社外から会社のファイルを見る方法は、会社が渡した端末か私物の端末か、VPN で社内につなぐか、クラウドのサービスで見るか、で分かれます。総務省の「中小企業等担当者向けテレワークセキュリティの手引き（チェックリスト）」は、この組み合わせで 8 つの方式に分け、方式ごとに確かめる項目を挙げています。決まりは、自社がどの方式かを先に決めてから、その方式の分だけを書きます。
方式は、端末とつなぎ方の組み合わせで 8 つに分かれます
| つなぎ方 | 会社が渡した端末 | 私物の端末 |
|---|---|---|
| VPN で社内につなぐ、または社内のパソコンを遠くから操作する | 方式 1 | 方式 5 |
| インターネットのクラウドのサービスで見る | 方式 2 | 方式 6 |
| 端末や持ち出したメディアにデータを入れて、つながずに使う | 方式 3 | 方式 7 |
| 専用のブラウザ（セキュアブラウザ）で見て、端末に保存しない | 方式 4 | 方式 8 |
総務省の手引きの分け方です（テレワークの方式）。同じ会社の中に、いくつかの方式が混ざっていることもあります。社長はノートパソコンで VPN、営業は私物のスマートフォンでクラウドのメール、という具合です。人ごとに、どの方式で何を見ているかを書き出すところから始めます。
方式が決まると、決まりに書く中身も決まります。たとえば、端末にデータを保存する方式なら、なくしたときの手順が要ります。VPN で社内につなぐ方式なら、社外から入る入口の機器の手入れが要ります。毎月確かめることは、VPN の機器の記事 に書いています。
社内の人が社外から見るときと、社外の人に見せるときを分けて決めます
社外から見るのは、社員だけではありません。見積書や図面を、お客様や取引先に渡すこともあります。2 つは、決めることが違います。
社内の人が、社外から見る
- 使ってよい端末（会社の端末だけか、私物も認めるか）
- つなぎ方（VPN か、クラウドのサービスか）
- 端末に保存してよいか、保存してよい場所
- 社外からのサインインに求める確認
- なくしたときに、誰に何分以内に知らせるか
社外の人に、ファイルを見せる
- 誰まで共有してよいか（社内だけ・招いた人だけ・リンクを知る人）
- リンクの期限（何日で開けなくなるか）
- 見るだけか、直してもよいか
- パスワードを付けるか
- 終わった共有を、いつ見直すか
社外の人に渡すリンクには、期限と「見るだけ」を付けます
2026 年 5 月、当社はフォークリフトの販売と整備の会社様のために、共有のフォルダを SharePoint へ移す前に試す手順を作りました。その中の 1 つの場面が、営業の方が見積書をお客様に渡すときです。見積書を、「閲覧のみ・期限 7 日・パスワード付き」のリンクで共有し、期限が過ぎたあとにリンクが開けなくなることを確かめる、という手順にしました。
Microsoft の案内によると、SharePoint と OneDrive では、外部共有をどこまで許すかを、会社として選べます。リンクを知っている人なら誰でも開ける形を許す場合も、そのリンクに何日で切れる期限を付けることを求めたり、見るだけに限ったりできます（共有リンクの有効期限）。
期限の無いリンクは、取引が終わったあとも、リンクを知る人が開ける状態で残ります。同じ手順書には、過去 30 日の外部への共有を一覧で出して見直すことも入れました。共有の範囲の選び方と、移す前の練習のしかたは、SharePoint へ移す前に試す記事 に書いています。
社外からのサインインには、もう 1 つの確認を求めます
パスワードだけで社外から入れる状態だと、パスワードが漏れたときに、そのまま入られます。サインインには、パスワードとは別の確認（二要素認証）を加えます。
同じ手順書では、社外の IP アドレスからつなぐときに多要素認証を求める設定を、運用とセキュリティの確認の項目に入れました。Microsoft 365 では、条件付きアクセスという設定で、場所や端末によってサインインの条件を変えられます。Microsoft の案内では、使うには Microsoft Entra ID P1 のライセンスが要り、Microsoft 365 Business Premium のライセンスでも使えます。プランを選ぶ前に確かめることは、Google Workspace と Microsoft 365 の記事 に書いています。
決まりは 1 枚にして、見直す日を書いておきます
- 自社の方式（総務省の手引きの 8 つのどれか。人ごとに違えば人ごとに）
- 使ってよい端末と、画面のロック
- つなぎ方と、社外からのサインインに求める確認
- 端末に保存してよいもの、してはいけないもの
- 社外の人への共有のしかた（範囲・期限・見るだけ・パスワード）
- 端末をなくしたときに知らせる相手と、知らせるまでの時間
- 辞めた人のアカウントと共有のリンクを止める日
- 共有の一覧を見直す日（たとえば 30 日ごと）
端末をなくしたときにその日のうちにすることは ノートパソコンをなくしたときの記事 に、辞める人のアカウントを止める順番は 辞める日の記事 に書いています。
当社のネットワーク見える化の「情報セキュリティの体制づくり」では、持ち出すパソコンの管理や、なくしたときの手順を、ルールと文書にします。社外から見るときの決まりも、同じ文書の中に置けます。
