共有フォルダのアクセス権を見直す方法｜棚卸し手順と管理表

最初に確認する4つの危険な状態

• 退職者・異動前の部署・終了した委託先の権限が残っている
• 「全社員」「リンクを知っている全員」が機密フォルダを開ける
• 閲覧だけでよい人へ、削除や共有変更を含む編集権限が付いている
• フォルダの責任者と、前回見直した日が分からない

アクセス権を見直す5ステップ

1. 重要なフォルダから一覧を作るフォルダ名、保存場所、内容、責任者、利用部署、外部共有の有無を台帳にします。
2. 現在の権限を出力・確認する誰が閲覧・編集・管理できるかを確認し、個人付与とグループ付与を分けて記録します。
3. 必要な権限表を先に決める現状をそのまま正解にせず、業務上必要な人と操作だけを部門責任者に確認します。
4. 不要権限を外し、グループへ置き換える退職者や外部ゲストを削除し、個人へ直接付与した権限を役割別グループへ寄せます。
5. 確認日と次回見直し日を残す変更者、承認者、変更内容を記録し、重要フォルダは四半期ごと、その他は半年ごとなど頻度を決めます。

棚卸しの対象を優先順位で分ける

全フォルダを同じ深さで確認しようとすると、一覧作成だけで止まりがちです。情報の影響度と共有範囲で3段階に分け、重要な場所から始めます。

頻度は固定の正解ではありません。外部共有が多い、入退社が多い、個人情報を扱うといった会社では確認間隔を短くします。重要なのは「次回確認日」と「確認する人」が台帳に書かれていることです。

そのまま使えるアクセス権管理表

「全員」「必要な人」ではなく、実際のグループ名まで書きます。外部共有には終了日を設定し、期限を過ぎたら自動または手動で確認できるようにします。

アクセス権管理表へ追加する項目

先ほどの表に加えて、実際の棚卸し台帳には次の項目を持たせます。権限一覧だけでなく「なぜ必要か」「いつ外すか」を残すことで、次回の確認が速くなります。

• フォルダの正式名称と保存先URL・ネットワークパス
• 情報の分類、個人情報や機密情報の有無
• 業務責任者とシステム管理者
• 閲覧・編集・管理を許可するグループ名
• 個別付与や外部共有など例外権限の理由
• 権限を承認した人、変更した人、変更日
• 外部共有の終了日と次回の確認日
• 前回棚卸しで削除・継続した結果

入社・異動・退職時の運用ルール

Google ドライブ・SharePointでの考え方

Google Workspace

共有ドライブのファイルは個人ではなく組織・チームに帰属します。メンバーは個人ではなくGoogleグループで管理し、管理者、コンテンツ管理者、投稿者、閲覧者などの役割を必要に応じて使い分けます。外部組織との共同作業は、内部用と外部共有用の共有ドライブを分けると整理しやすくなります。

Microsoft 365 / SharePoint

サイトや文書ライブラリは、所有者・メンバー・閲覧者などのグループで管理します。個別ファイルだけに例外権限を増やすと追跡しにくくなるため、例外は期限と理由を記録します。Microsoft Entra ID Governanceを利用できる環境では、定期的なアクセスレビューも選択肢になります。

環境別にアクセス権を確認する場所

Windowsファイルサーバー

1. 対象フォルダの「プロパティ」を開く「セキュリティ」タブで、登録されているユーザーとグループを確認します。
2. 詳細設定で継承を確認する上位フォルダから引き継いだ権限か、このフォルダだけの権限かを分けます。継承をむやみに止めると管理が複雑になります。
3. 実際の有効なアクセスを確認する複数グループに所属する利用者は権限が組み合わさります。表示上の1項目だけでなく、対象者が最終的にできる操作を確認します。

Google Workspaceの共有ドライブ

共有ドライブの「メンバーを管理」で、個人・Googleグループ・外部ユーザーと役割を確認します。さらに、フォルダやファイルへ個別共有している相手、リンク共有、制限付きフォルダを確認します。個人の「マイドライブ」に会社資料が置かれている場合は、退職後の所有権や共有継続も別途確認が必要です。共有ドライブの権限設計や定期的な棚卸しを継続して任せたい場合は、当社のGoogle Workspace導入・運用支援をご確認ください。

Microsoft 365 / SharePoint

サイトの権限、Microsoft 365グループやTeamsのメンバー、文書ライブラリ・フォルダ・ファイルの「アクセス許可の管理」を確認します。サイト全体の権限継承を外した個別設定や、「リンクを知っている全員」の共有リンクが残っていないかを重点的に見ます。

個人へ直接権限を付ける場合の例外ルール

グループ管理を原則にしても、監査対応や短期プロジェクトなどで個人へ一時的に権限を付けることがあります。例外を禁止するより、条件を決めて追跡できる状態にします。

棚卸しでよくある失敗

一覧を作っただけで権限を変更しない

調査と是正を別の担当へ渡すと止まりやすくなります。フォルダごとに「継続・変更・削除・要確認」と期限を記録します。

退職者アカウントだけ停止して終わる

共有リンク、個人所有ファイル、外部サービス、共用アカウントが残る場合があります。人事・情シス・部門責任者の退職チェックリストを一本化します。

全員を編集者から閲覧者へ一括変更する

業務停止や更新不能につながります。必要な操作を責任者へ確認し、少人数で試してから範囲を広げます。

フォルダを細かく分けすぎる

例外権限と継承解除が増え、管理者にも全体像が分からなくなります。異なる共有範囲が本当に必要な単位で分けます。

よくある質問

共有フォルダのアクセス権は誰が決めるべきですか？

システム管理者だけで決めず、情報の内容を理解している部門責任者が必要性を判断し、管理者が設定と記録を担当する形が基本です。

全社員が閲覧できるフォルダは危険ですか？

就業規則や全社案内など、全員が見る前提の情報なら問題とは限りません。個人情報や契約書が混在していないこと、編集者が限定されていることを確認します。

退職者のアカウントを削除すれば権限も消えますか？

アカウントへの直接権限は使えなくなりますが、共有リンク、共用アカウント、個人所有ファイル、外部サービスの権限は別途確認が必要です。

アクセスログを見れば不要権限を判断できますか？

ログは有力な材料ですが、利用が少ない重要業務もあります。最終アクセスだけで自動削除せず、責任者の確認とセットで判断します。

棚卸しはどこから始めればよいですか？

人事・給与、顧客情報、契約書、経営資料など影響の大きいフォルダを3〜5個選び、責任者・利用者・外部共有を確認するところから始めます。