クラウドに会社のデータを置くのが、なんとなく不安

「大事なデータを、よその会社のサーバーに預けて本当に大丈夫なのか」。クラウドへの移行を勧められて、頭では便利だと分かっていても、この一言が引っかかって手が止まる。どこがどう危ないか説明できるわけではない。ただ、なんとなく不安だ——この辞典が扱うのは、その場面である。

• 顧客データや会計のデータを、社外のサービスに置くことに、契約前で踏み切れずにいる。
• 「クラウドに上げておけば安心」と言われるが、「もしそこが攻撃されたら、うちのデータも巻き込まれるのでは」という不安が消えない。
• 一方で、社内のPCやファイルサーバーが、いつ最後に更新されたか、鍵がかかっているのか、正直よく分かっていない。
• クラウドに上げたファイルは「これでバックアップも兼ねている」と、なんとなく思っている。
• どのクラウドサービスに何を置いていて、誰がどうやって入れるのか、社内で全体像を説明できる人がいない。
• 「同業も使っているから大丈夫だろう」で決めたが、安全だという確かな根拠があるわけではない。

どれも、大きな判断ミスをしたわけではない。ただ「よく分からないまま預ける」ことへの、漠然とした落ち着かなさが残っている。

この不安に向き合うとき、多くの会社の頭の中では、こういう比較が動いている。

クラウドは「他人に預ける」ものだからリスクがある。自社に置けば「手元にある」から安心だ。だから、本当に大事なものは社内に残しておこう——。この整理は、心情としてごく自然だ。手の届くところに置いたほうが守れている気がする、というのは人間の素直な感覚である。

だが、この比較には、口に出されない前提が一つ隠れている。「自社に置けば、自社できちんと守れる」という前提だ。不安の天秤は、いつもクラウド側だけを重く見る。足元にある自社のサーバーやPCが、今どういう状態なのかは、比較の対象にすら入っていないことが多い。

ここに、この不安の厄介な核心がある。問うべきは、クラウドか自社かではなく、どちらが自社の手に負えるか、である。

守るという行為は、置いた瞬間に終わるものではない。基本ソフトを最新に保つ、壊れたときのために別の場所へ控えを取る、外から勝手に入られないよう鍵をかける、誰が入れるかを管理する——こうした手入れを、休みなく続けて初めて成り立つ。専任の担当者がいない中小企業で、これを自社のサーバーやPCについて自前で維持し続けるのは、負荷が大きい。更新が止まったまま、控えも取られないまま、鍵の設定も初期のまま置かれている——自社に置いたはずのものが、かえって無防備なまま放置されている、ということは起こりうる。

クラウドの安全は、事業者と利用者が役割を分担して成り立っている。総務省はこれを「責任共有モデル」と呼び、基盤を保守する部分は事業者側、その上で誰にどこまで見せるか・どう入るかといった設定は利用者側、というように、守る範囲が分かれることを示している。IPA（情報処理推進機構）も、中小企業向けの手引きで同じ役割分担を示している。利用するサービスの種類によって、利用者が負う範囲は変わる。つまり「クラウドだから安全」でもなければ「自社サーバーだから危険」でもない。どちらも、入り口の管理次第で漏れる。

そして見落とされやすいのが、事故がどこから起きているかである。国が「クラウドの設定ミス対策ガイドブック」を出した背景には、設定ミスによる情報漏えいが相次いでいるという事情があった。クラウドの基盤そのものが破られるより、利用者側の入り口——弱いログインや、公開範囲を誤った設定——が起点になりやすい、という傾向がうかがえる。攻撃者は、頑丈な金庫の壁を破ろうとするより、開いている勝手口を探す。

言い換えれば、本当の弱点は、預け先ではなく、自社の入り口にある。「なんとなく不安」の正体は、"他人に預ける"という心理だが、その不安が向いている方向が、実際の弱点とずれている。

不安の対象を、置き場所の問題から、入り口の問題へ移す。

「クラウドか、自社か」の二択で悩むのをいったん脇に置き、代わりに「今、自社のどの入り口が弱いのか」を具体的に見る。データがクラウドにあろうと社内にあろうと、そこへ入るための鍵が弱ければ、どちらでも同じように危ない。逆に、入り口さえきちんと管理されていれば、場所そのもので優劣が決まる話ではなくなる。

漠然とした不安は、たいてい「分からない」ことから生まれる。何がどこにあって、誰が入れて、その鍵がどれくらい弱いのか——それが見えていないから「なんとなく怖い」になる。裏返せば、そこが見えた瞬間に、不安は「なんとなく」から「ここを直せばよい」という具体的な作業に変わる。向き合うべきは、漠然とした恐怖ではなく、具体的な弱点の一覧である。

漠然としたクラウドへの不安を、手のつけられる形に変える道は、いくつかある。同じ困りごとでも、人数と時間の余裕で、取れる道は変わる。

A案：AIに、自社の入り口を点検してもらう

いちばん続かないのは「何が危ないか、自分たちで調べて判断する」ことだ。専門用語で説明されても判断できず、結局そのままになる。そこを、AIに肩代わりさせる、という道がある。やってもらうのは、点検と、翻訳だ。

やることは、こうだ。使っているクラウドサービスの一覧（サービス名・そこに何を置いているか・誰が入れるか・入るときの鍵はパスワードだけか追加の確認があるか・社外にどこまで共有しているか）を書き出して、AIに渡す。するとAIが、その内容から「入り口の弱いところ」「危なそうな設定」「どこから直すのが優先か」を、専門用語を使わずに説明してくれる。

• 「パスワードだけで入れるサービスが三つあります。この三つが、いちばん狙われやすい入り口です」
• 「このサービスは『リンクを知っていれば誰でも見られる』設定になっているようです。社外にも開いていないか確認したほうがよさそうです」
• 「退職した人のアカウントが残っている可能性があります。今も入れる状態か確かめてみませんか」

つまり、漠然とした不安を、そのつど"具体的な弱点のリスト"へ変換してもらう。人間の側が「専門知識がないから判断できない」と止まってしまう部分を、肩代わりさせる考え方だ。

• 向く場面：複数のクラウドサービスを使っていて全体像が見えない。専門用語で説明されると、何が危ないのか判断できずに止まってしまう会社。
• 割に合わないこと：渡すための一覧を最初に一度そろえる手間はかかる（ここは人がやる）。AIは一般的な弱点は指摘できるが、各サービスの設定画面を実際に開いて操作するわけではない。「ここが危ないかもしれない」までは示せても、本当に直すかの最終判断と、実際の設定変更は人がする。なお、書き出す内容にパスワードそのものは含めない。
• 始める前に要ること：使っているクラウドサービスの一覧（名前・置いているもの・誰が入れるか）を、一度つくること。

※AIにはいろいろな種類・サービスがある。ここでは「特定の製品を入れる」話ではなく、「入り口の点検と、専門用語を使わない言葉への翻訳をAIに任せる」という考え方を指している。どれが合うかは、会社の状況によって変わる。

B案：いちばん大事な入り口を一つ、二重の鍵にする

パスワードが漏れても、もう一段の確認がなければ入れないようにする。パスワードとは別の種類の確認（手元の端末に届く番号、指紋や顔など）を組み合わせるやり方を、多要素認証という。国（総務省）も、これによって安全のレベルを高められるとしている。全部を一度にやろうとせず、まず最も重要な一つ（会社のメール、会計、顧客データなど）から手をつける。

• 向く場面：手をつける優先順位に迷っていて、まず一つ、被害が大きそうなところから固めたい会社。
• 割に合わないこと：これも万能ではない。SMSやワンタイムコードで確認する方式は、偽サイトにその場で入力させて横取りする手口ですり抜けられた実例がある。可能なら、より偽サイトに強い方式（パスキーなど）が望ましい。そして「怪しいメールのリンクを踏まない」という入り口対策と、必ず併用が要る。
• 始める前に要ること：どのサービスが二重の鍵（多要素認証）に対応しているかを確認すること。

C案：クラウドの「誰がどこまで見られるか」を見直す

事故は、基盤が破られるより、共有範囲や権限の緩さから起きることがある。「リンクを知っていれば社外でも見られる」設定になっていないか、退職者が今も入れる状態でないか、を点検して締める。

• 向く場面：すでに複数のクラウドを使っていて、誰がどこまで見られるのか、社内で把握できていない会社。
• 割に合わないこと：一度締めても、人の出入りや共有のたびに再び緩む。これを人の記憶や気合いで管理し続けるのは、中小企業では続きにくい。
• 始める前に要ること：各サービスの管理画面で「今、誰が入れるか」を一覧できる状態にすること。

上から順に良い、という並べ方ではない。無理のないところが入口になる。置き場所そのものを変える前に、入り口を一つ固めるだけでも、不安の中身は変わる。

まだ何も買わない段階でも、できることがある。

使っているクラウドサービスを、紙かメモに書き出す。サービス名、そこに何を置いているか、誰が入れるか。そのうえで、一つずつに対して一言だけ当てていく——「これ、パスワードだけで入れる？」。パスワードだけで入れるものが、いちばん弱い入り口だ。表をきれいに作る必要も、全部を網羅する必要もない。思い当たるものから、この一言を当てていくだけでいい。

もう一つ。「クラウドに上げてあるから、これで安心」と思っているファイルについて、こう問い直してみる——「もしこのアカウントが乗っ取られたら、このファイルも一緒に消されたり見られたりするのか」。クラウドに置いてある、ということは、そのまま「バックアップが取れている」という意味ではない。同じアカウントで入れる場所にあるなら、入り口を破られれば一緒に失われる。

この一歩でできるのは、弱い入り口に当たりをつけるところまでだ。そこから先、どれから直すか、どこまでやるべきか、という判断は残る。

「どこから直せばいいのか順番がつけられない」「AIに点検してもらうといっても、何をどう書き出せばいいのか分からない」「そもそもクラウドに移すべきか、社内に残すべきか、判断できない」——こうした問いは、最後まで残りやすい。

そういうときは、OSAKA AI-Center の窓口に相談するという選択肢がある。何かを買う必要はなく、こちらから売り込むこともない。「うちはこういうサービスを使っていて、この不安が残っている」——その整理を一緒に考えるところまでが、この辞典の役割である。

ITは、本来は専門家の領分でもある。弁護士や税理士のように、ITと経営の両方を知る第三者を"ブレイン"として側に置く——という考え方もある。何もかも自社だけで抱え込まなくていい。この辞典も、そうした相手と一緒に読めば、自社に合った次の一手につながりやすい。