今回は、Dropboxのアクセス権限の可視化に役立つレポート機能と作成されたレポートファイルを使った診断サービスをご紹介したいと思います。
そのアクセス権限、危険です！
オンプレ・ファイルサーバでは協力会社やパートナー企業といった社外の方とファイルを共有しようとしたら、メールに添付したりと色々と手間が掛かりました。オンプレ・ファイルサーバからDropboxに変えると、とっても簡単に、さくっとファイル共有ができるようになります。作成したばかりのファイルも、更新したファイルもリアルタイムで共有できちゃうんです。ほんと、便利ですよね。
さて、ここで１つ質問です。
「その共有、いまも必要ですか？」
他部署や他社との協業プロジェクトが終わった後も、プロジェクトメンバーが異動や退職しても、アクセス権はそのまま。そんなことになってないでしょうか？
簡単さが生む落とし穴
Dropboxは、社内のDropboxユーザだけではなく、社外のDropboxユーザとも簡単にファイルを共有することができます。プロジェクト関係者をフォルダの共有メンバーに追加すれば、すぐに最新のファイルを共有することができます。
しかし、簡単に共有できるがゆえ、次のような「アクセス権限の放置」が起こりがちです。
- 終了したプロジェクトの共有メンバーを整理していない
- 異動/退職したプロジェクトメンバーが共有メンバーに残ったまま
- ファイルの作成/更新の必要がないのに編集権限がついたまま
アクセス権限の放置がなぜ危険か
終了したプロジェクト、離れたプロジェクトのファイルなんて、新しいプロジェクトが忙しいから見ないよ。アクセス権限が残っちゃっているだけでそんなに危険？
いえいえ、「アクセス権限の放置」、実は次のようなリスクがあります。
- 意図しない情報漏洩
社内、社外に関係なく、不要なファイル共有が行われていると、ファイルをダウンロードしたり、コピーしたりすることができます。 例えば、過去プロジェクトで作成したファイルを今参加しているプロジェクトで使いまわししようとして、過去プロジェクトの機密情報を含んだファイルを今参加しているプロジェクトのフォルダにコピーしました。このようなことが起きてしまうと、過去プロジェクトとは関係ない人に機密情報が漏洩してしまうということに…。
- マスターデータの破損
編集権限がついたままだと、誤操作などでファイルが更新されてしまったり、ファイルが削除される可能性があります。バージョン履歴で元に戻せますが、ファイルを更新したことに気づかず、履歴の保存期間(365日(※1))を過ぎてしまったら。もう元のマスターデータを取り戻せなくなっちゃいます。
これらのリスクは、Dropboxに限ったことではありません。他のクラウドストレージであっても、オンプレ・ファイルサーバであっても同様のリスクは存在します。ただ、どこからでもアクセス可能なクラウドストレージにおいて、そのリスクは高くなりがちです。
※1 Dropbox Advanced/Enterpriseプランの場合
アクセス権限の棚卸
「アクセス権限の放置」への対策は、現在のアクセス権限の状態を「棚卸」することが重要です。「棚卸」といっても、難しく考える必要はありません。次のことができていれば良いのです。
「誰が、どのフォルダに、どんな権限でアクセスできるのか」を定期的に可視化し、確認＆見直す。
「誰が、どのフォルダに、どんな権限でアクセスできるのか」を確認するためには、Dropboxに保存されているすべてのファイル/フォルダについて「共有メンバー」と「アクセス権限」が一覧化されたデータがあれば「棚卸」ができそうです。
Dropboxのレポート機能
Dropboxには下記のとおり、いくつかのレポート機能が標準で提供されています。
※ 他にもユーザレポートなども提供されています
上記の 1～3 の機能を簡単に紹介します。
ストレージレポート
レポート作成方法:
- 管理コンソール＞製品:Dropbox＞コンテンツ
- 管理コンソール＞ダッシュボード＞ストレージの詳細
ストレージレポートを作成すると、CSV形式のレポートファイルが作成されます。このファイルには下記の情報が含まれます。
- フォルダパス
- フォルダタイプ (チームフォルダ、チームサブフォルダなど)
- フォルダサイズ (MB)
- フォルダの所有者
- フォルダに保存されているファイル数
Dropboxのストレージの使用情報などを確認することができるレポート内容となっていますが、残念ながらアクセス権限に関する情報は含まれていません。アクセス権限を知るには、次の「チームフォルダレポート」や「共有フォルダレポート」が有効です。
ストレージレポートのサンプル (Excel変換済み)
チームフォルダレポート/共有フォルダレポート
レポート作成方法:
はDropboxの管理コンソールから作成するチームフォルダとそのサブフォルダに関して、共有フォルダレポートは各ユーザの個人フォルダ (チームメンバフォルダ)内で、誰かと共有しているフォルダ(共有フォルダ)に関してまとめたレポートとなっています。
いずれのレポートもCSV形式のレポートファイルが作成されます。これらのレポートファイルには下記の情報が含まれます。
(チームフォルダレポート/共有フォルダレポート共通)
- フォルダパス
- フォルダタイプ
- フォルダのサイズ(容量)
- 最終更新日
- 共有メンバーとアクセス権限
(共有フォルダレポートのみの項目)
- フォルダの所有者
- 共有フォルダのマウント状況 (「共有済み」から各自のフォルダ構成に追加しているユーザとパス情報)
共有フォルダレポートのサンプル (Excel変換済み)
上記のように「共有メンバーとアクセス権限」の情報が含まれているため、この２つのレポートファイルを利用すればアクセス権限の「棚卸」「可視化」ができそうです
外部との共有レポート
レポート作成方法:
- 管理コンソール＞製品:Dropbox＞セキュリティ＞外部との共有
この機能を利用すると、指定した期間に実行された次のアクションについてWEB画面に表示してくれます。また、表示内容をCSV形式のファイルに書き出すことも可能です。
- チーム外ユーザとのファイル/フォルダ共有
- チーム外ユーザがアクセス可能な状態の共有リンクの作成
外部共有レポート
ただ、共有メンバーの追加、共有リンクの作成といった操作に関するレポートなので、棚卸に必要な現在の共有メンバーとアクセス権限をまとめて取得するのは難しそうです。
CSVレポートファイルによる可視化
ご紹介したDropbox標準機能で作成できるレポートファイルのうち、「チームフォルダレポート」と「共有フォルダレポート」の２つを利用すれば、アクセス権限の可視化、棚卸ができそうですが、少し工夫も必要そうです。
レポートファイルを参照するために工夫が必要な理由
- レポートファイルが見づらい
- 1行につき1フォルダ分、上記の情報がカンマ区切りで列挙されます。CSVファイルはテキスト情報なのでレポート対象のフォルダ数が多い、共有メンバーが多いといった場合、非常に見づらいです
- レポートファイルでは、共有メンバー情報が「チーム内」「チーム外」の2種類、アクセス権限が「閲覧のみ」「編集可能」の2種類。これらの組合せになるので合計4タイプに分かれて出力されます。また、共有メンバーは1フィールドの中にセミコロン区切りで列挙されますので、共有メンバー数が多くなると非常に理解しにくいです。
- チームフォルダレポート、共有フォルダレポートともに1ファイルになる
棚卸を各ユーザに依頼する場合、フォルダの所有者や管理責任者毎にレポートを分割するといった工夫が必要。チームフォルダの場合、所有者という情報がないため、誰が管理責任者なのか別途管理しておくことも必要かもしれません。
- 必要な情報抽出に手間がかかる
例えば、終了したプロジェクトのフォルダという条件に合致するフォルダを抽出するような場合、最終更新日に注目して、ソートしたり、指定した日付より古いものでフィルタリングする必要があります。いろんな条件でデータを抽出しようとすると、結構手間がかかりそうです。
レポートファイルの診断サービス
これまでにご紹介したとおり、Dropboxの標準機能で作成したCSVレポートファイルのままでは、少し分かりにくく、読者のみなさんがお使いのDropbox環境のアクセス権限の「可視化」には不向きです。
セキュリティリスクを理解するためには、いろいろな視点で情報を抽出・集計する必要がありますので、レポートファイルの内容を理解するだけでもハードルがあるように感じます。
そこで、現在SCSKでは「チームフォルダレポート」「共有フォルダレポート」を分析し、セキュリティリスクを診断するサービスの提供を検討しています。
サービス内容
Dropboxの管理コンソールから作成した「チームフォルダレポート」、「共有フォルダレポート」のCSVファイルをご提供頂き、弊社にて分析・集計し、診断結果をご報告致します。
検討中の報告内容
- 診断結果サマリー (サンプルあり)
- 外部共有されているチームフォルダ一覧 （サンプルあり)
- 外部共有されているチーム内個人フォルダ一覧
- 長期間更新がなく放置されている外部共有フォルダ一覧
- 外部共有先ドメイン一覧 (サンプルあり)
- みなし子個人共有フォルダ一覧 (削除されたユーザが所有する共有フォルダ)
- チーム外から共有されている共有フォルダで編集可能なフォルダ一覧 (サンプルあり)
また、「診断結果サマリー」には下記の集計データをまとめる予定です。
- アクティブなチームフォルダ数
- アーカイブされたチームフォルダ数
- 個人共有フォルダ数
- 外部と共有している個人フォルダ数
- 所有者が居なくなった個人フォルダ数
- 長期間更新されていない、外部共有フォルダ数
- 外部共有先ドメインリスト
- チーム外から共有されているフォルダ数 (外部チーム/個人アカウントのフォルダへのアクセス)
- チーム外から共有されているフォルダで、書込み権限のあるもの
これらの項目の中から、いくつかピックアップしてご紹介したいと思います。
診断結果サマリー
診断結果サマリーから、共有フォルダの現在の状態を知り、いくつかの共有リスクに気づくことができます。下記に「気づき」の一例をあげてみました。
- 外部共有されているフォルダが多いので、情報漏洩のリスクが高い
- 長期間更新されていない外部共有が多く、適切なアクセス権限の見直しが必要だ
- 外部共有先ドメイン数が多く、数多くの企業との共有が行われおり、適切な運用管理が必要だ。
また、フリーメールアドレス(Gmailや iCloudなど)のドメインが含まれており、個人との共有が必要か確認が必要だ。
- 他社が管理するDropboxのフォルダに対して書込み可能だと、情報漏洩のリスクが高くなるので、編集権限が必要か確認が必要だ。
報告書サンプル画像1 – 診断結果サマリーページ
外部共有されているチームフォルダ一覧
チーム外のDropboxユーザと共有されているチームフォルダのリスト化したものです。共有されているフォルダパスに加え、チーム内の共有メンバー数、チーム外の共有メンバー数と共有先のドメイン名をあわせてレポートします。
適切にアクセス権限が付与されていることを確認するのに役立ちます。
報告書サンプル画像2 – 外部共有されているチームフォルダ一覧
外部共有ドメイン一覧
共有メンバーのメールアドレスからドメイン部分だけを抽出し、集計したものです。共有フォルダ数の多い順にソートされています。
この表からは、どの企業といくつフォルダを共有しているのかを確認することができます。
また、gmail.com や icloud.com といったフリーメールアドレスのドメインや企業ドメインとは思えないものなどがされていた場合、フォルダ所有者・管理者に確認が必要です。
報告書サンプル画像3 – 外部共有先ドメイン一覧
チーム外から共有されている共有フォルダで編集可能なフォルダ一覧
他社が管理するDropboxや、個人契約しているDropboxのフォルダに社内のメンバーが招待され、編集可能な状態になっているものを一覧化したものです。
外部の共有フォルダに編集権限があると、そのユーザはその共有フォルダに保存されているファイルの編集が可能なだけではなく、そのフォルダにファイルを追加することも可能です。この場合、社内のデータを外部に保存することができてしまうので、情報漏洩のリスクが高くなります。
報告書サンプル画像4 – チーム外から共有されている共有フォルダで編集可能なもの
サービスの提供方法 (検討中)
Dropboxの機能を活用して、このサービスを提供することを考えています。
- レポートファイルの提出方法
Dropboxのファイルリクエスト機能を利用予定 (合わせて、報告先のメールアドレス情報などを提供頂きます)
- 診断結果の提供方法
Dropbox TransferやDocSendを利用予定
まとめ
これまでDropboxのアクセス権限の棚卸などを実施していなかった方は、一度管理コンソールからレポートを作成し、テキストエディタやExcelでファイルの内容を確認してみましょう！もし、レポートファイルを開いて、難しそうだと思われた方は弊社「Dropbox共有診断サービス(仮称)」をご利用いただければと思います。
診断サービスにご興味のある方、一度診断してみたいと思われた方は、まずはお気軽に下記のメールアドレスまでご連絡ください。
問合せ先：dropbox-sales@scsk.jp
弊社Dropbox紹介ページ: https://www.scsk.jp/product/common/dropbox/index.html
Dropbox: ストレージレポートを作成する方法 (Dropboxヘルプ) – チーム ストレージのレポートを作成する方法 – Dropbox ヘルプ
