2026年版ビジネス向けファイル共有コンプライアンスチェックリスト

2026年のビジネス向けファイル共有コンプライアンスチェックリストは10項目で構成される。データ目録と分類、処理の法的根拠、ベンダーとのデータ処理契約（DPA）、暗号化（保存時AES-256-GCM・転送時TLS 1.3）、MFAを含むアクセス制御、保存と削除のポリシー、SIEM連携を含む監査ログ、GDPR第33条とHIPAA侵害通知規則に基づく侵害対応手順、サードパーティリスク管理、そして従業員研修だ。各項目には書面化されたポリシー・技術的な実施・監査証拠の3点セットが必要であり、いずれか一つでも欠けると、SOC 2 Type II審査の不合格や個人情報保護委員会（PPC）による指導につながる。

データ目録と分類から始める

ツール選定より前に、何をどの程度の機密度で共有しているかを把握する必要がある。個人データ・財務情報・医療情報・知的財産という種別、社員・顧客・パートナーという原出所、GDPRの個人データ・HIPAAのPHI・PCI DSSのカード会員データという規制上の区分でデータを整理する。四段階の分類体系（公開・内部・機密・制限付き）がほとんどの企業に適している。Microsoft Purview・Google DLP・Varonisは候補分類を自動生成するが、最終判断は人間が行う。

法的根拠と同意の文書化

GDPRの第6条は処理活動ごとに適法な根拠を求める。ファイル転送に関連する個人データについては、契約履行・法的義務・正当な利益・同意のいずれかが根拠となる。第9条の特別カテゴリ（健康・バイオメトリクス・政治的意見）は明示的な同意または特定の条件が必要だ。改正APPI第16条は利用目的の特定を求め、第17条は目的外利用を禁じる。同意記録は細粒度で、撤回可能で、処理期間と同じ長さで保管する必要がある。

ベンダー契約とDPA

個人データを取り扱うすべてのファイル転送ベンダーとはGDPR第28条第3項を満たすDPAが必要だ。DPAには処理の主題・期間・性質・目的・データ種別・データ主体の区分・管理者の義務・処理者のコミットメントを明記する。PHIが関係する場合はHIPAAのビジネスアソシエイト契約（BAA）も追加する。DPAは年次および重要なサービス変更時にレビューし、署名済み原本を有効期限アラート付きで保管する。テンプレートのみで固有の規定を欠くDPAは調達審査を通過させてはならない。

暗号化設定の確認

保存データはAES-256（GCMまたはCBC-HMAC）で暗号化されているか。転送データはフォワードシークレシーを伴うTLS 1.3で保護されているか。鍵はHSMまたはKMSで管理され、ローテーションスケジュール（マスター鍵は年次、セッション鍵は接続ごと）が文書化されているか。エンドツーエンド暗号化サービスの場合は、鍵導出関数（600,000回以上のイテレーションを持つPBKDF2またはArgon2id）とサーバーがリンクのフラグメントのみから鍵を復元できない設計かを確認する。規制対象ワークロードには、サーバー侵害時でも平文が露出しないツールを優先する。

アクセス制御とMFAの強制

例外なく全アカウントにMFAを適用する。TOTP・WebAuthn/FIDO2・プッシュ通知アプリが望ましく、SMSは代替手段がない場合のみ許容する。企業IdP（Okta・Azure AD・Google Workspace）とのSSOを連携し、アカウントライフサイクルを一元管理する。管理者・監査レビュー担当・一般送信者を分離したロールベースのアクセス権を設定し、最小権限の原則を徹底する。受信者アクセスは共有可能なURLではなく認証済みリンクで行う。

保存ポリシーの技術的な実施

書面上のポリシーだけでは監査に耐えられない。ツールに保存ルールを技術的に組み込む必要がある。一般的な転送は7日間、機密カテゴリは初回ダウンロード時に失効、延長は文書化された理由がある場合のみとする。削除がファイルレベルの削除か暗号化消去かを確認し、要件と一致させる。リーガルホールド機能は保全対象ファイルの削除をブロックできることを確認する。

監査ログとモニタリング

アップロード・ダウンロード・リンク作成・リンク失効・認証試行・MFAチャレンジ・管理者操作のすべてのログを記録する。ログにはタイムスタンプ・アクター・IPアドレス・ユーザーエージェント・リソース識別子・操作が含まれる必要がある。SIEMへストリーミングし、他のエンタープライズイベントと相関分析を行う。HIPAAは6年、SOXは7年という最長適用規則に合わせてログを保持する。ダウンロードの急増・予期しない地域からのアクセス・管理者権限の変更・認証失敗の急増といった異常を監視する。

侵害対応の事前準備

GDPRの72時間クロックは事前準備がすべてを決める。名前入りのインシデント対応責任者・法務・広報・経営幹部を含むエスカレーションツリー・各規制機関向けの通知テンプレート（CNIL・ICO・HHS OCR・各州AG・カードブランド）・事前承認済みの封じ込め措置を文書化する。年2回以上の卓上演習を実施し、事後報告書を保存する。PPCへの報告義務についてはAPPIの改正内容を踏まえた手順書を整備する。

サードパーティリスク管理

現行のSOC 2 Type IIまたはISO 27001の証拠とともにベンダー目録を維持する。年次でペネトレーションテストのサマリーを要求する。外部セキュリティレーティングサービスに登録し、大幅なスコア低下でアラートを受ける。DORAの第28条が求める「情報レジスター」は金融機関にとって不可欠だ。重要インフラ向けのNIS2第21条2項（d）はサプライチェーンセキュリティ義務を定める。

研修と組織文化

全従業員を対象とした年次研修と、財務（PCI DSS）・人事（従業員プライバシー）・医療スタッフ（HIPAA）・法務（守秘義務）向けのロール別モジュールを実施する。年4回のフィッシングシミュレーション、入社1週間以内の新入社員研修、違反に対する制裁を明記したポリシーと一貫した執行が文化の土台となる。

HexaTransferはAES-256-GCMクライアントサイド暗号化・EUホスティング・7日間の自動削除・エクスポート可能なログを備え、上記の多くのチェックリスト項目に対応する。詳しくは https://hexatransfer.com をご覧ください。