クラウドストレージの管理者設定とセキュリティ｜認証・接続元・権限・共有・記録の5層と、上位プラン限定の機能【2026年】

クラウドストレージを契約したあと、管理画面を開いて最初に感じるのは「設定項目が多すぎる」ということだと思います。全部を理解してから始めようとすると進まず、かといって既定値のまま使い始めると、あとから直すのに大きな手間がかかります。この記事では、管理者が触る設定を5つの層に分け、どこから決めるべきかを整理します。各社の管理機能は公式ページに書かれている範囲で、2026年9月10日に確認しました。

設定は5つの層に分けると迷わない

管理画面の項目は製品ごとに名前も並び順も違いますが、目的で分けると5つに整理できます。上から順に決めていくと、抜けが起きにくくなります。

この順番には理由があります。誰が入れるかが決まっていなければ、何を見せるかを決めても意味がありません。何が見えるかが決まっていなければ、外へどう出すかを決められません。逆に、記録の層だけを先に整えても、事故そのものは減りません。

製品ごとにどの機能が使えるかは、選定の段階で確認しておくのが理想です。手順はクラウドストレージの選び方に、製品ごとの詳細は法人向けクラウドストレージ比較にまとめました。

各層で管理画面のどのあたりを触ることになるかを、先に並べておきます。製品によって呼び方は違いますが、探す先の見当は付くはずです。

層1。誰がログインできるか

最初に決めるのは認証です。IDとパスワードだけで入れる状態を残さない、というのがここでの目標になります。

二段階認証は、公式ページで確認できた範囲では、Google Workspaceが4プランとも対応、Dropboxは多要素認証が3プランとも対応、セキュアSAMBAは標準搭載のセキュリティ機能として二段階認証を挙げています。シングルサインオンについては、DropboxがAdvancedのみ、Microsoft 365はEntra IDの高度なID・アクセス管理がBusiness Premiumのみと記載されています。

もう1つ、この層で決めておくのがアカウントの扱い方です。1人1アカウントにするか、部署で共有するアカウントを認めるか。ここは製品によって規約上の扱いが違います。

実務上は、共有アカウントを認めないほうが管理は楽になります。ログを見ても誰の操作か分からず、退職時に止められず、パスワードの変更もできないからです。規約で認められている場合でも、業務上どうしても必要な場面に限るのが安全です。

層2。どこから入れるか

次に接続元の制限です。社外の私物端末や、公衆無線から会社のファイルへ入れる状態をどうするか、という話です。

セキュアSAMBAのよくあるご質問には、この層について具体的な記載があります。端末の承認はPCが個体識別番号、スマートデバイスがUUIDで行われ、登録したグローバルIPアドレス元以外からのアクセスを許可する運用も選べると案内されています。標準搭載のセキュリティ機能にも、グローバルIPアドレスによる制限と端末認証が挙げられています。

他の製品では、この層はエンドポイント管理という名前で提供されていることが多くなります。Google Workspaceの比較表ではエンドポイント管理が「基本」「基本」「高度」「エンタープライズ」と4段階に分かれており、Microsoft 365ではIntuneプラン1によるエンドポイント管理がBusiness Premiumのみです。Dropboxはデバイスの承認がStandard以上、デバイスの遠隔削除は3プランとも対応と記載されています。

層3。何が見えるか

権限の設計は、この5層のなかでもっとも長く影響が残る部分です。ここで手を抜くと、数年後に「誰がどのフォルダを見られるのか誰も把握していない」という状態になります。

原則は1つです。権限は個人ではなくグループに付ける。「営業部」というグループを作り、そこにフォルダの権限を与え、人の入れ替えはグループへの追加と削除だけで行う。こうしておくと、異動や入退社のたびにフォルダを一件ずつ直す作業が消えます。

各製品にはこの考え方に対応する機能があります。Dropboxはグループと役割の作成がStandard以上、管理者役割の階層化がAdvancedのみ。Google Workspaceはグループベースのポリシー管理が4プランとも対応と記載されています。セキュアSAMBAはアカウントごとにフォルダのアクセス権限を設定できると案内しています。

もう1点、権限を設計するときに決めておくのが「既定でどうするか」です。新しく作られたフォルダを、既定で全社に見せるのか、作った部署だけに見せるのか。既定値を全社にしておくと、あとから閉じる作業が発生し続けます。閉じた状態を既定にして、必要なところだけ開けるほうが運用は安定します。

層4。外へどう出すか

社外へファイルを渡す方法と、その制御です。共有リンクを発行できること自体はどの製品にもありますが、渡したあとを制御できるかはプランで変わります。

Dropboxの比較表では、詳細リンク設定、ダウンロードを無効にする、有効期限設定機能、リンクのパスワード保護、透かし、閲覧者の履歴がいずれもStandard以上で、Plusは対象外です。Boxは外部コラボレータの扱いがプランで分かれており、Businessは有料アカウントのみ、Business Plus以上は上限なしと記載されています。セキュアSAMBAは共有リンク発行が有料プランで無制限、フリープランのみ同時に20個までです。

運用として決めておくのは、次の3つです。共有リンクを誰が発行できるか。有効期限を既定で何日にするか。社外の人にアカウントを発行して継続的に共有する形にするか、都度リンクを渡す形にするか。3つ目は、取引先との付き合い方によって答えが変わります。

継続的な取引先が多いなら、アカウントを発行してフォルダで共有するほうが管理しやすくなります。この形はユーザー数無制限の製品と相性が良く、セキュアSAMBAの公式ページも取引先のユーザーID発行が可能である点を挙げています。逆に単発のやり取りが中心なら、有効期限付きのリンクで足ります。

層5。何が起きたか分かるか

最後は記録と復旧です。事故を防ぐ層ではなく、事故が起きたあとに説明できる状態を作る層だと考えてください。

ログについては、セキュアSAMBAが有料プランでログ期間無期限と料金表に明記しており、よくあるご質問でも、いつ・誰が・何をしたという利用状況のログを取得できると案内しています。Dropboxはファイルイベントを追跡できる監査ログがAdvancedのみです。Boxは詳細なレポート生成（ユーザー、セキュリティ）が比較表に載っています。

復旧については、削除したファイルを戻せる期間が製品ごとに違います。DropboxはPlusが30日、Standardが180日、Advancedが1年。セキュアSAMBAはゴミ箱機能で戻せるとしたうえで、世代管理されたバックアップは有料オプションと案内しています。

管理機能は上位プラン限定のことが多い

ここで注意したいのは、「安いプランで契約して、セキュリティは後で足す」という進め方が成立しない場合がある点です。監査ログが必要ならDropboxはAdvanced、データ損失防止が必要ならMicrosoft 365はPremium、というように、機能がプランに紐づいています。

この表の読み方は簡単です。左の列から自社に必要なものを選び、右の列を見て、それを満たす最低のプランを製品ごとに書き出す。そこで初めて金額を比べます。単価の安いプランで見積もっておいて、あとから必要な機能がないと分かる、という順番を避けるための手続きです。

公的な指針を土台にする

設定の中身を自社だけで組み立てると、抜けが出ます。公開されている指針を土台にして、そこに製品の機能を当てはめるほうが早く、社内の説明もしやすくなります。

IPAの「中小企業の情報セキュリティ対策ガイドライン」は、2016年11月15日の公開から更新が続いており、最終更新日は2026年7月3日、現行は第4.0版です。情報セキュリティ対策に取り組む際の、経営者が認識し実施すべき指針と、社内で対策を実践する際の手順や手法をまとめたもので、個人事業主や小規模事業者を含む中小企業の利用が想定されています。

クラウドストレージの運用に直接関係するのは、付録として公開されている資料です。「中小企業のためのクラウドサービス安全利用の手引き」（全8ページ）、「情報セキュリティ関連規程（サンプル）」（全59ページ）、「資産管理台帳（サンプル）」、「中小企業のためのセキュリティインシデント対応の手引き」（全8ページ）などが、それぞれダウンロードできる形で置かれています。

規程のサンプルがあるのは実務上ありがたい部分です。ゼロから文面を起こす必要がなく、自社の運用に合わせて修正すれば足ります。第4.0版では、経済産業省および内閣官房国家サイバー統括室が検討を進める「サプライチェーン強化に向けたセキュリティ対策評価制度」の基本的な考え方に沿った内容にしたことも、改訂のポイントとして挙げられています。

運用でよく壊れるところ

導入から30日でやること

1. 1日目：管理者を2人決める1人体制にしない。権限と連絡先を社内に共有します。
2. 3日目まで：認証を固める二段階認証を全員に必須化し、パスワードポリシーと自動ログアウトを設定します。
3. 7日目まで：グループを作る部署単位でグループを作り、フォルダの権限をグループに付け直します。
4. 14日目まで：共有のルールを決める誰がリンクを発行できるか、既定の有効期限を何日にするかを決めて周知します。
5. 21日目まで：接続元の方針を決めるIPで絞るか端末で絞るかを、働き方に合わせて決めて設定します。
6. 30日目：ログを一度見る実際にログの画面を開き、何が記録されているかを確認します。月次で見る担当も決めます。

移行の直後にこれをやると負荷が集中するため、移行が落ち着いてから着手して構いません。移行そのものの段取りはクラウドストレージ移行の手順にまとめています。製品ごとの管理機能の詳細は、Box、Dropbox Business、Google Workspace、Microsoft 365 Business、セキュアSAMBAの各ページで扱っています。

よくある質問