ファイル転送チーム管理:権限とロールの設計

個人情報保護委員会（PPC）の安全管理措置ガイドラインは、個人データへのアクセスを「業務上必要な範囲」に限定することを義務付けています。ファイル転送サービスに「全員が何でも送れる」設定は、その要件に直ちに反します。最低限必要なロールは4つ：管理者（ワークスペースを設定）、マネージャー（異例のリクエストを承認）、送信者（日常ユーザー）、閲覧者（監査専用）。これにSAML 2.0またはOkta/Azure AD/Google WorkspaceからのSCIMプロビジョニングによるSSO、ファイルコンテンツへのDLPポリシー、不変の監査ログを重ねます。

4つのロールがほとんどのチームをカバーする

ロールを過剰設計すると混乱し、過少設計するとシャドーITを生みます。実用的な階層：

管理者： ユーザーをプロビジョニングし、デフォルトの保持期間を設定し、DLPルールを構成し、課金を管理し、ワークスペース全体の転送を表示
マネージャー： ポリシーでフラグされた転送（20GB超、外部ドメイン宛て、PII含む）を承認し、チームの転送を表示するが、ワークスペース設定は変更できない
送信者： 日常ユーザー。ポリシー上限までの転送作成、パスワード保護、許可範囲内での有効期限設定、自分の転送削除が可能
閲覧者： コンプライアンスまたはセキュリティロール。ワークスペース全体の監査ログへの読み取り専用アクセス。転送の作成や設定変更は不可

これらをディレクトリグループにマッピングしてください。Oktaにすでに engineering-leads があれば、新しいメンバーシップを作らず、エンジニアリング転送のマネージャーロールとしてそのままミラーリングします。

SCIMプロビジョニングで手動オンボーディングを廃止する

手動ユーザー管理は50人以上で破綻します。SCIM 2.0（System for Cross-domain Identity Management）により、IdPがユーザーの作成・更新・無効化を転送サービスに自動でプッシュします。

Okta、Azure AD、OneLogin、JumpCloudはすべてSCIMをサポートしています。一度設定すれば、新入社員を marketing ADグループに追加するだけで転送サービスアカウントが自動作成されます。オフボーディングは逆方向に機能します—ADから削除すると数分以内にアカウントが無効化され、実際の漏洩ベクターを閉じます。多くのコンプライアンス監査人は自動デプロビジョニングの証拠を要求します。SCIMがその証拠です。

設定すべき細粒度のアクセス制御

転送サービスのデフォルト設定はほぼ確実にリスク許容度と一致しません。以下を調整してください：

ロール別最大転送サイズ： 送信者10GB、マネージャー50GB、管理者100GB
ロール別最大保持期間： 送信者7日、マネージャー30日、管理者90日
パスワード要件： 外部ドメイン宛ての転送または1GB超のファイルには必須
有効期限要件： 「有効期限なし」オプションを廃止、最大90日の上限を設定
ダウンロード上限： デフォルトでリンクあたり10回。送信者は理由コード付きで50まで引き上げ可能
地理的制限： コンプライアンスが必要な場合、運用地域外の国からのアップロードまたはダウンロードをブロック

デフォルトを1ページのポリシーに文書化し、送信時にユーザーがルールを見えるように転送UIに表示してください。

生産性を殺さないDLP

転送コンテンツへのデータ損失防止は、意図しない送信を捕捉します。

正規表現ベースのPII検出： クレジットカード番号（PANフォーマット）、米国SSN（\d{3}-\d{2}-\d{4}）、EU IBAN、マイナンバー。ブロックまたはマネージャー承認を要求
キーワードリスト： 「機密」「弁護士秘匿特権」「合併」「社内限定」。レビューのためにフラグ
ファイルタイプ制限： ほとんどのロールに対して.exe、.dll、.msiをブロック。コンプライアンスエクスポートを除き.pst、.ostをブロック
コンテンツハッシュ： 既知の機密文書（取締役会デッキ、ソースコードリリース）のリストにファイルハッシュを照合。ブロックまたはアラート

落とし穴は誤検知です。トレーニング例のテスト用クレジットカード番号をメールするカスタマーサービス担当者はブロックされるべきではありません。2週間はシャドウモード（アラートのみ、ブロックなし）でDLPルールを調整してから強制してください。

コンプライアンスチームが使える監査ログ

監査ログは適切なイベントを記録し、かつ誰かが確認する場合のみ価値があります。最低限記録してください：

ユーザー認証イベント（ログイン、MFAチャレンジ、SSOリダイレクト）
転送作成（ユーザー、受信者ドメイン、ファイルハッシュ、サイズ、有効期限、パスワード設定）
ダウンロードイベント（IP、ユーザーエージェント、タイムスタンプ、成功/失敗）
ポリシー違反（サイズ超過のアップロード試行、DLPマッチ、有効期限オーバーライド試行）
設定変更（誰が何の設定を変更したか、新旧の値）

制度に応じてログを1〜7年保存してください：SOXは7年、HIPAAは6年、ISO 27001は2年以上。SIEM（Splunk、Datadog、Elastic）にエクスポートして、セキュリティテレメトリの残りのデータと並べてください。

意思決定に役立つ利用状況分析

管理ダッシュボードはグラフを表示するだけでなく、問いに答えるべきです。

送信量上位のユーザー—正当なヘビーユーザーか、漏洩の可能性があるか？
受信者ドメイン上位—すべて予想されるビジネスパートナーか？
平均転送サイズと保持期間—ポリシーは遵守されているか？
失敗と中断率—ツールが端で壊れているか？
ライセンス利用率—誰も使っていないシートに料金を支払っているか？

毎月レビューしてください。未使用ライセンスを削除し、外れ値を特定し、パターンをポリシー更新に反映させてください。

ドアを開けずに外部コラボレーターを扱う

送信者が外部パートナーにファイルを返送させる必要がある場合（ソース映像を送るクライアント、成果物を送るベンダー）があります。選択肢：

リクエストリンク： 管理者または送信者が特定の受信者許可リストと有効期限付きの一方向アップロードリンクを生成。アップロード側にログイン不要だが、アップロードは送信者のワークスペースに着地
ゲストアカウント： 自分のIdPを通じてSSOを使用した名前付き外部ユーザー（B2Bフェデレーション）。設定は重いが、長期間の関与に適切
匿名ドロップフォルダー： 公開提出（就職応募者がポートフォリオを提出）に有用だが、積極的なマルウェアスキャンとサイズ上限が必要

ユースケースを満たす最も軽いオプションを選んでください。リクエストリンクが外部コラボレーションの80%をカバーします。

暗号化とキー管理

チームプランが満たすべきベースライン：コンテンツにはAES-256-GCM、転送にはTLS 1.3、パスワード派生鍵にはPBKDF2（60万回以上のイテレーション）またはArgon2id。ブラウザ内（アップロード前）で暗号化するツールは、サービスが平文を保持しないことを意味します。HexaTransferはこのモデルを使用しており、暗号化キーはURLフラグメントに存在するため、ブラウザがサーバーに送信することはありません。

チームプランでは、送信者が退職した場合に管理者が転送を復元できるかどうか確認してください。真のE2EEは「受信者のアクセスなしには不可能」を意味します。これは脅威モデルがサービスがデータ開示を強制される可能性を想定する場合、バグではなくフィーチャーです。

ライフサイクルのメンテナンス

四半期ごとの定期タスクを設定してください：

ロールの割り当てをレビュー、もはや正当化されない昇格されたアクセスを削除
DLPルールの有効性を監査、90日間ゼロヒットのルールを削除、誤検知率の高いルールを強化
監査ログから10件のランダムな転送をスポットチェック、受信者の正当性と保持遵守を確認
ポリシー文書を更新、ユーザーが変更内容を見えるように変更履歴を公開

これを実行するチームはヒロイクな努力なしにコンプライアンスを維持します。実行しないチームは監査人が証拠を要求したときに火消しに追われます。

詳しくは https://hexatransfer.com をご覧ください。無料・アカウント不要・最大10 GB。