証跡依頼リストの、あの一行
監査人の依頼リストが届き、一行にこうあります。「ファイル共有プラットフォーム（Google ドライブ）へのアクセスに関する定期レビューの証跡」。手元にはドライブのログと、3月に見た気がするという曖昧な記憶と、何を見つけて何をしたかを示すものが何もない状態があります。
安心できる点：監査人はGoogleが認証を取得しているかも、あなたが使うツールが認証されているかも聞いていません。あなたの組織が見て、判断し、また見るつもりがあるか – そしてそれを証明できるかを聞いています。これは繰り返し可能な答えのある、書類の問題です。
その答えを担うのは3つの作業ファイルです。四半期チェックリスト、外部共有レポート – 公開ファイル1件につき1行、それぞれに判断と名前が付く – そして監査1回につき1行の証跡記録。この記事は証跡記録についてです。
アクセス レビューが示すべきもの
ISO/IEC 27001は情報セキュリティ マネジメントシステムの規格で、マネジメントシステムが満たすべき要求事項を定めます。SOC 2報告書は、セキュリティ、可用性、処理のインテグリティ、機密保持、プライバシーに関するサービス組織の統制についてのAICPAによる検証です。どちらも、ドライブの共有レビューについてGoogle固有の書式を定めてはいません。監査人が検証するのは、あなたが記述した統制 – 「ドライブへの外部アクセスを定期的にレビューしている」 – が実際に運用されているか、そして証跡がそれを示すかです。
実務上、監査人がアクセス レビューに求めるのはたいてい次の5点です。
- 範囲 – どのシステム、どのデータ、どの期間か。「ドメイン外に共有されたすべてのGoogle ドライブ ファイル、4月1日から6月30日」は範囲です。「ドライブ」は範囲ではありません。
- 誰がレビューしたか – 名前のある個人。判断を承認した人が別なら、その人も。
- 何が見つかったか – 件数と一覧：公開リンク、外部共有、もう取引のないドメインへの共有。
- 何を判断したか – 理由付きで維持、制限、または移管。そして誰が決めたか。
- 次はいつか – 日付と担当者。
監査対象期間の各四半期についてこの5点を出せば、それはレビューです。1番と3番だけならレポートです。どれも出せなければ、ただのログです。
ドライブのログのスクリーンショットがレビューにならない理由
反射的にやりたくなるのは、メニュー → レポート → 監査と調査 → ドライブのログイベント を開き、可視性変更の属性で絞り込み、結果を撮って添付することです。それは何かが存在するという証拠であって、レビューの証拠ではありません。理由は4つ。
ログはアクティビティ履歴であって、権限マップではありません。期間内にファイルの公開設定が変わったことは示しますが、期間より前にすでに公開または外部だったファイルはイベントを生まないため、ログは現在の公開状態を記述できません。
ログには期限があります。既定の表示は直近7日間で、ドライブのログイベントは6か月保持されます。12か月を見る監査人に、第4四半期の時点で第1四半期をログから見せることはできません – 保持期間の記事を参照。
ログには設計上の死角があります。外部ユーザーは、個別または特定のグループ経由で共有されていない限り匿名として表示されます。
そしてスクリーンショットには判断が含まれません。誰の名前も載っておらず、「維持、顧客が必要としている」も「7月3日に制限」も書かれていません。判断の欠落こそ、監査人が最初に気づくものです。
レビューを再現可能にする3つの成果物
再現可能とは、同じ入力を与えられた別の人が同じ発見に至り、同じ判断を検証できるという意味です。3つのファイルがそれを実現します。
証跡記録は索引です。レビュー1回につき1行：監査日、対象期間、担当者、エディション、レビューしたファイル数、見つかった公開・外部・放置の件数、制限した数、正当化した数、インシデント、次回監査日、次回担当者。4行で1年分になります。最初に渡すのはこれです。
レポートのエクスポートは、各行の背後にある発見事項と判断です。公開されている各ファイル、その所有者、場所、公開の種類、共有先、判断、誰が決めたか、いつ実施したか。レポート テンプレートの記事が列を順に説明します。その日にエクスポートし、日付を付けて、記録と一緒に保管してください。
ある時点の状態を示す成果物は、ログが与えられないものです。いつ公開されたかに関わらず、レビュー当日に何が公開されていたか。どこから得るかはエディション次第です。Enterprise StandardとPlus、Education StandardとPlus、Frontline Plus、Enterprise Essentials Plus、Cloud Identity Premiumでは、ドライブ インベントリのエクスポートが各ファイルの共有先を含むメタデータをBigQueryへ書き出します – 各エクスポートは前回を上書きするので、日付付きのコピーを保存してください。Businessエディションでの標準的な経路は、「共有ドライブを管理」からのメンバー一覧に加え、ユーザー単位の sharedwith:external owner:me 検索で、これは管理者が代わりに実行できません。組織全体のスキャンのエクスポート – 全ユーザーのマイドライブと全共有ドライブ、日付付き – がBusinessエディションの管理者にとってその枠を埋め、レポート テンプレートの「発見元」= scan が指しているのもこれです。
四半期チェックリストが3つの成果物を順序立て、組織全体のドライブ アクセス監査ガイドがその長編版です。
頻度、担当、そして退職時のルール
監査人はたいてい頻度と、それが守られたかを聞きます。既定は四半期ごと。規制対象であるか顧客契約が求めるなら月次。そして退職があれば必ず。停止はその人が作った共有に触れず、共有文書へのアクセスを与えられていた共同編集者はそれを保持するからです。停止は削除ではないがその隙間を説明しています。
頻度は証跡記録の隣に書いてください。実施者と予定が1つの文書になります。「次回担当者」欄の名前は、統制が運用されている証です。空欄は、運用されていない証です。
何を渡すか
四半期ごとに1つのフォルダ：証跡記録の該当行、日付付きのレポート エクスポート、日付付きの状態成果物、そして正当に履歴ではなく状態を示す1枚のスクリーンショット – メニュー → アプリ → Google Workspace → ドライブとドキュメント の共有設定で、ドメインの既定値と組織部門ごとの差異を写したもの。このフォルダがレビューそのものです。中身にツールの認証は必要ありません。必要なのは、あなたの名前と、日付と、判断です。
出典
- ISO/IEC 27001:2022 – 情報セキュリティ マネジメントシステム – 「ISO/IEC 27001 is the world's best-known standard for information security management systems (ISMS). It defines requirements an ISMS must meet.」一行の説明にのみ使用。
- System and Organization Controls: SOC Suite of Services（AICPA & CIMA） – SOC 2刊行物の題名「Reporting on an Examination of Controls at a Service Organization Relevant to Security, Availability, Processing Integrity, Confidentiality, or Privacy」。一行の説明にのみ使用。
- ドライブのログイベント – 階層、既定の7日間表示、可視性変更の属性、外部ユーザーの匿名表示。
- データの保持期間と遅延 – ドライブのログイベントは6か月保持。
- 組織のドライブ インベントリをエクスポートする – エディション一覧、共有先を含むメタデータ、BigQuery、各エクスポートは前回を上書き。
- 管理者として共有ドライブを管理する – 管理者はメンバー一覧を利用可能。
- 組織の外部共有を管理する – 共有設定の階層、組織部門ごとの差異。
- ユーザーを一時的に停止する – 「Collaborators who have been granted access to shared documents will retain their ability to view, edit, and collaborate on those documents.」
- Google ドライブの検索演算子 –
sharedwith:external owner:me、自分のドライブのみ。2026-09-09に再確認。