ファイル転送のデータ漏洩を防ぐ：セキュリティチェックリスト

ファイル転送中のデータ漏洩を防ぐには5つの層でのコントロールが必要です。転送時の暗号化（TLS 1.3）と保存時の暗号化（AES-256-GCM クライアントサイド）・受信者ごとの認証済みアクセス・改ざん防止ストアへの監査ログ・自動有効期限付きの短期保持・異常検出から数分以内に起動するインシデント対応手順。2023年の MOVEit Transfer 侵害は、管理対象ファイル転送製品の単一のゼロデイによって2,600以上の組織のデータを公開しました。このゼロデイはレイヤー5を監視していなかった顧客のレイヤー1〜3を迂回しました。チェックリストベースのアプローチでギャップを発見できます。具体的な実装メモ付きの完全リストを紹介します。

なぜファイル転送が漏洩のホットスポットなのか

ファイル転送は外部ネットワーク・複数の信頼境界・DLP（データ損失防止）ツールが簡単にスキャンできない非構造化コンテンツの交差点に位置します。2023年の Verizon DBIR は侵害の74%を人的要素に起因させており、誤ったファイル共有はフィッシングと並んで最も一般的なきっかけの一つです。Accellion FTA（2021年）・Progress MOVEit（2023年）・Cleo Harmony（2024年）はすべて大規模に侵害されたエンタープライズファイル転送製品を提供しており、インシデントごとに数百万件の記録が露出しました。

教訓：ファイル転送ツールは組織間で移動するビジネスクリティカルなデータを運ぶため高価値なターゲットです。強化は任意ではありません。

暗号化チェックリスト

• [ ] すべての HTTPS エンドポイントで TLS 1.3、max-age=31536000 の HSTS を有効化
• [ ] ファイルコンテンツに AES-256-GCM（パディングオラクル攻撃に脆弱な AES-CBC ではない）
• [ ] PBKDF2-SHA-256 で600,000回以上、または Argon2id（OWASP 2023）で鍵を導出
• [ ] 機密以上に分類されたものにはクライアントサイド暗号化
• [ ] 第2層としてサーバーサイド暗号化（AWS KMS・GCP KMS・または Azure Key Vault を使ったエンベロープ暗号化）
• [ ] すべての TLS 接続で完全前方秘匿性（ECDHE 暗号スイート）
• [ ] 実現可能な場合はエンタープライズクライアントで証明書ピニング

転送サービスがプリミティブを明示せず「軍事グレードの暗号化」を宣伝している場合、詳細を求めてください。曖昧な主張は通常、サーバーサイドのみの AES-128 を意味します。

アクセス制御チェックリスト

• [ ] すべての共有リンクがリンク自体以上の認証を要求する（パスワード・メール確認・SSO）
• [ ] 外部受信者にはシングルユースリンクを優先
• [ ] すべてのリンクに有効期限（デフォルト72時間、最大30日）
• [ ] 意味がある場合はダウンロード数の上限（例：最大1〜5ダウンロード）
• [ ] 固定パートナーの IP 範囲との B2B 交換には IP 許可リスト
• [ ] 高感度文書のウォーターマーキング（受信者ごとのスタンプ付き .pdf）
• [ ] 自動サーバー間転送には mTLS

裸の共有リンクはベアラートークンです。URL を持つ誰でも完全なアクセスが可能です。ベアラートークンはメール転送・チャットチャンネル・ブラウザ履歴・CDN アクセスログで漏洩します。

共有前のデータ分類

すべてのファイルが同じ扱いに値するわけではありません。ほとんどの組織に機能する3層スキーム：

• 公開： プレスリリース・マーケティング資料。トランスポートのみの暗号化で十分。
• 機密： 顧客データ・財務報告・HR 記録。クライアントサイド AES-256-GCM とアクセス制御。
• 制限： 企業秘密・未パッチ脆弱性の詳細・M&A 資料。クライアントサイド暗号化+認証済みアクセス+ウォーターマーキング+24〜48時間有効期限。

自動分類が役立ちます。Microsoft Purview・Google Drive DLP・Forcepoint DLP はアップロードをスキャンして PII・PCI-DSS カードホルダーデータ・PHI を検出し、ポリシーに基づいてブロックまたはリダイレクトします。小規模なチームには、ファイル命名規則（[CONF]・[RESTRICTED]）と訓練されたチームで十分です。

人的要因のコントロール

侵害データは一貫して人間がエントリポイントであることを示しています。対処するコントロール：

• フィッシング耐性のある認証（FIDO2 ハードウェアキーまたはパスキー、SMS は不可）
• 受信者確認プロンプト：「送信前に受信者のメールを確認してください」
• ファイルが組織外に出ることを送信者に知らせる UI の外部受信者フラグ
• 送信後5〜10分の取り消しウィンドウ（送信者が配信をキャンセルできる）
• フィッシングシミュレーションを含む6か月ごとの必須トレーニング

Google Workspace の Drive 共有における「外部」警告は Google の内部調査で偶発的な外部共有を23%削減しました。小さな UX のヒントが効果をもたらします。

監査ログと監視

• [ ] すべてのアップロード・ダウンロード・リンク作成・アクセスイベントをログに記録
• [ ] ログを5分以内に SIEM（Splunk・Elastic・Sentinel・Datadog）に転送
• [ ] 規制要件に応じたログ保持期間（PCI-DSS：最低1年、HIPAA：6年、GDPR：ケース次第）
• [ ] 異常検出：異常なダウンロード量・時間外アクセス・地理的外れ値
• [ ] 定義された SLA（15分以内の確認）でオンコールローテーションにアラートをルーティング

MOVEit の攻撃者はほとんどの被害組織で検出される前に数週間データを持ち出していました。リアルタイムの異常検出（ダウンロード量の急増・新しい IP 範囲・異常なユーザーエージェント）があれば、滞在時間を大幅に短縮できたでしょう。

保持と削除のコントロール

ファイルがサーバーに置かれている日数は、それが盗まれる可能性がある日数です。短期保持は最も高いレバレッジを持つ単一のコントロールです。

• デフォルト保持：ほとんどのファイル転送で7日間
• 最大保持：正当化を要求する延長付きで30日間
• 有効期限時の暗号的削除（ペイロードだけでなく鍵を上書き）
• 期限切れ前に受信者に通知してダウンロード期間を確保
• 規制されたウィンドウ内でのログとバックアップから期限切れエントリの自動削除

HexaTransfer は保持期間を7日に制限し、有効期限時に暗号化ペイロードと鍵材料を削除します。 Dropbox Transfer と WeTransfer も保持設定を提供しています。実用的な最短ウィンドウを使用してください。

インシデント対応手順

漏洩が疑われる場合：

• [ ] 検出から15分以内に影響を受けた共有リンクを取り消す
• [ ] 疑わしい活動に関連するユーザーの認証情報をローテーション
• [ ] ログを保全する（攻撃者のクリーンアップでログが消去されないよう書き込み専用コピー）
• [ ] 1時間以内に法務とプライバシーチームに通知
• [ ] タイムラインに従って規制通知を提出：GDPR 第33条（監督機関に72時間）・HIPAA 違反通知規則（HHS に60日）・州の漏洩法（多くは30〜60日）
• [ ] 露出が大規模または不明な場合はフォレンジック対応に従事（Mandiant・CrowdStrike・Kroll）

少なくとも年次でプレイブックをテーブルトップ演習で実行してください。練習したチームは IBM のコスト・オブ・データ・ブリーチ・レポートによれば2〜3倍速く対応します。

チェックリストを実践に移す

40以上すべてを一度に展開しようとしないでください。優先順位：まず暗号化とアクセス制御、次にログと監視、3番目に保持と分類、最後にインシデント対応（そしてテスト）。四半期ごとに見直し、新しい脅威インテリジェンスで更新してください。MOVEit と Accellion の侵害はいずれも狭い技術的バグを悪用しましたが、最も滞在時間が短く露出が最小だった組織は、保持ウィンドウが短く積極的な監視を行っていた組織でした。チェックリストは単一のコントロールよりも層の重ね方が重要です。

hexatransfer.comでお試しください — 無料、登録不要、最大10GB。