Copilotに聞いたら他部署の給与表が出てきました — 従業員94名の医療機器商社が下期の全社展開前にやり直した共有フォルダの権限棚卸し

この記事の事例は、実際にいただくご相談をもとにした想定ケースです。特定の企業を指すものではありません。

7月14日、営業課長の画面に「職能給テーブル」が引用として出ました

大分県内で医療機器の販売と保守を手がけるB社（従業員94名、うちMicrosoft 365のアカウントを持つ事務・営業・技術が46名）は、7月からMicrosoft 365 Copilotを10ライセンスだけ先に配りました。10月から46名全員へ広げる計画で、下期の予算にも載せていました。

7月14日、営業課長が「うちの部の時間外が増えている理由を、社内の資料から探してください」と入力しました。返ってきた文章そのものは当たり障りのない内容でしたが、末尾の引用元に「2026年度_職能給テーブル.xlsx」と「賞与査定_課長級_案.xlsx」が並んでいました。開いてみたら、そのまま開けました。

その日のうちに、10ライセンスの利用は一旦止まりました。

原因はCopilotではなく、2019年のフォルダ移行でした

情シスを兼任する総務課長が最初に疑ったのはCopilotの設定でした。ただ、Microsoft 365 Copilotのデータ、プライバシー、セキュリティには、Copilotは「個々のユーザーが少なくとも表示アクセス許可を持っている組織データのみを表示します」と書かれています。つまり営業課長には、はじめからそのファイルを開く権限がありました。

さかのぼると、2019年に社内のファイルサーバーをSharePointへ移したときでした。「まず全部見えるようにして、あとで絞る」という段取りのまま、旧フォルダの階層ごと「外部ユーザーを除くすべてのユーザー」に閲覧権限が付いていました。あとで絞る作業は、担当者の異動とともに止まっていました。7年間だれも気づかなかったのは、エクスプローラーから辿る限り人事部のフォルダが視界に入らなかったからです。Copilotは権限を広げたのではなく、検索の入口を変えただけでした。

「検索から隠す」応急処置は、7月末で新規に使えなくなっていました

B社が最初に探したのは、人事や経理のサイトを検索対象から外す設定でした。ところが制限付きSharePoint Searchは廃止が案内されていて、2026年7月31日以降は新規の有効化がブロックされています。もともと最大100サイトの許可リストで、権限を確認するまでの時間稼ぎに設計された機能でした。

代わりに使ったのが制限付きコンテンツ検出（RCD）です。指定したサイトを全社検索とCopilotの応答から外せますが、Microsoft 365 CopilotライセンスとSharePoint高度な管理が前提になります。権限そのものは変わらないので、直接アクセスできる人はこれまでどおり開けます。アイテム数が50万を超えるサイトでは反映に1週間以上かかる場合があると案内されており、B社は最大でも12万件だったため数日で落ち着きました。

検討した手	変わること	B社がどうしたか
制限付きSharePoint Search	検索とCopilotに出るサイトが、最大100件の許可リストに絞られること	7月31日以降は新規に有効化できないため、見送りました
制限付きコンテンツ検出（RCD）	指定したサイトが全社検索とCopilotの応答に出なくなること	人事・経理・法務の4サイトに掛けました
権限そのものの見直し	ファイルを開ける人が変わること	3週間かけて23サイト分を洗い直しました
サイト所有者の決め直し	権限を判断する人が決まること	所有者が不在だった3サイトに後任を立てました

棚卸しの中心は、フォルダではなく共有リンクと所有者でした

本題はここからでした。B社はSharePoint高度な管理のデータアクセスガバナンスレポートを開き、「サイトのアクセス許可状態」「リンクの共有アクティビティ」「特定のユーザーに対するサイトのアクセス許可」の3本を出しました。

出てきた数字は次のとおりです。全社が閲覧できる状態のフォルダが17、うち人事・経理・法務が4。有効期限のない「リンクを知っている全員」の共有リンクが212本、うち作成者が退職済みのものが28本。サイト所有者が退職者アカウントのまま残っていたサイトが3つありました。営業課長1名を指定して開けるサイトの一覧を出したところ27サイトで、業務上必要なものは9サイトでした。

作業は総務2名と総務課長の3人で、3週間・延べ19時間です。手が止まったのは権限の設定ではなく、「このフォルダは誰の持ち物か」を決める場面でした。そこで先に、所有者へレビューを依頼する文面を作りました。

当社のSharePointサイトのうち、下の3サイトで「外部ユーザーを除くすべてのユーザー」に
閲覧権限が付いていました。各サイトの所有者へ、権限の見直しを依頼するメールの下書きを
作ってください。

- 人事部サイト（所有者: 人事課長）
- 経理部サイト（所有者: 経理課長）
- 品質保証部サイト（所有者: 退職者アカウントのまま）

条件
- 件名は20字以内で、依頼内容が件名だけで分かること
- 本文は250字以内。誰の落ち度かは書かないこと
- 「10月からCopilotを全社で使うため」という理由を1文で入れること
- 期限（8月29日）と、返してほしい形式（残す人・外す人の一覧）を明記すること
- 所有者が退職者アカウントのサイトは、後任を決める依頼に文面を変えること

誰がどのアカウントで生成AIを使っているかという別軸の棚卸しについては、AIの利用ログを11か月開いていなかった話にまとめています。

あわせて読みたいAIの利用ログを11か月開いていなかった — 従業員62名の食品工場が棚卸しで見つけた「シャドーAI7人」

10月の全社展開に向けて、決めたのは4行だけでした

8月8日時点で、全社閲覧のフォルダは17から2に、期限のない共有リンクは212本から0本になりました。28本は削除し、残りは有効期限30日を付け直しています。所有者不在の3サイトにも後任が立ちました。

そのうえでB社が文章にしたのは、次の4行です。権限は個人ではなく部署のグループ単位で付けること。「外部ユーザーを除くすべてのユーザー」は全社周知の資料を置くサイトだけに使うこと。共有リンクの既定を「特定のユーザー」にして有効期限を30日にすること。サイト所有者は各サイト2名以上とし、異動と退職はその月のうちに引き継ぐこと。文言は次のように整えました。

当社の共有フォルダの権限ルールを、社内向けに文章化します。
下の決定事項を、迷いが出やすい場面ごとの短い文に直してください。

決定事項
・権限は個人単位で付けず、部署のグループ単位で付ける
・「外部ユーザーを除くすべてのユーザー」は、全社周知の資料を置くサイトだけに使う
・共有リンクは既定を「特定のユーザー」にし、有効期限を30日にする
・サイト所有者は各サイト2名以上とし、異動・退職の月内に引き継ぐ

条件
- 1項目につき「こういう場面では、こうする」の形で2文以内にすること
- 例外を認める場合は、誰が承認するかを必ず書くこと
- 決めていない点は書き足さず、「未定」と残すこと

この4行は、社内ガイドライン策定の5ステップで扱う利用ルールとは別の文書として、情報システム規程の側に置きました。あわせて月末20分の点検も残しています。見るのは、新しく作られたサイトの所有者、期限のない共有リンクの本数、全社閲覧が付いたフォルダの数の3つだけです。10月に46ライセンスへ広げたあとは、実際に使われているかどうかも見る必要がありますが、そちらは全社40ライセンスを入れて半年後の判断で扱っています。

えらびの道では、この権限の棚卸しを研修とコーチングの2軸で扱っています。半日の単発研修では、Copilotの引用元に何が出るかを実際の画面で確かめ、投入と参照の線引きを決めるところまでを扱います。標準コースでは、レポートの読み方、所有者へ依頼する文面、月末点検の様式づくりを、貴社のサイト構成に合わせて一緒に組み立てます。コーチングは「レポートは出したが、どこから直せばよいか決まらない」という段階から実際の一覧を開いて伴走する形で、人材開発支援助成金や自治体の補助金を使う場合の要件確認と書類準備にも対応しています。

共有フォルダの権限棚卸しまで、えらびの道でお手伝いできること

合同会社えらびの道は、大分県の中小企業に向けて生成AIの業務活用研修を行っています。とはいえ研修専門の会社ではなく、本業はシステムの受託開発と自社サービスの運用です。お客様のデータを預かる仕事でもあるので、誰に何を見せるかという権限の話も、机上の知識ではなく実際に手を動かして分かったことをお話しできます。

研修では、貴社が実際に使っているサイト構成と共有フォルダをそのまま題材にします。アクセス許可状態や共有リンクのレポートの読み方、所有者へ見直しを依頼する文面、月末の点検の様式までを一緒に組み立てます。汎用的な事例ではなく、翌日から棚卸しに取りかかれる形にして持ち帰っていただきます。

進め方としては、事前のヒアリングに伺うのも研修当日に立つのも代表の喜多です。先に貴社の契約内容を確認してから組み立てるので、使えない機能を前提にした話にはなりません。大分市の人材育成応援事業などの補助金を使う場合は、申請書類の作成もお手伝いします。

レポートは出したが、どこから直せばよいか決まらない。そうした段階でも構いません。えらびの道では、オンラインで30分ほどの相談をお受けしています。費用はかかりませんので、まずは現状をお聞かせください。

よくある質問

Copilotに聞くと、他部署のファイルまで出てくるのはなぜですか？

Copilotは、そのユーザーが少なくとも表示権限を持つデータだけを参照します。他部署のファイルが出てくるのは、Copilotが権限を越えたからではなく、もともとその人に閲覧権限が付いていたためです。ファイルサーバーからの移行時に広い権限を付けたまま残っている例が多く見られます。

全社展開の前に、共有フォルダの権限をすべて直す必要がありますか？

すべてを直してからでなくても進められます。人事・経理・法務のように影響の大きいサイトを先に検索対象から外し、その間に権限を確認する進め方が現実的です。ただし検出を制限する設定は権限そのものを変えないため、直接アクセスできる人は引き続き開ける点にご注意ください。

SharePointの権限を確認するレポートは、どのライセンスで使えますか？

サイトのアクセス許可状態や共有リンクを一覧化するレポートは、SharePoint高度な管理の機能として提供されています。制限付きコンテンツ検出はMicrosoft 365 Copilotライセンスがあることが前提です。契約状況によって使える範囲が変わりますので、前提条件のページと自社の契約内容を突き合わせてご確認ください。