クラウドストレージの安全性は、サービスの機能と自社運用の両方で決まります。契約前・導入時・運用中・終了時の4段階で、確認すべき項目を整理します。
契約前のセキュリティ確認
| 項目 | 確認内容 | 記録する証拠 |
|---|---|---|
| 利用範囲 | 扱う業務と情報の重要度 | 情報分類・利用目的 |
| 事業者 | 運営主体、公開された安全対策、問い合わせ先 | 公式資料・契約書 |
| 保存・移転 | 保存地域、再委託、データ持ち出し条件 | 利用規約・仕様書 |
| 認証 | 二段階認証、ID連携、パスワードポリシー | 対応プラン・設定手順 |
| アクセス | IP制限、端末制御、管理者分離 | 設定画面・運用手順 |
| ログ | 利用者・管理者操作、保存期間、取得方法 | サンプルログ |
| 復旧 | 上書き・削除・障害時の復元範囲と時間 | 保持期間・復元テスト |
| 終了 | データ出力、消去、契約終了後の扱い | 解約条件・移行手順 |
接続元IPを制限する場合は、法人向け固定IP VPNの料金・ログ・接続方式比較も確認してください。
端末側の対策費用は、ESET HOME セキュリティの料金比較で台数・年数別に確認できます。業務利用では利用条件と集中管理の要否も確認してください。HOME製品がすべての法人に適するという意味ではありません。
IP制限は「許可」と「拒否」の両方を試す
IP制限を有効にしたという記録だけでなく、どの画面・接続方式を制限する設定なのかを確認します。XServerドライブの公式手順はストレージ管理パネルを指定IPからの接続に限定する説明です。別のアプリやAPIまで同じ制限が働くとは決めつけないでください。
- 許可する経路：予定した固定IPから、必要な権限を持つ利用者が対象画面へ接続できるか。
- 許可しない経路：対象画面について、許可リストにない接続元が設計どおり拒否されるか。
- 回線切替後：Wi-Fiやモバイル回線を切り替えても、VPNの状態と接続元IPを確認できるか。
- 復旧手順：管理者が使う承認済みの復旧経路と連絡先が用意されているか。
結果は固定IP VPN導入チェックリストと接続テスト表に残せます。予定した接続が拒否された場合は、VPN接続元IP・許可リストの切り分け手順を確認してください。IP制限は、多要素認証・利用者権限・端末対策・バックアップの代わりではありません。
この検証手順は2026年10月8日に追記しました。
導入時に設定する項目
- 管理者アカウントを一般利用と分ける
- 管理者から二段階認証を有効にする
- 個人単位ではなく部署・役割グループで権限を付ける
- 社外共有リンクのパスワードと有効期限を標準化する
- 退職・異動・委託終了時の停止担当と期限を決める
- 管理者ログ・利用者ログの確認頻度を決める
- 削除・上書きからの復元を実際に試す
「クラウドだからバックアップ済み」とは限りません。バージョン保持、ゴミ箱、サービス障害、アカウント侵害、ランサムウェアを分けて考え、必要な別保管と復旧手順を決めます。
毎月・四半期・年次の運用
- 毎月：退職・異動者、期限切れ共有リンク、管理者変更を確認
- 四半期：アクセス権、操作ログ、容量増加、不要アカウントを点検
- 年次：復元訓練、契約・料金・仕様変更、事故対応連絡網を確認
XServerドライブで確認できる代表機能
公式資料では、二段階認証、指定IPアドレスからのアクセス制限、グループ・ユーザー別共有、URLリンクのパスワード・有効期限、バージョン機能、管理者・ユーザー操作ログが案内されています。必要な機能が契約候補のプランで使えるか、無料試用時に実際の設定と復元を確認します。
よくある質問
二段階認証だけで十分ですか？
十分ではありません。権限、共有、端末、ログ、復元、退職時対応を組み合わせます。管理者アカウントは特に厳しく管理します。
操作ログは毎日見るべきですか？
情報の重要度と体制によります。通常確認の頻度、異常時の通知、事故発生時の調査手順を決めます。
無料試用でセキュリティを確認できますか？
対応機能の設定、権限、共有、復元、ログの取得は実際に試します。一部機能や人数に制限がある場合は公式条件を確認します。
参考資料
2026年10月1日時点の公式資料に基づく一般的な確認項目です。業界固有の規制や個人情報保護対応は専門担当者へ確認してください。