OneDriveと暗号化ファイル転送、より安全なのは?

OneDrive は暗号化されていないメールや FTP でファイルを送るよりは安全ですが、エンドツーエンド暗号化ではありません。 Microsoft が鍵を保持しているため、コンテンツスキャン、電子証拠開示（eDiscovery）、および CLOUD Act や Stored Communications Act に基づく合法的なアクセス要求に応じてファイルを復号できます。 HexaTransfer、 Tresorit Send、 Proton Drive Send などの専用暗号化ファイル転送サービスは、クライアントサイドで AES-256-GCM 暗号化を実行するため、プロバイダーは暗号文しか保存しません。機密でないコラボレーションには OneDrive の利便性が勝りますが、 HIPAA、 GDPR 第 32 条、 PCI DSS 4.0 の規制対象データには E2EE 転送サービスが実質的に安全です。

OneDrive の実際の暗号化方式

OneDrive はファイルを保存時にファイルごとの AES-256 鍵で暗号化します。その鍵自体は Microsoft の Key Store に保存されたコンテンツ暗号化鍵で暗号化され、さらに Azure Key Vault のマスターキーで保護されます。よく設計されたチェーン構造であり、転送中はすべて最新の暗号化スイートを使った TLS 1.3 が適用されます。 Microsoft のドキュメントはアーキテクチャについて異例なほど透明です。

ただしこれはエンドツーエンド暗号化ではありません。 Microsoft はすべての層で鍵を保持しています。 SharePoint（ OneDrive for Business の基盤）はコンテンツスキャン、 DLP ポリシー評価、マルウェア検出を平文に対して実行します。これらの機能は価値がありますが、設計上 E2EE とは相容れません。

Microsoft の Double Key Encryption（DKE）

Microsoft 365 E5 の顧客は Double Key Encryption を有効にできます。これは Microsoft の鍵の上に顧客が保持する鍵を追加します。 DKE で保護されたファイルを復号するには、 Microsoft の鍵と顧客が運営する DKE サービスが提供するオンプレミス鍵の両方が必要です。 Microsoft 単独では復号できず、顧客の鍵サービスの応答が必要です。

DKE は特定のファイルに対して本物の E2EE を提供します。セットアップコストは現実的です。 E5 ライセンス（月額 $57/ ユーザー）、 DKE サービスのホスティング、鍵ローテーションの管理、 Office の「保護」ボタンについてのユーザートレーニング。機密契約を扱う大規模組織には合理的です。ほとんどの中小企業にとっては過剰です。

専用暗号化転送サービスが異なること

HexaTransfer、 Tresorit Send、 Proton Drive Send はすべて同じアーキテクチャパターンを実装しています。暗号化はアップロード前に送信者のブラウザで行われます。対称鍵（ AES-256-GCM）はクライアントサイドで生成されます。サーバーは暗号文のみを保存します。鍵は URL フラグメント、パスワード、または事前交換された公開鍵を通じて受信者に届きます。

Microsoft の鍵も、 Azure Key Vault も、復号に参加するプロバイダーも必要ありません。脅威モデルが変わります。プロバイダーを信頼する代わりに、エンドポイントと鍵配送チャネルのみを信頼します。多くの規制シナリオでは、これが監査人が求める態勢です。

比較：OneDrive と専用 E2EE 転送

| 項目 | OneDrive for Business | OneDrive ＋ DKE | HexaTransfer | |---|---|---|---| | 保存時の暗号化 | AES-256（MS 管理） | AES-256（MS ＋ 顧客） | AES-256-GCM（クライアントサイド） | | プロバイダーが平文を参照可能 | あり | なし | なし | | セットアップの複雑さ | なし | 高（E5 ＋ DKE サービス） | なし | | ユーザーあたりコスト | 月額 $5〜22 | 月額 $57 以上 | 無料 | | 最大ファイルサイズ | 250 GB | 250 GB | 10 GB | | 保持期間 | 永続 | 永続 | 7 日 | | 管理監査ログ | あり | あり | 最小限 | | BAA 対応 | あり | あり | プロバイダー依存 |

シナリオ別の安全性

オンボーディング文書の社員共有ドライブには OneDrive が適しています。コンテンツは機密ではなくコラボレーションが重要だからです。マーケティング素材ライブラリにも OneDrive が適しています。外部リンク経由で配信される請負業者の SOW PDF なら、匿名リンクよりパスワード保護リンクの方が良いですが、おそらく OneDrive でも大丈夫です。

外部顧問に送る侵害対応フォレンジックレポートには、 E2EE 転送サービスが実質的に安全です。クリニック間で送る患者画像（ DICOM ファイル）には、 HIPAA BAA を備えた E2EE サービスが正当な選択です。 M&A デューデリジェンス文書には、 E2EE サービスに区分されたアクセスを組み合わせることが標準的な実践です。訴訟相手方に送る弁護士業務成果物には、 E2EE が通信経路レベルと プロバイダーレベルの両方の侵害から同時に保護します。

CLOUD Act の問題点

2018 年の米国 Clarifying Lawful Overseas Use of Data Act（CLOUD Act）により、米国法執行機関はデータの物理的な保存場所に関わらず、米国プロバイダーに保有データの開示を強制できます。アイルランドに保存された OneDrive データも米国の手続きの対象になります。これは米国以外の組織にとって問題です。 EU の顧客データを OneDrive に保存するドイツ企業は、米国の令状が届いたとき管轄上の矛盾に直面します。

プロバイダーが復号できない E2EE 転送サービスはこれを直接回避します。暗号文しか保存していないプロバイダーへの CLOUD Act 令状は、まさに暗号文を生産します。一部のサービス（ Proton、 Tresorit）は米国管轄外に本社を置き、さらに一層の保護を追加しています。

実用的なハイブリッド戦略

Microsoft 365 を運用するほとんどの組織は OneDrive を廃止すべきではありません。 Teams、 Outlook、 Windows と密接に統合されているからです。代わりに、機密な外部送信には E2EE 転送サービスを追加してください。ワークフロー：編集用として作業ファイルを OneDrive に保存し、最終版をエクスポートして、 HexaTransfer または Tresorit Send で外部受信者に送信します。 OneDrive のコピーは Microsoft の鍵管理下に自分の元に残り、外部配信は E2EE になります。

これにより Microsoft の DLP、 eDiscovery、保持ツールを内部コンプライアンス用に維持しつつ、最も弱いリンクである外部送信、つまりプロバイダーの平文アクセスが最も重要な場所を閉じることができます。

リスク評価が問うべき 3 つの質問

3 つの質問で OneDrive 単独で十分かどうかが明確になります。第一に、 Microsoft の従業員がこのファイルを読んだ場合、規制上または競争上の損害が生じるか？あれば DKE または E2EE サービスに移行してください。第二に、 Microsoft への米国政府の召喚状が非米国法（ GDPR、 PIPL、 LGPD）のもとで法的問題を生じさせるか？あれば E2EE の方が安全です。第三に、これは 1 回限りの送信か、継続的なコラボレーションか？1 回限りであれば、 E2EE 転送サービスの方が DKE の設定より運用上シンプルです。

hexatransfer.comでお試しください — 無料、登録不要、最大10GB。