8か月目に届く質問
文書があってはならない場所に現れます。法務、あるいは顧客が、もっともな質問をします。これはいつ、誰によって共有されたのか。ドライブのログイベントを開き、期間を目一杯広げ、そのファイルで絞り込み – 何も出てきません。「外部共有なし」ではなく、何もない、です。共有は8か月前に起き、Googleのログは2か月前にそれを覚えているのをやめました。
これは不具合でも、エディションのせいでもありません。保持期間の窓であり、ドライブの監査が何を証明でき、何を証明できないかを形づくるものです。
その窓：6か月、ほぼリアルタイム
Googleのデータ保持のページは、ドライブのログイベントを保持期間6か月、遅延は数分 – 「ほぼリアルタイム」 – と記載しています。集計されたドライブのハイライト レポートは1〜3日遅れますが、フォレンジックに使うイベント単位のログはほぼ即時です。
6か月はスライドする窓です。毎日、最も古い1日が後ろから落ちていきます。Googleのページは、これを延長する方法も、期限切れになったイベントを取り戻す方法も文書化していません。重要なものは、そうなる前にログの外へ出しておく必要があります。
ログとは何か – そして何ではないか
ドライブのログイベントは メニュー → レポート → 監査と調査 → ドライブのログイベント にあり、すべてのWorkspaceエディションで使えます。各行はアイテムに対する操作 – 表示、名前を変更、作成、編集、印刷、削除、アップロード、ダウンロード、Source Copy – で、タイムスタンプと実行者が付きます。共有監査が頼るのはイベントではなく属性です。可視性変更、Googleの定義ではアクティビティ前のドライブ アイテムの公開設定です。イベント名の一覧に共有専用のイベントはないので、属性で絞り込みます。
ログでないもの：権限マップです。変更を記録するのであって、状態を記録しません。1月にファイルが公開になり、その後共有に何も触れていなければ、8月には窓のどこにも可視性変更の行はありません – そしてファイルは今も公開です。共有はログの記録が消えても消えません。結果が空でも、そのファイルの現在の状態については何も証明しません。
スライドするログは「最近何が変わったか」には非常によく答え、「今何が公開されているか」には、直近半年に誰かが触ったファイルの範囲でしか答えません。
既定の7日間表示
このページは直近7日間で開きます。クエリを実行し、何も出ず、このファイルは一度も共有されていないと結論づけてしまうのは簡単です。正直な結論は、今週は共有されていない、です。空の結果に意味を読み取る前に、期間を6か月いっぱいまで広げてください – そして、その6か月いっぱいでもやはり6か月でしかないことを忘れずに。フィルタの使い方は共有されたドライブ文書に誰がアクセスしたかで追っています。
外部ユーザーは匿名として表示される
もう1つのフォレンジック上の限界は、ログが誰を名指すかです。Googleのページは明確です。ドメイン外のユーザーは匿名として表示されます。例外は、個別に、または特定のグループのメンバーとして明示的に共有された文書を閲覧・編集する場合です。閲覧・編集・ダウンロードは記録されるので、匿名の誰かが公開リンクのファイルを開いたことは分かります。それが誰かは分かりません。
名前のある社外アドレスに共有されたファイルなら、ログは名前を返します。「リンクを知っている全員」のファイルなら、返すのはタイムスタンプだけです。公開リンクが直接の外部共有より悪い2つめの理由がこれです。範囲が広いだけでなく、事後に帰属できません。
何を、いつエクスポートするか
6か月より後に問われる可能性が少しでもあるなら、期限切れの前にコピーを取ってください。Googleはドライブのログイベントの検索結果をスプレッドシートまたはCSVファイルへエクスポートできるようにしています。小規模な管理チームで実行可能な習慣はこうです。
- 四半期に一度、ドライブのログイベントを開き、期間を前四半期に設定し、可視性変更の属性で絞り込む。スプレッドシートへエクスポート。これがその期間の共有変更の記録になり、3年目にもまだ存在します。
- 同じ作業の中で、機密と考えるものについてダウンロードとSource Copyで絞り込み、これもエクスポートする。データが外へ出ていく様子を示すイベントです。
- 各エクスポートに四半期の名前を付け、次の管理者が見つけられる場所に置く – 管理者グループだけが管理者権限を持つ共有ドライブが自然な置き場所です。
- 何をいつエクスポートしたかをファイルに書いておく。6か月後、ログはそれを裏付けてくれません。
四半期ごとなら保持期間の窓を余裕をもって重ねられます。年に一度では重なりません – 半年分を失います。四半期ごとのアクセス監査チェックリストが、これを完全なサイクルに組み込みます。
ログが止まるところ
エクスポートしたログは、何が変わったか、そして名前のあるユーザーについては誰が変えたかを教えます。組織全体で今何が共有されているかは教えられません。その共有の大部分を生んだイベントが、ログより古いからです。Businessエディションには、すべてのマイドライブとすべての共有ドライブにわたる現在の共有状態を示す標準レポートはありません – 最も近いドライブ インベントリのエクスポートは、EnterpriseとEducation Standard以上の機能で、出力先はBigQueryです。
補完するもの：現在の状態のスキャン
ログは履歴です。それに現在のスナップショットを並べてください。すべてのファイル、すべての権限を、共有がいつ行われたかに関わらず、今の姿で。並べれば、8か月目の質問に答えが出ます。スキャンがファイルは公開だと示し、その四半期のエクスポート済みログが、いつ公開になり誰がそうしたかを示すのです。
Drive Guard for Adminsがスナップショット側です。Marketplaceからの管理者インストール1回で全ユーザーに配布され、誰も自分でインストールしません。全ユーザーのマイドライブと全共有ドライブをスキャンし、公開リンク・外部共有・放置されたアクセスを1つのダッシュボードにエクスポート付きで表示します – どのログも覚えていない1月の公開リンクを含めて。報告はしますが、修正は共有ダイアログか「共有ドライブを管理」であなたが行います。ツール内での取り消しはロードマップ上です。ログを含む手作業の全手順は組織全体のGoogle ドライブ アクセスを監査するにあります。
出典
- データの保持期間と遅延 – ドライブのログイベントは6か月保持。遅延はほぼリアルタイム（数分）。ドライブのハイライト レポートは1〜3日
- ドライブのログイベント – 階層、既定の7日間表示、イベント一覧、可視性変更の説明（「アクティビティ前のドライブ アイテムの公開設定」）、匿名の外部ユーザー、検索結果のスプレッドシートまたはCSVへのエクスポート
- 組織のドライブ インベントリをエクスポートする – エディション一覧とBigQueryという出力先。「ログが止まるところ」の段落で引用
- 管理者として共有ドライブを管理する – 修正を行う場所として参照