連載【サイバー防御実務入門】第15回
今回のゴール
- クラウドで「誰が何を守るのか」（責任共有モデル）を理解する
- クラウドの事故の多くが、設定ミスや権限の与えすぎから起きることを知る
- 共有リンクと連携アプリを、自分で見直せるようになる
- 生成AIサービスを使うときの注意点を知る
はじめに：大切なものは、もう「手元」にない
メールはGmailやOutlook.com、スマホの写真はGoogleフォトやiCloud、文書はGoogleドライブやOneDrive。そして最近は、文章や画像を作るAIのサービスも。気がつけば、私たちの大切なデータの多くは、自分のパソコンではなくインターネットの向こうの「クラウド」に置かれています。
このブログの記事づくりも、クラウドのサービスとAIなしでは成り立ちません。便利さに頼りきっている分、「クラウドに預けておけば、あとは会社が守ってくれる」と、どこかで思っていました。
ところが調べてみると、これは半分だけ正しく、半分は誤解でした。今回は、第3部の最後のテーマとして、クラウドで「誰が、何を守るのか」を整理します。
1. 責任共有モデル：守る責任は「分け合う」もの
クラウドのセキュリティを考えるときの基本が「責任共有モデル」です。クラウドの安全は、サービスを提供する会社と利用者が、責任を分け合って守るという考え方です。
どこまでを誰が守るかは、クラウドの種類によって変わります。
| 守る対象 | 自前のサーバー | IaaS （基盤を借りる） |
PaaS （開発環境を借りる） |
SaaS （完成品を使う） |
|---|---|---|---|---|
| データ・アカウント・共有設定 | 利用者 | 利用者 | 利用者 | 利用者 |
| アプリケーション | 利用者 | 利用者 | 利用者 | 提供会社 |
| OS・ミドルウェア | 利用者 | 利用者 | 提供会社 | 提供会社 |
| サーバー・ネットワーク | 利用者 | 提供会社 | 提供会社 | 提供会社 |
| 建物・電源・物理的な安全 | 利用者 | 提供会社 | 提供会社 | 提供会社 |
利用者が守る提供会社が守る
※一般的な考え方をもとに筆者作成。実際の分担は、サービスや契約によって異なります。
私たち個人が使うメールや写真、文書のサービスは、ほとんどが一番右のSaaS（完成品のサービス）です。建物、サーバー、ソフトの更新などは、提供会社がしっかり守ってくれます。
でも、表の一番上の行を見てください。どの種類でも、「データ・アカウント・共有設定」は利用者の責任なのです。
クラウドは、管理の行き届いたアパートのようなものです。建物の耐震性やエントランスのオートロックは、大家さん（提供会社）が責任を持ちます。でも、自分の部屋の鍵をかけるか、合鍵を誰に渡すかは、住人（利用者）の責任です。どんなに立派な建物でも、自分の部屋の鍵を開けっ放しにしていたら、守りようがありません。
2. クラウドの事故は「設定」から起きる
クラウドで起きる情報漏えいの多くは、提供会社のシステムが破られたからではなく、利用者側の設定ミスや管理の甘さから起きている、と言われています。国内外で、「公開するつもりのないデータが、誰でも見られる設定になっていた」という事故が繰り返し報告されています。
個人の利用で起こりやすい落とし穴を整理してみました。
| 落とし穴 | 何が起きるか | 対策（関連回） |
|---|---|---|
| アカウントの乗っ取り | 預けたデータが全部見られ、消され、書き換えられる | 多要素認証・パスキー（第5回） |
| 「リンクを知っている全員」で共有 | リンクが転送されたり、どこかに貼られたりすると、誰でも見られる | 共有相手を指定する。用が済んだら共有を解除 |
| 共有の「編集」権限 | 相手が誤って（または悪意で）内容を消したり書き換えたりできる | 見るだけでよい相手には「閲覧」のみ |
| 連携アプリへの権限の与えすぎ | 使っていない外部アプリが、メールやファイルを読める状態のまま | 使っていない連携は解除 |
| 同期だけに頼る | 削除や暗号化がクラウドにも反映される | バックアップを別に取る（第9回） |
| 回復用の連絡先が古い | ログインできなくなったとき、自分で取り戻せない | 回復用のメール・電話番号を最新に |
「最小権限」という考え方
表の中に何度か出てきたのが、「必要な人に、必要な分だけ、必要な間だけ」権限を与えるという考え方です。これを「最小権限の原則」と言います。第6回で、普段のパソコン作業を管理者ではなく標準ユーザーで行う話をしましたが、それと同じ考え方です。
組織のクラウドでは、社員の異動や退職のときに権限を外し忘れることや、会社が把握していないクラウドサービスを社員が勝手に使う「シャドーIT」も、大きな課題になっています。第12回で「持っていることを知らないものは守れない」と書きましたが、クラウドでもまったく同じです。
多要素認証が広がり、パスワードを盗むだけでは入りにくくなってきました。そこで攻撃者が狙うのが、「利用者自身に、扉を開けさせる」方法です。たとえば、便利なツールのふりをした外部アプリを使わせ、「このアプリにメールの閲覧を許可しますか？」という画面で利用者に「許可」を押させる手口が知られています。いったん許可されたアプリは、パスワードを知らなくても、許可された範囲のデータを読み続けられます。「許可」ボタンは、合鍵を渡すのと同じ。何に、どこまで許可するのかを読んでから押す習慣が大切です。
3. 生成AIサービスを使うときの注意
第1回で、IPAの10大脅威2026（組織向け）に「AIの利用をめぐるサイバーリスク」が初登場で3位に入ったことを紹介しました。生成AIのサービスも、多くはクラウドのSaaSです。便利なだけに、つい何でも入力してしまいがちですが、次の点に気をつけたいと思います。
- 入力したものは「預けたもの」：パスワード、カード番号、他人の個人情報、会社の機密情報などは入力しない。
- 設定を確認する：入力した内容がサービスの改善（AIの学習）に使われるかどうかを、設定画面で選べるサービスもあります。一度確認しておきましょう。
- 出力をうのみにしない：AIの答えには誤りが含まれることがあります。この連載でも、AIの手を借りた部分は公的機関の資料で確かめるようにしてきました。
- AIサービスのアカウントも守る：やり取りの履歴には、思った以上に個人的な情報が残っています。多要素認証を設定しましょう。
4. クラウドが止まったときの備え
もう一つ忘れがちなのが、第2回で学んだ「可用性」です。クラウドのサービスも、障害やメンテナンスで止まることがあります。また、アカウントが凍結されたり、ログインできなくなったりすることもあります。
- 本当に大切なデータは、クラウドだけでなく手元にもコピーを持っておく（第9回の3-2-1ルール）。
- 多くのサービスには、データを一括でダウンロードする機能があります。年に一度くらい、手元に保存しておくと安心です。
- ログインに使う多要素認証のスマホをなくしたときのために、バックアップコードなどの回復手段を、安全な場所に控えておく。
5. やってみた：共有リンクと連携アプリを見直す
今回は、普段使っているクラウドの「鍵の渡し方」を点検してみます。
① 共有しているファイルを見直す
- GoogleドライブやOneDriveを開き、過去に人と共有したファイルやフォルダを探します（多くのサービスには、自分が共有したものを一覧できる画面があります）。
- それぞれの共有設定を開き、次の点を確認します。
- 「リンクを知っている全員」になっていないか
- 見るだけでよい相手に「編集」権限を与えていないか
- もう共有する必要がなくなったものはないか
- 不要な共有は解除し、必要なものは共有相手を指定する設定に変えます。
② 連携アプリを見直す
- GoogleアカウントやMicrosoftアカウントの「セキュリティ」や「プライバシー」の画面を開き、外部のアプリやサービスとの連携の一覧を探します。
- 一覧を見て、覚えのないアプリや、もう使っていないアプリがないか確認します。
- 不要なものは、アクセスを削除（連携を解除）します。
③ 回復用の連絡先を確認する
同じアカウントの画面で、回復用のメールアドレスと電話番号が今使っているものになっているかを確認します。古い番号のままだと、いざというときにアカウントを取り戻せません。
※画面の名前や場所は、サービスや時期によって変わります。迷ったときは、各サービスの公式ヘルプを確認してください。
- 連携アプリの一覧には、ゲームや便利ツールに「Googleでログイン」した記録なども並びます。何年も前のものが残っていることが多いので、驚くかもしれません。
- 連携を解除しても、そのアプリ自体のアカウントは残る場合があります。完全に使わないなら、アプリ側の退会も検討しましょう。
- 家族の写真アルバムなど、共有を続けたいものは無理に解除する必要はありません。「誰に、何を、どこまで」見せているかを把握することが目的です。
用語メモ
- クラウド
- インターネットを通じて、サーバーやソフト、保存場所などを借りて使う仕組み。
- 責任共有モデル
- クラウドの安全を、提供会社と利用者が分担して守るという考え方。データ・アカウント・設定は利用者の責任。
- IaaS／PaaS／SaaS
- クラウドの種類。基盤だけを借りる（IaaS）、開発環境を借りる（PaaS）、完成したサービスを使う（SaaS）。
- 最小権限の原則
- 必要な人に、必要な分だけ、必要な間だけ権限を与えるという考え方。
- 連携アプリ
- 自分のアカウントのデータにアクセスすることを許可した、外部のアプリやサービス。
- シャドーIT
- 組織が把握・許可していないクラウドサービスや機器を、社員が業務で使うこと。
まとめと、今日からできること
- クラウドの安全は提供会社と利用者の責任共有。データ・アカウント・共有設定は、いつも利用者の責任。
- クラウドの事故の多くは設定ミスや権限の与えすぎから。「必要な人に、必要な分だけ」の最小権限で。
- 「許可」ボタンは合鍵を渡すのと同じ。連携アプリは定期的に見直す。
- 生成AIへの入力は「預けたもの」。大切な情報は入力しない。
- クラウドも止まることがある。手元のコピーと回復手段を用意しておく。
- 「リンクを知っている全員」の共有を1つ見つけて見直す：まずは一番よく使うクラウドから。
- 連携アプリの一覧を開いて、不要なものを1つ解除する：覚えのないものは特に要注意です。
- 回復用のメールアドレスと電話番号を確認する：メールのアカウントから始めましょう。
いよいよ連載の最終回です。サイバー攻撃の手口は、これからも変わり続けます。連載を終えたあとも学び続けるための情報源、続けやすい習慣、そして第0回から学びながら書いてきた筆者自身の振り返りをお届けします。
参考資料
- 総務省「国民のためのサイバーセキュリティサイト」
https://www.soumu.go.jp/main_sosiki/cybersecurity/kokumin/ - IPA「情報セキュリティ10大脅威 2026」
https://www.ipa.go.jp/security/10threats/10threats2026.html - IPA「中小企業の情報セキュリティ対策ガイドライン」（第4.0版、2026年3月公開）
https://www.ipa.go.jp/security/guide/sme/about.html - NIST「The NIST Cybersecurity Framework (CSF) 2.0」
https://www.nist.gov/cyberframework
※本記事は2026年11月時点の情報をもとに作成しています。
