2026年11月、サントリーグループが利用する外部クラウドサービスへの不正アクセスにより、従業員やパートナー企業の従業員など約9万名分の氏名・メールアドレスが漏えいした可能性があると公表されました。クラウドサービスは便利な一方で、使い方や設定を誤ると社外の第三者に情報が渡り、取引先への通知や個人情報保護委員会への報告といった対応に追われることになります。
自社でも複数のSaaSやクラウドストレージを使っていると、「どこから情報が漏れるのか」「自社は何をすれば防げるのか」が見えにくいものです。原因の全体像が分からないままでは、自社の環境のどこに穴があるのか見当がつきません。
本記事では、クラウドサービスから情報漏洩が起きる主な原因と経路を整理し、実際に起きた事例、自社で今すぐ確認できる対策の点検リスト、そして「事業者側の事故でも自社に残る責任」の線引きまでを解説します。クラウド経由の情報漏洩を防ぐための検討材料としてご活用ください。
目次
一括ダウンロードする
クラウドサービスから情報漏洩が起きる主な原因・経路
ここからは、クラウドサービスから情報が漏れる主な原因と経路を、類型ごとに整理します。実際の漏えいは複数の原因が重なって起きることも多いため、まず全体像をつかみ、自社の使い方に当てはまる経路を把握することが出発点になります。
- アクセス権限・共有設定のミス：クラウドストレージの共有リンクを「リンクを知っている全員が閲覧可」に設定したまま放置する、フォルダの公開範囲を誤るなど、設定の不備で意図せず第三者が閲覧できる状態になるケースです。
- アカウントの乗っ取り・不正アクセス：パスワードの使い回しやフィッシングでIDとパスワードを盗まれる、多要素認証を設定していない、退職者のアカウントを残したままにするなどが入口になり、正規のアカウントとしてログインされます。
- 脆弱性・サイバー攻撃：クラウド上で公開しているアプリケーションやAPIの未修正の脆弱性を突かれる、ランサムウェアに感染してデータを暗号化・窃取されるといった攻撃です。
- 内部不正：正規のアクセス権を持つ従業員や退職予定者が、業務で扱えるデータを意図的に持ち出すケースです。権限があるため検知が難しいのが特徴です。
- 人的ミス・誤送信・シャドーIT：宛先を誤ってファイルを送る、会社が把握していないクラウドサービス（シャドーIT）に業務データを保存する、といった日常業務の中で起きる漏えいです。
- 委託先・クラウド基盤経由の波及：自社が直接運用していないクラウド事業者や業務委託先で起きた不正アクセスが、自社の預けた情報にまで及ぶケースです。自社に非がなくても、預けた情報が漏れれば利用企業として対応を迫られます。
設定ミスばかりが注目されがちですが、実際には不正アクセス・内部不正・委託先経由など複数の経路があります。規模の大小を問わず、無料プランのストレージの共有リンクや、退職者アカウントの放置といった身近な入口からも起こります。次章では、代表的な原因が実際にどのように漏えいにつながったのかを、公表された事例で確認します。
実際に起きたクラウド経由の情報漏洩事例
ここでは、自社利用サービスへの不正アクセス・クラウドの設定ミス・委託先事業者側の事故という3つの経路について、公表された実例を紹介します。クラウド経由の情報漏洩が、特定の業種や企業規模に限らず起きていることが確認できます。
外部クラウドサービスへの不正アクセス（サントリーグループ、2026年11月公表）
サントリーグループは、2026年11月2日、グループが利用する外部クラウドサービスに第三者が不正アクセスし、個人情報を含むファイルがダウンロードされた可能性があると公表しました。異常を検知したのは10月28日で、不正アクセスを遮断したうえで調査を開始したとされています。
11月1日までに漏えいが確認された情報は、従業員とパートナー企業などの従業員の氏名・メールアドレス約9万名分のほか、2026年新卒採用の応募者7,173名分の氏名・メールアドレス・電話番号、体験プログラム顧客のメールアドレス7,323名分など、7区分にわたります。決済情報は含まれず、現時点で個人情報が不正に利用された事実は確認されていないとされ、同社は個人情報保護委員会へ速報を報告しています。
不正アクセスを受けた外部クラウドサービスの名称や用途は公表されていませんが、自社が直接運用していない外部サービスでも、そこに預けた情報が漏れれば、利用企業として個人情報保護委員会への報告や対象者への連絡が必要になることを示す事例です。
クラウド環境の設定ミスによる誤公開（マイナビ、2025年10月公表）
株式会社マイナビは2025年10月3日、社員に貸与している社給端末を管理するクラウド環境でアクセス権限の誤設定があり、2022年11月26日から2025年9月2日までの間、第三者がアクセス可能な状態になっていたと公表しました。
対象は社員の氏名・社員番号・所属部署・付与したメールアドレスなど14,762件で、9月2日に発覚し同日中に権限を再設定、現時点で不正アクセスの形跡は確認されていないとしています。
外部からの攻撃がなくても、クラウドの共有・公開設定を誤るだけで、長期間にわたって情報が外部から見える状態になり得ることを示す事例です。
こうした設定不備による誤公開は特定の企業に限った話ではなく、JIPDEC（一般財団法人日本情報経済社会推進協会）も2026年4月、Google ドライブやMicrosoft 365などのクラウドサービスで、共有リンクの範囲が「リンクを知っている全員が閲覧可」になっているケースが増えているとして注意喚起しています。
出典・参考資料（2件）
委託先クラウド事業者への不正アクセス（さくらさくみらい、2026年9月公表）
保育園を運営する株式会社さくらさくみらいは2026年9月7日、同社が利用する委託先のクラウドサービス事業者のシステムに不正アクセスがあったと公表しました。自社の一部サーバーのパスワード情報がこの不正アクセスを受けた環境に保存されていたため、流出した可能性があるとされています。
委託先から連絡を受けたのは8月31日で、保育ICTシステムに登録された保護者の情報や見学・体験の申込情報は委託先のサーバーを使っていないため、影響の範囲外としています。
同社はまず、流出した可能性のあるサーバーと、関連するメールアカウント164件のパスワードを変更しました。あわせてアクセスログを調査し、DNSレコード（ドメインとサーバーの対応情報）の改ざんなど不正な設定変更がないことを確認しています。さらに委託先の管理画面のパスワードを変更して二要素認証を再確認したうえで、外部専門家や委託先と連携して調査を続けており、現時点で二次被害は確認されていません。
自社が直接運用していない委託先の事業者で起きた不正アクセスであっても、そこに預けた情報が影響を受ければ、利用企業としてパスワードの変更やログ調査、取引先・対象者への注意喚起といった対応が必要になります。委託先任せにせず、どの情報をどの事業者に預けているかを把握しておくことが、事故発生時の初動につながります。
出典・参考資料（2件）
自社で今すぐできるクラウド情報漏洩対策の点検リスト
ここからは、クラウド経由の情報漏洩を防ぐために自社で確認できる点検項目を整理します。IPAが2026年10月に公表した「速やかに実施すべき対策」では、まず自組織の状況を点検することが求められています。自社の環境に照らして、できている項目とできていない項目を確認しながら読み進めてください。
- 利用しているクラウドサービスを洗い出す：会社として契約・利用している外部サービスをすべて把握し、現場が勝手に使っているサービス（シャドーIT）がないかを確認します。
- アクセス権限を最小限にし、定期的に棚卸しする：業務に必要な範囲だけに権限を絞り、退職者や異動者のアカウント・権限が残っていないかを定期的に見直します。
- 多要素認証を有効にする：ID・パスワードだけに頼らず、クラウドサービスのログインに多要素認証を設定し、乗っ取りのリスクを下げます。
- 共有範囲・公開設定を見直す：ファイルやフォルダの共有リンクが「全員が閲覧可」になっていないか、社外公開の設定が意図したものかを確認します。
- ログを取得し、保持期間と内容を見直す：誰がいつ何にアクセスしたかのログを取得し、不審な挙動を早期に検知できる状態にします。アカウントに異常（作成した覚えのないアカウントなど）がないかも点検します。
- 保存データを暗号化し、保有の是非を見直す：重要なデータは暗号化し、そもそも持ち続ける必要があるか、保管場所は適切かを再検討します。
- 公開アプリケーションの脆弱性・パッチを確認する：外部に公開しているアプリケーションやサービスに未適用の脆弱性対応パッチがないかを点検します。
- 従業員教育を継続する：フィッシングや誤送信を防ぐため、クラウド利用時の注意点を定期的に周知します。
事業者・サービスを選ぶときに確認する観点
自社の運用だけでなく、預け先となるクラウド事業者を選ぶ段階でも確認しておきたい観点があります。次のような点を、契約前や見直しのタイミングで確認しておくと、後から「想定と違った」という事態を避けやすくなります。
- セキュリティ認証の有無：ISMS（ISO/IEC 27001）やクラウドサービス向けのISO/IEC 27017、政府情報システム向けのクラウドサービス登録制度（ISMAP）などの認証・登録状況を確認します。
- セキュリティ機能：多要素認証・アクセス制限・ログ取得・暗号化といった、自社の対策に必要な機能が備わっているかを確認します。
- インシデント発生時の対応体制と通知条件：不正アクセスなどが起きたときに、どの範囲を・いつまでに・どのように利用企業へ通知するのかを確認します。事業者から情報が届かないと、自社の報告対応が遅れるためです。
事業者側の事故でも残る自社の責任（責任共有モデルと報告義務）
「クラウドだから事業者が守ってくれる、自社は関係ない」と考えてしまいがちですが、実際にはそうではありません。クラウドのセキュリティは、事業者と利用者がそれぞれの役割で責任を分担する「責任共有モデル」という考え方で成り立っています。
クラウドサービスの情報セキュリティを高めるためには、クラウドサービス事業者とクラウドサービス利用者が協力して、クラウドサービスに対する責任を共有する必要がある。この責任を共有するという考え方（責任共有モデルと呼ぶ）を多くのクラウドサービス事業者が採用している。
出典：クラウドサービス利用・提供における適切な設定のためのガイドライン（別紙2）｜総務省
どこまでが事業者の責任で、どこからが利用者か
責任の分担は、利用するサービスの形態によって変わります。一般に、SaaSのように完成したアプリケーションを使う場合は事業者が担う範囲が広くなり、IaaSのように基盤だけを借りて自社で環境を構築する場合は、OSやアプリケーションの設定・運用など利用者が担う範囲が広がります（PaaSはその中間にあたります）。
ただし、どの形態でも、アカウントの管理・アクセス権限の設定・共有範囲の指定といった「利用者側の設定」は利用者の責任として残るのが基本です。実際に、前章で挙げた設定不備による誤公開は、いずれも利用者側の設定に起因します。事業者を選ぶだけでは守りきれず、自社側の運用を整えることが欠かせません。
また、個人情報保護法は、個人データの取扱いを外部に委託する企業に対して、委託先を監督する義務を課しています。
個人情報取扱事業者は、個人データの取扱いの全部又は一部を委託する場合は、その取扱いを委託された個人データの安全管理が図られるよう、委託を受けた者に対する必要かつ適切な監督を行わなければならない。
出典：個人情報の保護に関する法律 第25条｜e-Gov 法令検索
クラウド事業者に個人データの取扱いを委ねることは、法律上の「委託」にあたり得ます（委ねる自社が委託元、預かるクラウド事業者が受託者です）。その場合、利用企業は事業者を選ぶだけでなく、安全管理が図られているかを監督する立場に置かれます。「事業者に任せたから自社は無関係」とは言えないのは、このためです。
漏えい時の報告義務・本人通知と委託先の監督義務
個人データの漏えい等が起きたとき、個人情報取扱事業者は、個人の権利利益を害するおそれが大きい一定の事態について、個人情報保護委員会への報告と本人への通知が義務づけられています（個人情報保護法第26条）。報告の対象となるのは、施行規則第7条が定める次の4つの類型です。
- 要配慮個人情報が含まれる個人データの漏えい等（高度な暗号化等の措置を講じたものを除く）
- 不正に利用されることにより財産的被害が生じるおそれがある個人データの漏えい等
- 不正の目的をもって行われたおそれがある行為による個人データの漏えい等
- 本人の数が1,000人を超える漏えい等
不正アクセスによる漏えいは、3つ目の「不正の目的をもって行われたおそれがある行為」に当たりやすく、クラウド経由の情報漏洩では特に注意が必要です。これらの類型は「発生したおそれがある事態」も含むため、確定前でも報告対象になり得ます。
報告は2段階で行います。施行規則第8条は、事態を知った後「速やかに」行う速報と、知った日から30日以内（不正の目的による事態の場合は60日以内）に行う確報を定めています。この「速やかに」の日数の目安について、個人情報保護委員会のガイドライン（通則編）は次のように示しています。
「速やか」の日数の目安については、個別の事案によるものの、個人情報取扱事業者が当該事態を知った時点から概ね 3～5 日以内である。
出典：個人情報の保護に関する法律についてのガイドライン（通則編）｜個人情報保護委員会
委託先であるクラウド事業者で漏えいが起きた場合はどうなるのでしょうか。個人情報保護法第26条第1項のただし書は、委託を受けた事業者（受託者）が、その事態が生じた旨を委託元へ通知したときは、受託者自身の報告義務を免れると定めています。この結果、事業者が利用企業へ通知すれば、個人情報保護委員会への報告義務は委託元である利用企業側に残ります。
「事業者側の事故でも自社に報告義務が残る」のは、この条文に基づくものです。本人への通知義務（第26条第2項）も、本人への通知が困難な場合は、事案の公表など本人の権利利益を保護するための代替措置をとることが認められています。
実際に自社で漏えいが発覚したときに、初動の封じ込めから個人情報保護委員会への報告、本人通知、再発防止までをどの順で進めればよいかは、以下の記事で対応フローとして整理しています。
一括ダウンロードする
原因別の打ち手と対応する製品カテゴリ
ここまで見てきた原因は、それぞれに有効な対策の方向性と、それを支える製品カテゴリが対応しています。自社の環境で手に負えない範囲は、専用のサービスに任せる選択肢もあります。原因・経路ごとに、必要な打ち手と対応する製品カテゴリを整理します。
| 原因・経路と打ち手・製品カテゴリ | 設定ミス・公開範囲の誤り／シャドーIT | アカウント乗っ取り・不正アクセス | 内部不正・人的ミス・誤送信 | 脆弱性・サイバー攻撃（ランサムウェア等） |
|---|---|---|---|---|
| 主な打ち手 | 利用中のSaaSの可視化・棚卸し、公開ファイルの検出と共有停止、未許可サービスの検知 | 多要素認証・パスワードレス認証、アクセス制限、退職者アカウントの棚卸し | 操作ログの記録・可視化、外部メディア制限、持ち出しの検知・制御 | 端末の防御・検知と対応、脆弱性管理、バックアップ |
| 対応する製品カテゴリ | SaaS管理（SSPM）／CASB・CSPM | ID基盤（IDaaS・SSO・ID管理） | 操作ログ管理・資産管理／DLP（情報漏洩対策） | EPP・EDR／脆弱性診断 |
※上記は原因と打ち手・製品カテゴリの対応の一例です。製品によって守備範囲は異なるため、個別のサービスの対応領域は各社情報をご確認ください。
SaaS管理（SSPM）は、どのクラウドサービスを誰が使っているかを可視化し、設定ミスや未許可利用を見つける役割を担います。ID基盤（IDaaS）は、ログインの認証を強化してアカウントの乗っ取りを防ぎます。操作ログ管理は、社内での操作や持ち出しを記録して内部起点の漏えいに備えます。いずれも「どの原因に備えたいか」から選ぶのが基本です。
このうち、クラウド特有の設定ミスやシャドーITに効くSaaS管理（SSPM）は、CASBやCSPM（クラウドの利用状況や設定を監視する仕組み）といった似た役割の製品と守備範囲が重なり、違いがわかりにくい領域です。SSPM・CASB・CSPMの役割の違いと製品の選び方は、以下の記事で詳しく解説しています。
SSPMとは？SaaSの設定不備を見つける製品18選を比較｜CSPM・CASBとの違いと選び方を解説
Microsoft 365 の共有設定、Salesforce の権限、Slack の外部連携アプリ。SaaS が増えるたびに管理画面がひとつ増え、設定が今どうなっているかを確かめるには、そのすべてを順番に開いていくしかありません。退職者のア…
クラウドの情報漏洩対策に役立つサービス
ここからは、前章で整理した原因別の打ち手に対応するサービスを紹介します。本記事では、アカウントの保護（ID基盤）、社内での操作の記録（操作ログ管理）、SaaSの可視化（SaaS管理）という3つの切り口から代表的なサービスを取り上げます。脆弱性・ランサムウェア対策のEPP・EDR（端末のウイルス対策・侵入検知）は端末側で守る領域のため、記事末尾の比較記事もあわせてご覧ください。
| サービス名 | CloudGate UNO | Eye"247" Work Smart Cloud | マネーフォワード Admina |
|---|---|---|---|
| 対応する主な原因・経路 | アカウント乗っ取り・不正アクセス | 内部不正・人的ミス・誤送信 | 設定ミス・公開範囲の誤り／シャドーIT |
| 製品カテゴリ | ID基盤（IDaaS・SSO・ID管理） | 操作ログ管理・IT資産管理 | SaaS管理（SSPM）・IT資産管理 |
| 主な機能 | SSO・多要素認証 パスキー（FIDO2）によるパスワードレス認証 端末・場所・時間のアクセス制限 | PC操作ログを1分間隔で記録・可視化 URL・ファイル・印刷・USBの操作ログ 外部メディアの使用制限 | SaaS可視化・シャドーIT検知 外部公開ファイルの検出・共有停止 退職者アカウントの検知・削除 |
| 提供形態 | クラウド型（SaaS） | クラウド型（SaaS） | クラウド型（SaaS） |
| 初期費用 | 要問い合わせ（別途発生） | 無料 | 要お問い合わせ |
| 月額費用 | 1ユーザー月400円〜（税抜） Standard Plus 400円／Enterprise Plus 500円／Smart Pack 600円 | 1台月400円〜（税別・従量制） 100台以上400円／50〜99台500円（最低5台） | 50ID以下は無料 51ID以上は1ID月300円 |
| 無料トライアル | 30日間 | 14日間 | 14日間 |
| 詳細情報 | 公式資料を見る | 公式資料を見る | オンライン相談を予約 |
1. CloudGate UNO（株式会社インターナショナルシステムリサーチ）
CloudGate UNOは、株式会社インターナショナルシステムリサーチが自社開発するクラウド型のID基盤（IDaaS）です。一度の認証で複数のクラウドサービスへアクセスできるシングルサインオン（SSO）に、多要素認証やアクセス制限を組み合わせ、アカウントの乗っ取りによる不正アクセスを防ぎます。
認証方式には、フィッシングへの耐性が高いパスキー（FIDO2）によるパスワードレス認証を採用し、全プラン・全ユーザーで利用できます。アクセス制限は「端末・場所・時間」の3つの軸で設定でき、私用端末からのアクセス禁止や時間帯による制御が可能です。
設定リスクを「脆弱・許容・良好」の3段階で可視化するリスク評価機能も備え、設定ミスによる漏えいの予防にも役立ちます。月額料金は1ユーザーあたり400円から（税抜、Standard Plus）で、30日間の無料体験が用意されています（2026年11月時点の公式情報）。
設定ミスが漏えいの入口になりやすい点について、同社の平澤氏は次のように話します。
2. Eye“247” Work Smart Cloud（株式会社フーバーブレイン）
株式会社フーバーブレインが提供するEye“247” Work Smart Cloudは、PCの操作ログから「誰が・いつ・どれだけ・何を操作したか」を1分間隔で記録・可視化するクラウド型サービスです。内部不正や人的ミスによる情報漏洩を、記録と制御の両面から抑える用途に向いています。
記録できるのは、Webの閲覧履歴（URL操作ログ）、ファイル操作、印刷、USBなど外部メディアの使用履歴、クリップボード操作などです。外部メディアの使用禁止や書き込み時のパスワード保護、利用禁止ソフトウェアの制御といったデバイス制御も行えます。
初期費用は無料で、月額は契約台数に応じた1台あたりの従量制（税別、100台以上で400円から、最低5台）、14日間の無料トライアルがあります（2026年11月時点の公式情報）。
3. マネーフォワード Admina（マネーフォワードｉ株式会社）
マネーフォワード Adminaは、マネーフォワードｉ株式会社が提供するSaaS管理・IT資産管理のプラットフォームです。従業員を軸に、どのクラウドサービスを誰が使っているかを可視化し、情報システム部門が把握できていないサービス（シャドーIT）を検知します。設定ミスや管理漏れによる漏えいの原因を、使われているサービスの棚卸しという入口から抑えます。
Google ドライブやBox、OneDriveなどで意図せず社外公開になっているファイルを検出し、Admina上から共有を停止できます。従業員マスターと連携したアカウント管理では、退職者のアカウントを検知して削除でき、放置アカウント経由の漏えいを防ぎます。
ただし、Adminaはログイン認証そのものを担うSSO・多要素認証の製品ではなく、SaaSの可視化と管理を担うサービスです。認証の強化は、前述のID基盤と組み合わせて考えるのが適しています。
ここで取り上げた3サービスのほかにも、守りたい対象（ID・端末・ログ・SaaSなど）に応じて選べる社内セキュリティサービスは数多くあります。自社の課題に合うタイプを見極めて比較検討したい場合は、タイプ別の違いと代表サービス・選び方をまとめた以下の記事もあわせてご覧ください。
社内セキュリティソリューション比較｜守る対象別のタイプ・代表サービスと選び方
社内のセキュリティを強化したいものの、端末の保護から不正アクセス対策、情報漏えいの防止まで課題が広く、何から手をつければよいか判断がつかないという声は少なくありません。テレワークやクラウド利用が定着し、社外に持ち出される端末やIDが増えたこ…
まとめ
クラウドサービスからの情報漏洩は、設定ミス・アカウントの乗っ取り・脆弱性を突いた攻撃・内部不正・人的ミス・委託先経由と、複数の経路で起こります。まず自社が使っているクラウドサービスを洗い出し、アクセス権限・多要素認証・公開範囲・ログ・暗号化を点検することが、今すぐできる第一歩です。
事業者側の事故であっても、利用企業には委託先の監督義務や、個人情報保護委員会への報告・本人通知の義務が残ります。「事業者に任せたから安心」ではなく、責任共有モデルの考え方で自社の役割を押さえておくことが大切です。自社だけでは手が回らない範囲は、ID基盤・操作ログ管理・SaaS管理といったサービスを原因別の打ち手として検討してみてください。
一括ダウンロードする
よくある質問（FAQ）
Q. クラウドサービスからの情報漏洩とは何ですか？
A. クラウドサービスからの情報漏洩とは、SaaSやクラウドストレージなど外部のクラウドに預けた情報が、設定ミス・不正アクセス・内部不正・委託先経由などの経路で第三者に渡ってしまうことです。
自社のサーバーではなく事業者のクラウド上で起きるのが特徴で、原因が自社側の運用にある場合と、事業者側の事故による場合の両方があります。どちらであっても、預けた情報が漏れれば利用企業として対応を迫られる点が、オンプレミス（自社運用）の漏えいと異なります。
Q. クラウドサービスで情報漏洩が起きたら、どこへいつまでに報告が必要ですか？
A. クラウドサービスで一定の個人データの漏えいが起きた場合、個人情報保護委員会への報告と本人への通知が義務づけられ、報告は「速やかに」行う速報と、原則30日以内（不正アクセスなど不正の目的による場合は60日以内）の確報の2段階で行います（個人情報保護法第26条、施行規則第8条）。
報告対象になるのは、要配慮個人情報を含む／不正に利用されると財産的被害が生じるおそれがある／不正の目的による／本人が1,000人を超える、のいずれかに当たる漏えい等です（施行規則第7条）。
速報の「速やかに」の日数の目安は、個人情報保護委員会のガイドライン（通則編）で、事態を知った時点から概ね3〜5日以内とされています（法令上の日数ではなくガイドラインの目安です）。業種によっては、監督官庁への報告も必要になる場合があります。
出典・参考資料（3件）
Q. 利用しているクラウド事業者側の事故でも、自社に報告義務は残りますか？
A. クラウド事業者側の事故であっても、その事業者が個人データの取扱いを委託された立場（受託者）で、漏えいが生じた旨を委託元である自社へ通知した場合、個人情報保護委員会への報告義務は委託元である自社に残ります（個人情報保護法第26条第1項ただし書）。
さらに、個人データの取扱いを外部に委託する企業には、委託先が安全に管理できているかを監督する義務もあります（同法第25条）。クラウド事業者に個人データを委ねることは法律上の「委託」にあたり得るため、「事業者に任せたから自社は無関係」とは言えません。また、本人への通知が困難な場合は、事案の公表など本人の権利利益を保護する代替措置をとることが認められています。
出典・参考資料（1件）
Q. クラウド上の情報を不正に持ち出した社員は、どのような罰則を受けますか？
A. 従業者や元従業者が業務で扱った個人情報データベース等を、自己や第三者の不正な利益を図る目的で提供・盗用した場合、個人情報データベース等不正提供罪として、1年以下の拘禁刑または50万円以下の罰金の対象になります（個人情報保護法第179条）。
加えて、両罰規定により、その社員を雇用する法人も1億円以下の罰金刑の対象となり得ます（同法第184条）。クラウドは正規のアカウントで持ち出されると検知が難しいため、操作ログの記録やアクセス権限の最小化といった仕組みで、持ち出し自体を抑止・検知できる状態にしておくことが重要です。
出典・参考資料（1件）
Q. 生成AIの利用からもクラウド経由で情報漏洩は起きますか？
A. 生成AIの利用でも、入力した情報の学習利用や会話履歴、提供元サービスの不具合、アカウントの乗っ取りなどを経路として、クラウド経由の情報漏洩は起こり得ます。
多くの生成AIはクラウド上のサービスとして動くため、業務データを入力する前に、入力内容が学習に使われない設定になっているか、アクセスを管理できるかを確認しておくと安全です。会社が把握していない生成AIの業務利用（シャドーIT）も漏えいの入口になるため、利用してよいサービスと使い方を社内で定めておくことが対策になります。
Q. クラウドストレージの共有設定が安全かどうかは、どう確認すればよいですか？
A. クラウドストレージの共有設定は、各ファイル・フォルダの共有範囲が「リンクを知っている全員が閲覧可」や「一般公開」になっていないかを管理画面で確認し、社外との共有を必要な相手だけに絞ることで点検できます。
Google ドライブ・OneDrive・Box・Dropboxなどには、組織全体で外部に公開されているファイルを一覧で確認・制限できる管理機能があります。
共有リンクは一度第三者に渡ると転送や再共有で広がるため、有効期限やパスワードの設定、不要になったリンクの失効もあわせて見直すと安全です。利用するクラウドが多く手作業での確認が難しい場合は、SaaS管理（SSPM）サービスで公開ファイルをまとめて検出する方法もあります。
Q. クラウドの情報漏洩対策は、何から始めればよいですか？
A. クラウドの情報漏洩対策は、まず自社が使っているクラウドサービスを洗い出し、多要素認証の有効化・アクセス権限の棚卸し・共有範囲の点検という、追加費用なしで始められる対策から着手するのが基本です。
そのうえで、自社だけでは手が回らない範囲を原因別にサービスへ任せます。アカウントの乗っ取り対策はID基盤（IDaaS）、内部不正や持ち出し対策は操作ログ管理、シャドーITや設定ミスの可視化はSaaS管理（SSPM）が対応します。「どの原因に備えたいか」から選ぶと、必要なサービスを絞り込みやすくなります。
クラウド情報漏洩対策サービスの料金・資料を一括チェック
MCB FinTechカタログでは、ID基盤・操作ログ管理・SaaS管理など、クラウドの情報漏洩対策に役立つサービスの最新資料を無料で一括請求できます。原因別の打ち手ごとに、機能や料金を比べて検討できます。
一括ダウンロードする
MCB FinTechカタログに掲載しませんか？
MCB FinTechカタログでは、掲載企業様を募集しています。マネックスグループの金融実務ノウハウを活かした独自の評価軸と検索設計により、導入検討者が最適なサービスを効率的に発見できる法人向け比較プラットフォームです。掲載後は管理画面から料金表や導入事例を随時更新でき、常に最新の情報を訴求可能。まずは下記フォームより、お気軽にお問い合わせください。
マネックス証券 フィナンシャル・インテリジェンス部 暗号資産アナリスト
松嶋真倫
監修の範囲は記事の一般的な解説部分であり、比較表および各製品・サービスの紹介内容は監修の対象外です。
