受け取る側の守り方は、受付の画面で相手に伝わっている必要があります。何も書かれていない入力欄に身分証の写真を上げてくださいと言われて、不安を覚えない人はいません。
受付の画面に書いておく4項目
書いておきたいのは、集める目的、見る人の範囲、保管する期間、問い合わせ先の4つです。長い文章は読まれないので、それぞれ1行で足ります。「選考の判断にのみ使います」「人事担当の3名が見ます」「選考終了後6か月で削除します」「問い合わせはこちらへ」という程度で、相手の不安はかなり下がります。
ここで書いた内容は、実際の運用と一致していなければ意味がありません。6か月で削除すると書いたなら、6か月で削除する仕組みが要ります。書いたことを守れる範囲でしか書かない、というのが原則です。
アカウント登録を求めない形にする
ファイルを安全に受け取ろうとして、応募者や申請者にアカウント登録を求める形にすると、そこで手続きをやめる人が出ます。守るための施策が、受付そのものを細らせるのは本末転倒です。
回答者側は登録なしで送れて、受け取る側だけがログインして管理する。この形が、応募を減らさずに管理を効かせる落とし所になります。フォームの道具を比べるときは、この非対称がどう実現されているかを見ると差がわかります。すでに使っている道具との違いを確かめるにはGoogleフォームとの比較で受付から管理までの流れの違いを見ておくと判断しやすくなります。自社サイトに埋め込むプラグインで受けている場合の考え方はContact Form 7との比較に整理されています。社内の基盤に合わせて選んでいる場合はMicrosoft Formsとの比較も同じ観点で見比べられます。
漏れたかもしれないと気づいたときの動き方
準備の話をしても、起きるときは起きます。大事なのは、気づいてからの最初の1時間で何をするかです。
止める、数える、知らせる
最初にやるのは、広がりを止めることです。該当する共有リンクを無効にする、権限を外す、公開の設定を戻す。この操作は、原因を突き止める前にやってかまいません。原因の調査は、止めたあとでできます。
次に、範囲を数えます。どのファイルが、どの期間、誰が見られる状態にあったのか。閲覧の記録が残っていれば、実際に開かれたかどうかも確かめられます。この段階で、対象になった人の人数と、含まれていた情報の種類を書き出します。
そのうえで、社内の責任者に知らせます。窓口の担当者だけで抱え込むと、判断が遅れます。個人情報が含まれる場合には、法律にもとづく報告や、本人への通知が必要になる場面があります。
個人情報取扱事業者は、その取り扱う個人データの漏えい、滅失、毀損その他の個人データの安全の確保に係る事態であって個人の権利利益を害するおそれが大きいものとして個人情報保護委員会規則で定めるものが生じたときは、個人情報保護委員会規則で定めるところにより、当該事態が生じた旨を個人情報保護委員会に報告しなければならない。 出典: 個人情報保護委員会
どの事態がこれにあたるのか、報告が必要かどうか、期限はいつまでかといった判断は、含まれていた情報の内容や件数によって変わります。記事の一般論で断定できる範囲を超えるので、実際に起きたときは個人情報保護委員会の案内を確かめたうえで、社内の法務や外部の専門家に相談してください。
起きる前に決めておくこと
事故の対応で時間を食うのは、判断の場面ではなく、連絡先を探している時間です。誰に知らせるか、誰が判断するか、対外的な連絡は誰が出すか。この3つを紙に書いて、受付の担当者が見える場所に置いておく。準備としてはそれで足ります。
あわせて、共有リンクを一括で無効にする操作の場所も、事前に確かめておきます。慌てているときに設定画面を探すことになると、止めるまでの時間が延びます。
受付の道具を見比べるときの視点
ここまでの話は、どれも道具の選び方に跳ね返ります。フォームを比べるとき、入力欄の作りやすさや見た目の話に目が行きがちですが、ファイルの受け取りとセキュリティで効いてくるのは、送信されたあとの部分です。
見るべきなのは「届いたあと」の4点
比較の観点として使えるのは、次の4点です。1つ目は、受け取ったファイルが受付の画面の中で開けるかどうか。ここで開ければ、複製が増えません。2つ目は、共有リンクに期限を付けられるかどうか、そして期限切れの挙動が確かめられるかどうか。3つ目は、いま誰が見られるのかを一覧で出せるかどうか。4つ目は、消したときにどこまで消えるのかがはっきりしているかどうか。
この4点は、どれも受付の件数が増えてから効いてきます。月に10件の受付なら手作業で管理できますが、100件を超えると手作業の管理は続かないと言われています。件数が増えたときに何が壊れるかを想像して選ぶと、あとで乗り換える手間を減らせます。
窓口の性質で必要なものが変わる
同じ「ファイルを受け取る」でも、窓口によって守りたいものは違います。問い合わせの窓口では、添付されるファイルの種類が読めないので、受け取れる形式と容量の制限をどこに置くかが論点になります。この種の窓口の設計は問い合わせの受付にまとまっています。
イベントや講座のように、参加者の人数が読めて、集める情報が定型のものは、保管期間を短く区切りやすい種類です。申し込みの受付から当日までの流れはイベントの申し込みと講座の受講申し込みにそれぞれ整理されています。施設の利用申請のように、身分の確認を伴うものは、見る人の範囲を絞る必要が強く出ます。この形は施設利用の申請が近いです。
会員の入会のように、受け取った情報をそのまま台帳として使い続けるものは、削除ではなく更新の設計が主になります。会員の入会申し込みではその流れを扱っています。修理やサポートの受付では、写真や動画が添付されることが多く、容量と保管期間の設計が要ります。修理・サポートの受付がその形です。
自分の窓口がどれに近いかを決めてから、必要な機能を並べる。この順にすると、機能の一覧を上から眺めて迷う時間が減ります。実際の画面での動きを見てから判断したい場合は動くところを見るで受付から管理までの流れを確かめられますし、費用の考え方は料金にまとまっています。運用にあたって迷いやすい点はよくある質問に集められています。
完璧を目指さずに、危ない順に潰す
最後に、優先順位の話をしておきます。この記事で挙げた項目を全部やろうとすると、受付の業務が止まります。効果の大きい順に並べると、次のようになります。
いちばん最初にやるべきは、いま生きている共有リンクのうち、ログインなしで開けるものを探して切ることです。次に、これから発行するリンクに期限を付ける習慣をつけること。3つ目に、受け取ったファイルの置き場所を1か所に寄せること。4つ目に、保管期間を決めて、受付の画面に書くこと。5つ目に、四半期ごとの確認を予定に入れること。
この5つのうち、最初の1つだけでも、実際の危うさはかなり下がります。手を付ける順番を決めずに全体を眺めていると、どれも始まりません。今日できるのは、シークレットウィンドウを開いて、手元にある共有リンクを1本貼りつけてみることです。そこで何が見えるかが、いまの状態を正確に教えてくれます。
Q1. パスワード付きの圧縮ファイルをメールで送る方法は、いま使ってもよいですか？
同じ経路でファイルとパスワードを2通送るなら、経路を分けた意味は薄くなります。受け取る側の環境によっては、暗号化された添付がウイルス検査の対象外になる設定もあります。使い続けるかどうかは、その運用で何を守りたいのかを整理したうえで、期限付きの共有リンクや受付画面での確認と比べて決めるのが確実です。
Q2. 共有リンクの期限は何日にすればよいですか？
案件の完了予定日ではなく、その相手が見る必要がなくなる日で決めます。目安としては外部へ渡すリンクは7日、社内の確認用は30日、審査が長引くものでも90日で一度切って再発行する形が扱いやすいです。設定する前に、期限切れでリンクだけが無効になるのか、ファイル自体が消えるのかをテスト用のファイルで確かめてください。
Q3. いま誰がファイルを見られるのかは、どう確かめますか？
シークレットウィンドウを開き、どのアカウントにもログインしていない状態で共有リンクを貼りつけます。ここで中身が表示されたら、リンクを知っている人は誰でも開けます。設定画面の表示より、この結果のほうが事実に近いです。四半期に1回、受付の担当者が自分でやる手順として紙に残しておくと続きます。
Q4. 応募者から、提出した書類はもう消えているのかと聞かれたら、どう答えますか？
受付の画面に保管期間を書いておき、その期間どおりに削除する仕組みを先に作っておきます。削除の記録として日付、対象、実行した人、根拠の4項目を残しておけば、問い合わせにその場で答えられます。ごみ箱や版の履歴、バックアップに残る分があるかどうかも、あらかじめ確かめておいてください。