GSA、機密Google Driveファイルを職員・契約業者に開放したまま放置

何が起きたか

米国の一般調達局（GSA）が、機密性の高いGoogle Driveのファイルを職員と契約業者が閲覧できる状態のまま放置していたことが、The Registerの報道で明らかになりました。報道によると、監査機関はこうした不備を2014年以降も繰り返し指摘しているとのことです。

今回の問題の中心は、特定のツールの脆弱性ではなく、アクセス権限の管理がファイル単位で適切に行われていなかった点にあります。機密情報を扱う組織では、社内外の関係者が必要以上に広い範囲のデータに触れられる状態が続くと、情報漏えいのリスクが高まります。

なぜ重要か

公共部門のデジタル化は、クラウド上の共同作業ツールへの移行によって急速に進んでいます。利便性が高まる一方で、ファイルの共有範囲や権限を誰がどのように設定・見直すのかという運用上の課題は、技術の導入速度に追いついていないことが少なくありません。今回の件は、クラウドを導入すること自体よりも、導入後のガバナンスと運用が組織にとってどれほど重要かを示しています。

AIを活用した業務や自動化が広がるほど、組織が扱うデータの量と流通経路は増えていきます。どのデータに誰がアクセスできるのかを正確に把握できていなければ、AIの導入効果そのものが信頼性の面で損なわれかねません。デジタル変革を進めるリーダーにとって、権限管理は後回しにできないテーマです。

数字で見る

• 2014年：監査機関が同様のアクセス管理の不備を指摘し始めたとされる年です。
• 2026年10月29日：The Registerが今回の件を報じた日付です。

Renascenceの見解

多くの組織では、ファイル共有の設定は導入時の初期値のまま放置されがちです。今回のような問題は、担当者の不注意というより、「共有は既定で開いている」という設計の帰結として捉えるべきでしょう。

人は、目の前の作業を終えることを優先し、共有範囲を見直すことを後回しにします。行動経済学でいう初期設定の影響力が、そのまま組織のリスクになっているのです。だからこそ、既定値を「閉じている」状態に置き換え、共有を必要な人にだけ開く仕組みに変えることが先決です。加えて、権限の棚卸しを定期的な業務プロセスとして組み込み、誰が何にアクセスできるのかを定期的に確認する習慣を持つべきです。