社外とファイルを安全に共有する方法｜手段の選び方と基本ルール

「取引先にはメール添付でよいのか、それとも共有リンクで送るほうが安全なのか。」

社外とファイルをやり取りするたびに迷い、上司に聞かれても即答できない方は少なくありません。

基本となるのは、社外とファイルをやり取りする手段を、会社として決めておくことです。選ぶ手段は、相手を特定できること、期限を付けられること、閲覧のみに制限できること、送った後に取り消せること、記録が残ることの5つを満たすものにします。パスワード付きZIPのメール添付と、誰でも開ける共有リンクは、この条件を満たせないため業務の標準から外します。

この記事を読めば、社外共有の基本と主な手段の違い、起きやすい失敗、手段別の安全な使い方と基本ルールが分かります。上司や取引先に、自社の方針を自分の言葉で説明できる状態を目指す内容です。

社外とのファイル共有とは？まず知る基本

社外とのファイル共有には、「送る」方法と「見せる」方法の2種類があります。「送る」は相手にファイルのコピーを渡す方法、「見せる」は自社にある原本を相手に見せる方法です。社内でのやり取りより注意が必要な理由と、安全な共有に欠かせない5つの条件を先に押さえておくと、理解しやすくなります。

社外共有は「送る」と「見せる」の2種類

「送る」方法は、メール添付やファイル転送サービスのように、相手の手元にファイルのコピーが届く方法です。書類のコピーを郵送するのと同じで、送った後は自社で管理できません。宛先の確認と、受け取り用のリンクを後から止められるかが要になります。

「見せる」方法は、クラウドストレージ（インターネット上のファイル置き場）の外部共有のように、自社にある原本へ相手を招き入れる方法です。自社の会議室に招いて原本を見せるのに近く、原本が1つで済みます。誰に見せるかの設定を誤ると、想定していない相手にまで見られるおそれがあります。見積書を1回渡すだけなら「送る」、取引先と資料を更新し合うなら「見せる」が基本です。

社内より注意が必要な3つの理由

社外への共有が社内より慎重を要する理由は3つあります。1つ目は、相手のパソコンや設定を自社で管理できないことです。社内なら情報システム部門が管理できる範囲も、社外では相手任せになります。

2つ目は、送った後に戻せないことです。総務省のテレワークセキュリティガイドラインも、リンクを無効にしても相手がダウンロードした後は削除できないと注記しています。相手のポストに入った郵便物を戻せないのと同じで、取り消しが効くのはダウンロード前までです。

3つ目は、宛先の間違いがそのまま漏えいになることです。

安全な共有に欠かせない5つの条件

どの手段を使う場合も、安全性は次の5つの条件で決まります。相手を特定できること、期限を付けられること、閲覧のみにできること、送った後に取り消せること、そして誰が見たかの記録が残ることです。

記録は、オフィスの入退室記録のように「誰が・いつ・何を」見たかを後から追えるものを指します。パスワード付きZIPのメール添付と、リンクを知っていれば誰でも開ける「匿名リンク」は、既定のまま使うと5条件のうち複数を満たせないため、業務の標準から外すのが妥当です。

社外とファイルを共有する主な手段と特徴

社外とファイルを共有する主な手段は、メール添付、クラウドストレージの共有、ファイル転送サービス、企業間ファイル転送・共有サービスの4つです。それぞれ向く場面と弱点が違うため、5つの条件に照らして次の表で比べます。

手段	向いている場面	相手の負担	送った後の取り消し	誰が見たかの記録
メール添付	小さな資料を1回だけ送る	なし	できない	残らない
クラウドストレージの共有（相手を指定して招待）	取引先と資料を更新し合う	サインインか確認コードの入力	権限の削除でできる	残る
ファイル転送サービス	大きな資料を1回だけ送る	なし（受取URLを開く）	ダウンロード前ならURLの無効化でできる	サービスの仕様による
企業間ファイル転送・共有サービス	取引先との定常的な受け渡し	用途により不要〜アカウント発行	URLの無効化・権限の削除でできる	残る
SFTP・USBメモリ	システム間の自動転送／ネットワークに接続できない環境	専用ソフトの設定が必要／なし	できない	サーバの記録に残る／残らない

メール添付：手軽だが容量と宛先ミスが弱点

メール添付は最も手軽な手段ですが、送信できる容量に上限があり、宛先を間違えた時点で自社の手を離れます。Gmail の個人アカウントは25MBまでで、Google はこの上限を「エンコード前のメール本文と添付ファイルの合計サイズ」と説明しています。Microsoft 365 のメール（Exchange Online）は送信が既定で35MBまでで、管理者が1MBから150MBの範囲で変更可能です。

注意したいのは、自社が送れることと相手が受け取れることは別だという点です。受信側の上限は相手の会社が決めており、受信側はエンコード後の大きさで判定されるため、変換でおよそ3割大きくなります。数MBを超える資料は、はじめから転送サービスやクラウドを利用するほうが確実です。

また、送った後に取り消す手段がなく、相手が開いたかどうかの記録も残りません。

クラウドストレージの共有：リンクと招待の違い

OneDrive や Google ドライブ、Box などのクラウドストレージには、社外の相手にファイルを見せる「外部共有」の機能があります。使い方は2つに分かれ、安全性が大きく異なる点に注意が必要です。「リンクを知っている全員」が開けるリンクを送る方法と、相手のメールアドレスを指定して招待する方法です。

前者は匿名リンクと呼ばれ、鍵のない部屋の場所を教えるのと同じで、転送されれば誰でも入れます。Microsoft の公式解説（Microsoft Learn）も、匿名リンクは本人確認が要らず、誰が見たかを後から確かめられないと明記しています。社外との共有は、相手を指定して招待する方法を標準にし、匿名リンクは業務で使わないのが原則です。OneDrive での操作と設定は、別記事「OneDriveで社外とファイル共有する手順と安全な設定の選び方」で説明しています。

ファイル転送サービス：大容量を1回だけ送る

ファイル転送サービスは、大きな資料を1回だけ渡す用途に向いた「送る」手段です。ファイルをサービスに預けると受取URL（ファイルを受け取るためのリンク）が発行され、相手はそれを開いてダウンロードします。宅配ボックスの番号を相手に伝えるのに近い仕組みで、相手にアカウントは要りません。

安全に使うには、受け取り期限・ダウンロード回数・パスワードを設定でき、送った後に受取URLを無効にできるサービスを選ぶ必要があります。 

避けたいのは、担当者が個人の判断で無料のサービスを使うことです。総務省の「クラウドの設定ミス対策ガイドブック」は、管理部門の許可なく使われるサービスをシャドーITと呼び、注意を促しています。記録がなければ事故の影響範囲を特定できないため、会社として使うサービスを決めておくことが大切です。

企業間ファイル転送・共有サービスとその他の手段

企業間ファイル転送・共有サービスは、「送る」と「見せる」の両方を1つの管理のもとで扱える法人向けのサービスです。相手のアカウントが要らない受取URLでの送信と、取引先ごとに権限を分けた共有を、同じ記録で確認できます。取引先との受け渡しが日常的で、記録を求められる会社に向くサービスです。

そのほかの手段として、SFTP（暗号化した通信でシステム同士がファイルを送る方式）は、決まった時刻に自動で受け渡す用途に向き、人が手で送る用途には向きません。仕組みは別記事「FTPとSFTPの違いとは？初心者向けに仕組みと使い分けを解説」で説明しています。USBメモリなどの物理媒体は、紛失すると何が入っていたか分からなくなるため、原則として使いません。

社外とのファイル共有で起きやすい失敗と影響

社外共有で実際に起きている事故の多くは、不正アクセスではなく、宛先や公開範囲を間違えるという人のミスです。事故が起きると、会社は取引先への説明に加え、内容によっては国への報告と本人への通知の義務を負います。

漏えいの多くは宛先や公開範囲の間違い

個人情報保護委員会が2026年7月に公表した令和7年度年次報告では、民間事業者から委員会に直接報告された漏えい等13,345件のうち、誤交付が6,443件、誤送付が3,467件を占めました。合わせて約74%が「渡す相手の間違い」です。この数字には紙の書類の渡し間違いも含まれますが（紙媒体のみの事案が76.9%）、ファイルの共有でも構図は同じです。

公表された事故にも一定の傾向があります。メール添付では、複数の相手に一斉送信するときに宛先欄の使い方を誤り、受信者全員のメールアドレスが見えた事例が続いています。大阪市消防局の2026年8月の事例は、ダブルチェックを実施していたにもかかわらず発生しました。

クラウド共有では、ファイル共有サービスの公開範囲の設定ミスにより、自社やグループ会社の顧客・取引先・退職者などの情報が「リンクを知っているインターネット上のすべての人」に閲覧できる状態になっていた事例を、総務省のガイドブックが2023年の事例として紹介しています。

パスワード付きZIPのメール添付が減った理由

パスワードを別のメールで送る方法は、PPAPと呼ばれます。一見安全に見えますが、宛先を間違えれば2通目のパスワードも同じ相手に届き、誤送信を防げません。暗号化された添付はウイルス検査もできないため、受け取る側で拒否や隔離をされることもあります。

近年は、PPAPを見直す企業が増えています。一般財団法人日本情報経済社会推進協会（JIPDEC）は2020年11月、プライバシーマーク制度として、パスワードで暗号化したファイルを添付し別メールでパスワードを送る方法を従来から推奨していないと示しました。同じ月に内閣府と内閣官房も、ファイルの送付と同じ経路でパスワードを自動送信する方式を廃止しています。パスワードを電話など別の経路で伝える運用まで否定されたわけではありませんが、同じ経路で送る運用は政府が自ら取りやめた方式です。社内で方針を説明するときの材料になります。

事故が起きたときに会社が負う対応

個人情報が漏れた場合、事業者は状況の把握と本人・取引先への説明に追われます。さらに、法律の定める4つの事態に当たるときは、個人情報保護委員会への報告と本人への通知が義務になります。4つの事態とは、病歴などの要配慮個人情報が含まれる、財産的な被害のおそれがある、不正の目的によるおそれがある、1,000人を超える、のいずれかです。

期限も決まっており、発覚から数日以内（目安は3〜5日）に分かった範囲で出す速報と、30日以内（不正の目的のおそれがある場合は60日以内）にまとめて出す確報が必要です。「漏れたおそれがある」段階でも対象になる点に注意してください。誰が見たか分からない手段では影響の範囲を特定できず、この対応が重くなります。記録が残る手段を選ぶ意味は、事故を防ぐことだけでなく、事故後の対応を軽くすることにもあるといえます。

手段別の安全な使い方と失敗しない基本ルール

どの手段でも、先に挙げた5つの条件を満たす使い方にすれば、宛先と公開範囲の間違いを仕組みで抑えることが可能です。手段ごとの設定と、迷ったときの基本ルールをまとめます。

メール添付で送ってよい資料と送らない資料

メール添付で送ってよいのは、機密度が低く、容量が小さく、相手が1人に決まっている資料です。個人データや契約書、価格の入った資料は添付で送らず、次に述べる手段に移します。ZIPで暗号化してもファイル名は隠せないため、ファイル名に案件名や顧客名を書かないことも最低限のルールです。

複数の相手に一斉に送る場合の対策として、JIPDECは「送信先はBCCにしか入力できないようにする」「BCCによる一括送信をやめ、メール配信システムを利用する」を挙げています（BCC は、受信者どうしにアドレスが見えない宛先欄です）。人の注意に頼らず、間違えられない仕組みに置き換えることが確実な対策です。

クラウド共有は相手を指定し期限を付ける

クラウドストレージで社外と共有するときは、相手のメールアドレスを指定して招待します。その際に有効期限を設定し、閲覧のみの権限から始めます。匿名リンクは使いません。案件が終わったら共有を解除し、担当者個人のフォルダからは共有しないことも大切です。個人の領域は、その人の異動や退職にひも付いています。アカウントが整理されると共有そのものが止まることがあり、引き継ぎの手当も担当者任せになります。部署として管理する場所から共有してください。

サービスの初期設定は、安全な値とは限りません。総務省の「クラウドの設定ミス対策ガイドブック」は、何も設定しないまま不都合な値が有効になっている状態も「設定ミス」に含めています。初期設定のまま使った結果、情報が漏えいした事例があると注意を促しています。

転送サービスは期限・回数・パスワードを毎回設定

ファイル転送サービスを使うときは、会社が指定したサービスを使い、受け取り期限・ダウンロード回数・パスワードを毎回設定します。パスワードはメール本文とは別の経路（電話やチャット）で伝えるのが原則です。送った後に宛先の間違いに気づいたら、まず受取URLを無効にします。

手段	必ず付ける設定	使ってよい場面	使わない場面
メール添付	ファイル名に案件名・顧客名を書かない	機密度が低く小さな資料を1人に送る	PPAP。個人データや契約書
クラウドストレージの共有	相手を指定して招待。有効期限。閲覧のみ	継続的に更新し合う資料	匿名リンク。個人のフォルダからの共有
ファイル転送サービス	期限・回数・パスワード（別経路）。URLの無効化ができること	大容量の資料を1回だけ送る	会社が指定していない無料サービス
企業間ファイル転送・共有サービス	取引先ごとに権限を分ける。閲覧のみから始める。記録の確認	取引先との定常的な受け渡し	設定や権限の管理を誰も担わない状態

迷ったら守る5つの基本ルール

手段の細かい設定を覚えきれなくても、次の5つを守れば大きな失敗を防げます。

1. 会社が決めた手段を使う。個人の判断で無料サービスやプライベートのアカウントを使わない
2. 相手を指定する。誰でも開けるリンクや宛先の不明なメールで送らない
3. 期限を付け、閲覧のみを既定にする。編集やダウンロードは必要なときだけ許可する
4. 送る前に、宛先とファイル名と中身をもう一度確認する
5. 終わったら共有を止める。間違えたらすぐに止めて、情報システム部門に報告する

資料の区分	1回だけ渡す相手	継続的な取引先
公開してよい資料	メール添付でよい	クラウドストレージの招待共有
社外秘（見積書・図面・仕様書）	ファイル転送サービスか企業間ファイル転送・共有サービスで送る。期限・回数・パスワード付き	企業間ファイル転送・共有サービスの共有か、クラウドストレージの招待共有に期限を付ける
個人データ・契約書・機密情報	企業間ファイル転送・共有サービスで送る（承認と記録付き。承認は有償オプションの場合あり）	企業間ファイル転送・共有サービスの共有（閲覧のみ・期限・記録）

判断に迷う資料は、1段階上の区分として扱うとリスクを抑えられます。

専用サービスを使う判断とGigaCCの機能

単発で、量が少なく、機密度が低い資料は、既存のクラウドストレージで、相手を確認してから開ける（認証付きの）共有で対応できます。一方、継続的な取引先とのやり取り、記録が求められる資料、相手がアカウントを持たない場合、送信前の承認が必要な場合など、条件が重なるときは専用のサービスに分けるのが適切です。 

既存のクラウドで足りる場合と分ける場合

既存の Microsoft 365 や Google Workspace で足りるかは、4つの点で判断します。相手が単発か継続的か、記録をどれだけの期間求められるか、相手がアカウントや確認コードを使える環境か、送る前に上司の承認が必要かです。少量・単発・低機密の共有なら、追加の投資は要りません。

4点のうち2つ以上が当てはまるなら、社外との共有だけを専用サービスに分ける構成が現実的です。旭化成グループは、企業間ファイル転送・共有サービス「GigaCC」を社外とのファイル送受信の公認ツールとしています。機密性の高い情報を社外とやり取りする場合は、原則としてGigaCCを使用するよう定めてます。

GigaCC ASPの標準機能と有償オプション

企業間ファイル転送・共有サービス「GigaCC」は、日本ワムネット株式会社が2002年から提供する純国産のサービスです。累計1,000社以上の企業に導入されています。製品の GigaCC ASP は、ファイル送信機能・ファイル共有機能・セキュリティと管理の3つを1つにまとめた構成です。

区分	内容
標準機能（全プラン）	ファイル送信／ファイル共有／履歴ログ管理（誰が・いつ・何をしたかの記録。200項目以上の検索項目から検索し、表計算ソフトで開ける CSV 形式で出力）／ディレクトリ権限設定（フォルダごとに、誰がどこまで使えるかを決める）／IPアドレス制限（会社の回線など、決めた接続元からしか使えないようにする）／2要素認証（パスワードに加えてもう1つの確認で本人を確かめる）／ウイルスチェック／アカウント期限設定（利用できる期間を決める）／サーバ内暗号化（預けたファイルを読めない形で保管する） など
有償オプション	プラン選択型（13種から選ぶ）： 上長承認（ワークフロー機能）／宛先制限／自動削除（送信・共有したファイルを自動で削除する）／履歴ログ自動出力（記録の出力を自動化する）／ZIP強制暗号化 など。個別有償（プランを問わず別料金）： 全件バックアップ（証跡管理。アップロードされたファイルを別の領域に保存し、事故のときに管理者が取得して確認できる）／コマンドラインツール（人が画面を操作せず、システムから自動でやり取りする道具） など
料金（税別）	初期費用50,000円。Standard は10ID（利用者アカウント10人分）・1GBで月額12,000円から。Advanced（プラン選択型から3種）は初期5,000円＋月額25,000円追加、Premium（全種）は初期5,000円＋月額42,000円追加。ID追加は50ID単位で月額10,000円。最低契約期間3か月です。最新の料金は公式サイトの料金プランをご確認ください。
認証・実績	ISMSクラウドセキュリティ認証（ISO/IEC 27017 ： 2015）、プライバシーマーク、JIIMA「電子取引ソフト法的要件認証」（いずれも第三者機関が情報管理や法対応を確認した認証）。2025年の稼働率100%

上長承認は送る前に上司の確認を挟める機能、宛先制限は、ファイルの送り先をあらかじめ指定した相手だけに限る機能です。どちらも有償オプションなので、Standard に個別で追加するか、複数使うなら Advanced 以上のプランで見積もるのが確実です。導入企業の例では、ティーガイアが約900社の代理店との受け渡しに社外用として約1,300IDを契約しています。大日本印刷は、取引先側でサービスの契約が不要で、自社側でアカウントを払い出す運用を挙げています。

上司と取引先に説明するときの要点

上司には、次の3点に絞って説明するのが効果的です。

取引先には、変更の理由を「貴社を含めた取引全体のセキュリティを確保するため」と伝え、受取URLを開くだけでアカウントは不要であることを先に示します。切り替えの時期は相手ごとに猶予を設け、並行期間中はどちらでも受け取れる形にすると、調整が円滑に進みます。

まとめ

社外とのファイル共有における事故の主な原因は、宛先と公開範囲の誤りです。これらは、社外とファイルをやり取りする手段を統一することで、仕組みとして防げます。統一する手段には、相手を特定できる、期限を付けられる、閲覧のみを既定にできる、送った後に取り消せる、記録が残る、という5つの条件が必要です。パスワード付きZIPのメール添付と匿名リンクは標準から外します。1回だけ渡す資料は「送る」手段、継続する取引先とは「見せる」手段で使い分けるのが基本です。

まずは、いま社外に共有しているファイルと共有先を書き出し、5つの基本ルールを部署で確認するところから始めてください。承認や記録が要る資料は、企業間ファイル転送・共有サービス「GigaCC」のような専用サービスに分ける判断も選択肢になります。

参考文献

• 個人情報保護委員会「令和7年度 年次報告」（2026年7月7日公表）
• 個人情報保護委員会「漏えい等報告・本人への通知の義務化について」
• JIPDEC プライバシーマーク推進センター「メール添付のファイル送信について」（2020年11月18日） 
• JIPDEC プライバシーマーク推進センター「メール誤送信を防ごう」
• 内閣府「平井内閣府特命担当大臣記者会見要旨 令和2年11月24日」
• 総務省「テレワークセキュリティガイドライン（第5版）」（2021年5月）
• 総務省「クラウドの設定ミス対策ガイドブック」（2024年4月）
• Microsoft Learn「Microsoft 365 の OneDrive と SharePoint での共有可能なリンクのしくみ」 
• Microsoft Learn「Exchange Online limits」
• Google「Gmail でファイルを添付する」
• Google「Gmail でブロックされるファイル形式」
• 大阪市「大阪市消防局におけるメール誤送信による個人情報の漏えいについて」（2026年8月20日）
• 日本ワムネット「GigaCC ASPとは」
• 日本ワムネット「GigaCC ASP 料金プラン」
• 日本ワムネット「導入事例 株式会社ティーガイア」
• 日本ワムネット「導入事例 大日本印刷株式会社」
• 日本ワムネット「導入事例 旭化成株式会社」