「先週お送りしたPDF、開けますか」——その一言で崩れた前提

面談の場で、こちらが一週間前にLINEで送っていた資料を、社長に開いてもらおうとしたときのことです。画面をタップしても、ファイルは開きません。「有効期限が切れています」。LINEで送ったPDFは一定期間で見られなくなります。社長は苦笑いしながら、「またこれや」とつぶやきました。日常的に、書類が開けないことが起きていたのです。

これは、車の販売と整備を手がける従業員25名規模の会社、仮にS社での一場面です。売上は10億円規模、銀行3行と融資の話を同時に進めるほど事業は動いています。社長は数字への感度が高く、融資額も台数も即答する行動派。決して、いい加減な経営をしている方ではありません。

それでも、会社の売上管理シートも、事業計画書も、財務資料も、その保管場所をたどっていくと、行き着く先は「社員個人のGmailアカウント」でした。会社の機密が、個人の持ち物の中に置かれている。しかも本人も、それが問題だとは思っていない。この記事では、S社で実際に起きていた「会社データに置き場所がない」という状態と、私たちがその整備をどう引き受けたかをお伝えします。

先に結論をお伝えすると、必要だったのは高度なセキュリティ対策ではありませんでした。「会社のデータを収める、法人名義の箱をつくる」という、ごく基本の一手です。そして、その箱づくりは月1〜2万円程度から始められます。

「会社データを個人アカウントで持つ」のは、なぜ危ないのか

会社のデータやメールが社員個人のGmail・個人アカウントに乗っている状態は、便利に見えて大きなリスクを抱えています。その社員が辞めれば会社はデータにアクセスできなくなり、逆に退職後もその人がデータを持ち出せてしまう。管理者が誰かも曖昧になります。

権限管理や退職者アカウントの盲点は、IT担当者がいない中小企業のリスク｜権限管理の盲点で取り上げていますので、あわせてご一読ください。

IPA（情報処理推進機構）の「中小企業の情報セキュリティ対策ガイドライン」でも、情報資産を会社として管理し、アクセス権限を整理することは基本対策の一つに挙げられています。まず「会社名義の箱（法人アカウント）」を用意し、そこにデータと権限を集約することが、対策の出発点です。

参考（IPA 独立行政法人 情報処理推進機構）：中小企業の情報セキュリティ対策ガイドライン ／ SECURITY ACTION

「できている」ように見えて、実は誰も管理していない

一見、S社のIT環境は回っているように見えました。データはスプレッドシートで共有し、社内のやり取りはLINE。多くの中小企業と同じ、ごく普通の風景です。ところが一つずつ確認していくと、その足元が抜けていました。

社内の連絡手段として導入されていたLINE Worksは、「管理者アカウントが誰の個人アカウントに紐づいているのか、誰も分からない」状態になっていました。設定を変えようにも、管理者が特定できないため手を出せません。すでに退職した可能性のある社員のアカウントに、会社の連絡基盤の“鍵”が握られたままになっていたのです。

あなたの会社では、こんな状態になっていないでしょうか。次のどれかに当てはまるなら、S社と同じ土台の上に立っている可能性があります。

S社の社長自身、この状況をうすうす感じてはいました。「全部綺麗にしないと、結局全部綺麗にしていかなあかんねん。ちょっとずつするしかないねんけど」。問題意識はある。けれど、どこから手をつければいいのかが見えていませんでした。

根っこにあるのは「データを収める法人の箱がない」こと

問題の本質は、セキュリティの甘さではありません。「会社としてデータを持つための入れ物」が、そもそも存在しないことでした。私たちが第三者の視点でS社の状況を整理すると、一つの構造が浮かび上がってきました。

S社には、会社独自のドメイン（会社名の入ったネット上の住所）がありませんでした。メールアドレスも各自の個人Gmail。だから、社員が作ったスプレッドシートやファイルの“オーナー”は、会社ではなく作った本人になります。ここが、すべての起点でした。

面談の中で、私たちはこう問いかけました。「このデータのオーナーって、社長のはずですよね」。社長の表情が変わったのは、この瞬間でした。オーナーが個人である以上、その社員が辞めればデータへのアクセスは失われます。それだけではありません。「今のやり方だと、誰かがデータをそのままコピーして他所へ持っていくことまでできる。しかも履歴もたどれない。いつ持ち出したのかの形跡すら残らないんです」。USBを差してファイルを丸ごと抜かれても、会社は気づけない。悪意があるかどうか以前に、そもそも“見えない”のです。

この構造は、社長が全業務を頭の中で管理している状態と、実はうり二つです。人（管理担当者が不在）、労務（誰が集計するか決まっていない）、そして経営（会社の情報が個人依存）——それぞれ別の悩みに見えて、根っこは「会社としての仕組みが個人の中に溶けている」という一点でつながっています。ITインフラも、たまたま誰かの個人管理に乗っかっているだけ。その誰かがいなくなった瞬間に、崩れます。

ここで大事なのは、力を入れる方向です。私たちはこう伝えました。「Googleがやられたら、我々もお手上げです。個人がどれだけ対策しても、Googleの資本力や防御力には勝てない。だからそこは任せる。むしろ怖いのは身内から抜かれること。まず防ぐべきはそっちなんです」。難しいセキュリティ用語を並べる話ではなく、「まず自分たちの箱を持つ」。それだけで、リスクの大半は消えます。

「箱」をつくる——その場で始めた整備と、2〜3ヶ月のロードマップ

解決策は、シンプルです。「正しいものを、正しい場所に収める」。私たちはこの一言をS社の整備コンセプトに据えました。データも、紙も、あるべき場所を決めて、お道具箱を整理していく。そうすれば「どこに何が入っているか」のルールが自然に生まれていきます。

まず、その場で動きました。行方の分からなかったLINE Worksの管理者アカウントを、IDとパスワードをたどって追跡し、接続を確認。管理者権限を社長に一元化する作業に、面談の当日その場で着手しました。「一時期、私たちがS社のIT業務担当者に就任します」。宣言したのは、資料を置いて帰るためではなく、実行の責任を引き受けるためです。アドバイスだけでは、この手の整備はまず進みません。現場の中に入り、実際に鍵の在りかを突き止めて動かしてこそ、はじめて土台は動き出します。

そのうえで、腰を据えた整備は次の順序でロードマップにしました。

気になるのは費用でしょう。ここも、中小企業が身構えるほどの金額ではありません。実際の見込みは次のとおりです。

高額なシステムを無理に入れる必要はありません。月1〜2万円程度の器を用意し、そこに正しく収めていく。それだけで、「退職と同時に会社のデータが消える」「持ち出されても気づけない」という日常的なリスクが、大きく下がります。この整備は次回面談までに具体的な段取りを固め、2〜3ヶ月で走らせる計画としました。こうした中小企業のデータ整備と仕組み化の進め方は、専任のIT担当がいなくても、外から伴走者が入れば十分に回せます。

「IT担当者不在」に、はじめて名前がついた

これまでS社では、「IT担当者がいない」という最大の構造問題が、問題として認識すらされていませんでした。データが個人アカウントに散らばっていることも、LINE Worksの管理者が不明なことも、「まあ、なんとかなっている」で通り過ぎていたのです。それが面談を通じて、初めてはっきりと言語化されました。誰も担っていなかった役割に、「一時的に私たちが担う」という合意という形で、ようやく名前がついたのです。

社長の中でも、認識が切り替わりました。「LINE Worksをちゃんと使えば、社内連絡も管理も一元化できる」。そう腹落ちし、バラバラだった社内コミュニケーションをLINE Worksに集約する方向を、その場で承認しました。「最終的には一通り仕組み化して、人があまり触らなくてもできるようにしたい」——社長がずっと言葉にできずにいた願いが、具体的な次の一手とつながった瞬間でした。

行き先の見えなかった管理者アカウントは社長の手元に戻り、「どこに何があるか分からない」状態から「箱を用意して収めていく」段階へ。会社の情報が、社長や特定の個人の頭・スマホの中から、会社そのものの財産へと移り始めました。この土台さえできれば、銀行との対話に必要な資料も、日々の書類も、探し回らずに取り出せます。社長が本業に集中できる会社へ、一歩目が刻まれたのです。

まとめ

① 「できている」ほど危ない——まず自社の箱を疑う

スプレッドシートやLINEで回っている会社ほど、「できているつもり」で足元が抜けています。データのオーナーが社員個人になっていないか、連絡基盤の管理者が誰か答えられるか。まずこの2点を確認してください。

② 必要なのは高度な対策でなく「法人の箱」

ゼロトラストだ、最新のセキュリティだと身構える前に、会社名義でデータを持つ器をつくることが先です。Google Workspaceとドメイン、そして連絡基盤の統制。この基本だけで、退職や持ち出しのリスクは大きく下がります。

情報共有とデータ集約を両立するグループウェアの活用は、グループウェア・情報共有の効率化｜会議とメールを減らすで解説していますので、そちらもご覧ください。

③ 月1〜2万円から、外の力で始められる

IT専任がいない25名規模でも、月1〜2万円程度で整備は始められます。難しいのは金額ではなく、誰が手を動かして進めるか。ここを外の伴走者が引き受ければ、2〜3ヶ月で土台は整います。

最後に

会社のデータが、いつの間にか社員の個人アカウントに散らばっている。管理者が誰か分からないまま、連絡基盤が動き続けている。もし同じような状態に心当たりがあるなら、それは決してあなたの会社だけの話ではありません。多くの中小企業が、同じ土台の上で日々の業務を回しています。

大切なのは、大掛かりなシステムを入れることではなく、「正しいものを、正しい場所に収める」箱を先につくること。そして、その一歩目に一緒に手を動かす相手がいることです。自社のデータの置き場所に少しでも不安を感じたら、どこから手をつければいいのか、一度ご相談ください。現場の中に入って、整備の道筋を一緒に描くところからお手伝いします。