情報セキュリティ、管理の基本　権限付与について

ファイルサーバーでのアクセス権とは？

社員が安全に、誤りなくファイルサーバーを利用するためには、管理者による適切なアクセス権設定が不可欠です。フォルダーやファイルの操作に関して異なる権限を規定し、安全な運用が行えるようにします。

アクセス権とは？

アクセス権とは、サーバーや各種システムを利用できる権利のことです。主にユーザー単位、グループ単位で設定されます。システムへのアクセスやファイルの新規作成、書き込み、削除などを行うにはアクセス権が必要です。

アクセス権は誰でも自由に設定できるものではなく、システムの管理権限を持つ一部の管理者および管理者グループのみが設定できます。

ファイルサーバーでのアクセス権の種類

アクセス権の設定は、ファイルサーバーへのアクセスに対して行うことがよくあります。この場合、管理権限者が適切な設定を行う必要があります。初期設定のままだと、全ユーザーにすべての権限を与えている状態です。
ファイルサーバーは一般的に、権限の範囲によって「読み取り」、「変更」、「フルコントロール」という3種類のアクセス権が規定されています。

「読み取り」の権限は、ファイル・フォルダ一の一覧表示やファイルの読み取りを行えます。「変更」は、「読み取り」の権限に加えて、ファイルの作成・編集（上書き）、削除、そのフォルダー配下へのフォルダーやファイル作成ができます。「フルコントロール」は、「読み取り」と「変更」の権限に加えて、所有権・アクセス権の変更ができます。自分の業務に関するファイル・フォルダーは、変更権限を持っているのが一般的です。

なぜファイルサーバーにアクセス権が必要なのか？

アクセス権の設定をしていないと、誰でもファイルサーバーにアクセスできてしまいます。情報漏洩を未然に防ぎ、意図せぬファイル・フォルダー削除を予防するには、適切なアクセス権の設定が重要です。

情報漏洩を防ぐため

アクセス権を未設定のままサーバー・システムを利用すると、すべてのユーザーがすべてのファイル・フォルダーにアクセスできる状態になります。他部門の機密情報や人事に関する個人情報が誰でも閲覧・利用できる状態は安全ではありません。場合によっては悪意を持ったユーザーが情報を盗む恐れや、本人は意図せずとも情報漏洩を起こしてしまうことも考えられます。

IPA（情報処理推進機構）が公表した調査結果では、企業で発生した営業秘密漏洩の原因としてもっとも多かったのは「中途退職者（役員・正規社員）による漏洩」、次いで「現職従業員等の誤操作・誤認等による漏洩」でした。後者は適切なアクセス権を設定することで発生を抑えられる可能性が高い項目です。
（参照：企業における営業秘密管理に関する実態調査 2020調査実施報告書
https://www.ipa.go.jp/files/000089191.pdf　28P）

人為的ミスを防ぐため

アクセス権の設定を行わず、誰もがユーザーの追加や削除ができる権限を持っていると、誤操作による大きなトラブルや業務の遅延が発生する恐れがあります。例えば重要なファイルを誤って削除、上書き保存してしまうなど、悪意がなかったとしても結果的にファイルの改ざんや消去など、大きな損害に発展する場合もあります。それ以外にも、誰もが自由にファイルやフォルダーを作成できる状態にしておくと、管理者が管理しきれなくなったり、サーバーの負荷が大きくなったりしてしまいます。

人為的なミスを防止し、ファイルやフォルダーの管理負担を軽減するためには、あらかじめアクセス権を設定しておくことが重要です。

社内の内部統制を図るため

アクセス権を設定するなどファイルサーバーが適切に運用されていないと、部門独自で別途ファイル共有サービスを契約・運用してしまう恐れがあります。そのような場合は、情報システム部門が把握できないサーバーが生まれることになり、社内の内部統制を図るうえで大きな障害となります。このようなシャドーITは、セキュリティ上、またコンプライアンス上で大きな問題となります。
シャドーITとは、システム管理者や管理部門の管理が及ばないところで使用されているさまざまな機器やソフトウェア、外部サービスなどのことで、社員が持ち込んだUSBメモリーやスマートフォン、タブレット端末なども含みます。

ファイルサーバー管理で注意すべき4つのポイント

ファイルサーバーの運用管理をスムーズに行うためには、手間を増やさないための工夫やルール作りが必要です。ファイルサーバー管理で注意すべきポイントを解説します。

ファイルサーバーの運用ルールを設定する

サーバーの容量が不足しないように気を付ける

なるべく管理に手間が掛からないようにする

ルール違反には素早く、適切に対処する

＜以下省略＞