Box（ボックス）など、オンラインストレージの不適切なアクセス権限の設定による、個人情報などの情報漏洩事故が後を絶ちません。しかし、会社のような組織で Box を導入する時に、たった１つの設定をしておけば、不適切なアクセス権限の設定による情報漏洩を未然に防ぐことができます。そこで今回は、Box の不適切なアクセス権限の設定を防止するための設定方法をまとめてみました。
不適切なアクセス権限とは？
不適切なアクセス権限とは、Box 上のファイルやフォルダの共有リンクを作成するときに、共有する相手を「リンクを知っている全員」に設定することを言います。
Box で共有する相手を「リンクを知っている全員」に設定すると、表示されている説明の通り、このリンク（URL）を知っていれば誰でもこのファイルを閲覧することができてしまいます。
非公開URL
このように作成したリンクすなわち URL には誰でもアクセスできますが、これを共有元の人とその相手の人が秘密にすると、この URL は「非公開URL」と呼ばれます。しかし「非公開URL」に情報を守る機能はありません。しかも、共有する相手ではない第三者が非公開URLにアクセスしたとしても、不正アクセス行為には該当しないという法律の専門家の方の見解も示されています。
関連記事：非公開URLで情報を守ることは出来ない話
不適切なアクセス権限を防止するための設定
以下の設定を行うことで、Boxの不適切なアクセス権限の設定を防止することができます。
Boxの管理コンソール にログインします。（Box の管理者であることが必要です）
左メニューの「Enterprise設定」をクリックします。
画面上部の「コンテンツと共有」をクリックします。
2022年5月3日現在、Box の初期設定では、共有リンクにアクセスできるユーザーが「リンクを知っている全員（略）」に設定されています。（これにより共有リンクに「リンクを知っている全員」が設定できるようになっています）
共有リンクを許可する対象を「なし（共有を制限）」に変更して、右上の「保存」をクリックすれば設定完了です。
【補足】
「なし（共有を制限）」と書かれていますので、Box で共有が全くできなくなると誤解されることがあるようですが、そんなことはありません。説明に書かれている通りコラボレータ（共有する相手のこと）をメールアドレスで指定することによって Box 上のファイルやフォルダを共有することができます。
設定の確認
最後に、Boxで「リンクを知っている全員」の共有リンクを作成できないことを確認しておきましょう。
Box 上の適当なファイルの「共有」をクリックします。
「共有リンクを作成」をクリックします。
「リンクを知っている全員」が表示されなければOKです。
以上で、不適切なアクセス権限を防止するための設定の完了です。
おわりに
Box などのクラウドサービスには「責任共有モデル」という考え方があり、クラウドサービスの提供者と、それを利用する利用者（会社や個人）の責任範囲を定義しています。
この責任共有モデルの定義では、オンラインストレージの不適切なアクセス権限の設定による、個人情報などの情報漏洩事故の責任は、利用者側にあり、クラウドサービスの提供者は一切責任を負いません。
しかし、今回ご紹介したような設定をしなくても、初期状態でクラウドサービスを安全に使えるようにしておくことは、クラウドサービスの提供者の責任ではないでしょうか？
子どもからお年寄りまで誰もが、安心して安全にクラウドサービスを利用できる社会になることを心から祈ります。
コメント