SharePoint権限整理の落とし穴5件｜自社Copilot比較表

Copilotを入れる、と社内で決まった翌週。情報システムを兼任している担当者の机で、次のような言葉が出やすい場面です。「うちのSharePoint、いま誰が何を見られるのか、正直もう分からない」——10年近く使ったテナントにサイトが100個単位で並び、3年前や4年前の共有リンクが期限なしで生きている状態です。先に結論を書くと、権限整理でまず必要なのは全サイトを一斉に見直すことではなく、Copilotが最初に触る範囲を10〜20サイトに絞り、その中で全社に開いている場所から順に見直すことです。

この記事では、Copilotを入れる前のSharePoint権限整理を、社内の1〜2名の片手間だけで進めたときに何が起きるのかを、5件の落とし穴と2通りの進め方の比較表で整理します。

SharePointの権限が分からないまま、Copilotの話だけが先に進む

権限整理が後回しになるのは、担当者の怠慢ではありません。SharePointはサイトを足すほど便利になる設計で、1つ作るのに5分もかからず承認も要りません。その手軽さが3年、5年と積み重なると、いま何サイトあり、そのうち全社に開いているものが何個あるのかを、社内の誰も即答できなくなります。しかもこの状態は、Copilotの話が出るまで1件の不都合も起こしません。

誰が何を見られるのかを、即答できる人が社内に1人もいない

従業員10〜300名規模では、SharePointの管理者権限を持つのが1〜3名で、専任を置いていない会社も少なくありません（一般的な目安）。総務や経理との兼任ですから、権限設計に取れる時間は月1〜2回、1回あたり30〜60分程度。その時間で見るべき階層は、サイト・ライブラリ・フォルダ・ファイル・共有リンクの5段あります。

食い違いはこの5段で起きます。「見積フォルダは営業部の8名だけ」と思っていたものが、2階層上のサイトの時点で全社に開いていた。3年前に1度だけ継承を切った履歴があり、設定した本人はもう社内にいない。1か所直したつもりが下の200ファイルに効いていたり、逆に1件も効いていなかったりします。

怖いのは情報が見えることより、説明できないことです。社長の「うちは大丈夫か」という1問に管理者1〜3名の誰も答えられず、決裁が2〜3か月宙に浮く。現状を1枚で説明できる資料が社内に0枚、という可視化の課題です。

共有リンクは増えるだけで、消える仕組みが用意されていない

ファイルを1件共有するのに必要な時間は10秒ほどで、急いでいるときに有効期限を付ける人はまずいません。1人が月10本発行すれば、20名の会社で年間2,400本。3年で7,000本を超えます。このうち何本が今も必要かを判断できるのは、発行した本人1人だけです。

そこに人の入れ替わりが重なります。数十名規模の会社で年5〜10名が入退社すれば、3年で15〜30名分のアカウントと、その人が作った1〜2個のサイトやリンクが残る。退職手続きでアカウントを1つ止めても、2年前に発行した期限なしリンクは別経路として生き続けることがあります。

外部ゲストも同じで、取引先が20社以上あり1社あたり2〜3名を招いていれば40〜60アカウント。1年で終わったプロジェクトの分も、外す仕組みが0なら3年後まで残ります。

Copilotを入れると、社内の情報の見え方はこう変わる

Copilotを「社内の情報を勝手に全部読む道具」と思っている方も、「AIなのだから危ない資料は避けてくれる」と思っている方もいます。実務ではどちらも正確ではありません。原則は1つで、それを押さえると権限整理で先にやるべきことが2〜3個に絞れます。公式ドキュメントを根拠に、変わることと変わらないことを3つに分けます。

見えるのは、その人が権限を持っている範囲だけ

まず原則です。Microsoft Learn「Microsoft 365 Copilot のデータ、プライバシー、セキュリティ」（2026年7月更新）には、Microsoft 365 Copilot は、個々のユーザーが少なくとも表示アクセス許可を持っている組織データのみを表示する、と明記されています。新しい抜け道を作る道具ではなく、既にある権限設定をそのまま検索と要約の範囲として使う、ということです。

同じページには、SharePoint などの Microsoft 365 サービスで利用可能なアクセス許可モデルを使用して、適切なユーザーまたはグループが組織内の適切なコンテンツに適切にアクセスできるようにすることが重要である、とも書かれています。道具側の設定を10個いじるより、権限モデルを1つ整えるほうが先だ、という順番がここで決まります。

裏を返せば、5年分の設定が積み上がった会社では、その分からなさがそのまま持ち込まれます。同じライセンスを同じ20名に配っても立ち上がりの安心感が違うのは、この1点の差です。

埋もれていて見えなかった、という事実上の安全が消える

ここが副作用です。権限上は見られたはずのファイルが、実際には見られていなかった。3階層下にある1ファイルを、名前も知らずに探し当てるのはほぼ不可能だったからです。検索窓に正確な単語を2〜3個入れて初めて届く世界では、深さそのものが鍵の代わりを果たしていました。

Copilotが入ると前提が変わります。「今期の管理職の評価基準を教えて」といった1回の質問で、権限のある範囲から関連文書が拾われ要約される。探し方を知らなくても届くのが便利さの本体ですが、同時に、権限設定が実態と合っていない場所が導入初日から数日で表に出ます。

大事なのは、これを情報漏えいと呼ばないことです。起きているのは5年前から開いていた扉が見えるようになっただけであり、いわば過剰共有の可視化です。責任を担当者1人に押し付けると次から誰も報告しません。最初の1〜2か月は見つかった箇所を1件ずつ潰す期間だと、先に合意しておくほうが早く落ち着きます。

Microsoftの展開ガイダンスも、最初の柱はオーバーシェアリングの修復

この順番は提供元の考え方とも一致します。Microsoft Learn「Microsoft 365 Copilot のセキュリティで保護された管理された基盤 — 基本的な展開ガイダンス」（2026年5月更新）では、展開のブループリントが「オーバーシェアリングを修復する」「ガードレールを設定する」「規制を満たす」の3つの柱で構成されています。修復が1番目に置かれている点が要点です。

同ページには、SharePoint Advanced Management（SAM）が Microsoft 365 Copilot ライセンスに含まれることも記載されています。把握する道具は契約時点で1式そろう場合があるということです。それでも整理に3〜6か月かかるのは、出てきた一覧をどう判断するかが決まっていないからです。

道具の導入と設計を分けると判断は速くなります。ライセンスとテナント設定をどう組むかはCopilot導入支援の領域、どの20サイトから触り、どこで線を引くかは運用設計の領域です。なお本記事は2026年8月時点の情報のため、提供範囲やライセンスの内訳は公式ページで最新のものを確認してください。

権限整理を後回しにすると、どこにどれだけ跳ね返るか

「うちは社内の話だから外に出るわけではない」——この一言で、権限整理の優先度は3番目、4番目に落ちます。ただ、実際に報告されている件数を見ると、その前提はもう置きにくくなっています。公表値を1つ引いたうえで、10〜300名規模にとって何がいちばん痛いのかを2つに分けます。

漏えい等事案の報告処理は14,198件、前年度は7,075件

個人情報保護委員会の「令和6年度年次報告の概要」（令和7年6月公表）によると、個人情報取扱事業者等に対する監督のうち、漏えい等事案に関する報告の処理は14,198件でした。令和5年度は7,075件ですから、1年で件数の感覚が変わっています。

ただしこの14,198件には、ランサムウェア1事案に由来する2,745件が含まれる点も正確に押さえる必要があります。その2,745件を差し引いた11,453件で見ても、前年度の7,075件は上回る水準です。数字を大きく見せるより、この差し引きまで社内で共有するほうが、稟議の場では信用されます。

内部で見えすぎている状態は、外からの攻撃より気づかれにくい

外部からの攻撃は、止まる・消える・請求が来る形で必ず表に出ます。一方、社内の誰かが見てはいけない資料を1回開いた事象は、痕跡がログにしか残りません。人事評価、給与テーブル、原価表、進行中の見積の4種類は、権限を1段間違えるだけで部署をまたいで届きます。

影響が出るのは情報そのものより、その後の空気です。1件でも起きれば、翌日から資料はSharePointではなく個人PCとメール添付に戻る。2〜3年かけて集約した情報が短い期間で分散状態に逆戻りし、Copilotが参照できる資料は減り、20名分のライセンスは動きません。

さらに現実的なのが利用の全社停止です。1件の事故で中止が決まれば、再開の議論まで半年から1年かかることもあります。その間に競合が3〜4手先へ進む時間は戻りません。権限整理は守りに見えて、導入を止めないための工程です。

自社の担当者だけで進めたときに踏む落とし穴5件

ここまで読んで「先に権限を見よう」と思われたなら、順番としては正しい判断です。ただ、社内の1〜2名の片手間で進めた場合、止まる場所はだいたい決まっています。技術的に難しいから止まるのではなく、判断できないから止まる。よく踏む5件を順に見ていきます。

落とし穴1：全体の数を数えないまま、目についたサイトから直し始める

1件目はこれです。全体像を1枚にする前に、気になるサイトを3〜5個開いて直し始めてしまう。1サイト30〜60分かかるので5個で半日。全体が100サイトなのか1,000サイトなのかを知らないまま進むと、いつ終わるのかを誰にも説明できません。

終わりが見えない作業は2〜3週間で優先度が落ちます。他の依頼が5件、10件と積み上がれば来月に回り、来月も同じことが起きる。実務では、直す前に「全体で何サイトあり、全社に開いているものが何個か」を数えるだけの日を1日取るほうが、結果的に手戻りが減り、3〜6か月かかる作業が早く終わりやすくなります。

落とし穴2：全社に開いた既定のグループを、部署限定だと思い込む

2件目は思い込みです。以前に作られたサイトでは、既定で付いたグループに全社員が含まれていることがあります。名前が部署名なので中の権限も部署単位だと信じてしまい、この1つの取り違えで10サイト分の判断がまとめて狂います。

この誤解のまま「部署ごとに分けています」と報告すると、後から全社公開が3件、5件と出たときに報告そのものの信用が落ちます。1サイトずつ、どのグループが割り当たっているかを画面で確認して数える。この1手間を省いた分は、後の手戻りが大きくなって返ってきます。

落とし穴3：退職者・異動・外部ゲストの見直しが、年1回も回らない

3件目は継続です。1度きれいにしても人は動きます。数十名規模の会社で年5〜10名の入退社と数名〜十数名の異動があるなら、3か月で状態はずれ始める。外部ゲストも終わったプロジェクトの2〜3名が残ります。見直しを「気づいたときに」にすると、実際には年0回になります。

必要なのは高度な仕組みではなく、月1回30分・四半期に1回60分といった具体的な枠と、それを誰の予定表に入れるかの決定です。担当が2名いるなら、どちらが主でどちらが控えかまで決める。決めていないルールは、3か月後にほぼ確実に空欄になります。

落とし穴4：締めた後に仕事が止まる、その責任を誰も引き受けられない

4件目がいちばん重いところです。権限を締めれば「昨日まで開けたファイルが開けない」という連絡が必ず来ます。1日3〜5件、多い日は10件。1件ずつ可否を判断し、必要なら戻す。この判断を兼任1名に背負わせると、早い段階で手が止まります。

判断が個人に寄れば基準もぶれます。声の大きい部署は当日に通り、そうでない部署は3〜5営業日待つ。この不公平が2〜3回続けば協力は得られません。私が支援した現場でも、AI導入がいちばん長く止まったのは道具の選定ではなく、情報の置き場と権限を誰がどの基準で決めるのかが曖昧なまま、判断だけが1人に集まる場面でした。

落とし穴5：整えた状態を保つ設計がなく、3か月で元に戻る

5件目は再発です。2か月かけて200サイトを整理しても、新しいサイトは今日も追加され続けます。作成権限が全社員に開いたままで命名も分類も自由なら、半年後には整理前とほぼ同じ景色に戻る。片付けだけをして、散らかりにくい形にしていないからです。

保つために決めることは、多くても5〜7個です。誰がサイトを作れるか、名前をどう付けるか、全社公開を許す条件は何か、外部ゲストの期限を何日にするか、点検を月何回やるか。1つずつは1〜2行で書ける決め事ですが、社内で合意するには3〜4回の会議が要ります。

自社の担当者だけで進める場合と、外部の伴走を入れる場合を並べる

5件の落とし穴を、2通りの進め方で並べ直すと違いがはっきりします。どちらが正しいという話ではなく、どこに時間とリスクが乗るかが違うだけです。判断の材料として、6つの観点で比べます。

表の数字は、いずれも一般的な目安として置いたレンジです。要点は期間の長短ではなく下2行にあります。自社だけで進めた場合に残るのが1名の記憶であるのに対し、伴走を入れた場合に残るのは判断基準です。基準が個人の頭の中にしかない状態は、属人化そのものです。基準が5〜7個あれば、次の10サイトも30サイトも社内の2名で回せます。

権限整理だけでなく、Copilotに何を任せるか、他の3〜4部署へどう広げるかまで一度に見たい場合は、戦略の整理から実装、定着までをまとめて設計する生成AIコンサルティングという進め方もあります。まずは5件のどこで止まりそうかを1つ選ぶところからで十分です。

ビフォーアフター：Copilotに聞ける情報の範囲がここまで変わる

同じ会社、同じ担当者1〜2名、同じ20名分のライセンスという前提で、導入から3か月の景色を並べます。違いを作っているのは道具の性能ではなく、最初の2週間で何を決めたかです。

Before：何が見えているか分からず、Copilotの話が3か月宙に浮く

ライセンスは20名分契約済み。ところが社長の「情報が見えすぎないか」という1問で全体が止まります。管理者1〜3名の誰も現状を1枚で説明できず、調べますと答えるしかない。そこから2週間が過ぎ、他の依頼が5件、10件と入り、調査は一覧表1枚で止まります。

その間、実際に使っているのは3部署のうち1つだけ。社内資料を参照させるのが怖いので、外部の一般情報を聞く用途に留まります。3か月後の評価は「思ったほどではなかった」に落ち着き、権限が原因だと気づかれないまま道具のせいにされます。

After：見える範囲を説明できる状態で、2週間ごとに広げられる

同じ会社でも、最初の2週間で範囲を10〜20サイトに絞り、全社公開の場所・期限なしリンク・外部ゲストの3種類を一覧にしておくと景色が変わります。社長の1問には「この20サイトなら、誰が何を見られるか説明できます」と答えられる。1,000サイトを完璧にしなくても、使い始める判断は下せます。

一般的な目安として、権限の確認依頼1件に3〜5営業日かかっていた状態は、判断基準を5〜7個決めておくと当日〜1営業日で返せる水準になります。基準に当てはまる依頼は担当者が即決し、外れる2〜3割だけを週1回の枠で判断する。この切り分けで、1日3〜5件でも回ります。

対象は2週間ごとに10サイトずつ広げます。3か月で60〜70サイト、半年で120〜150サイト。一度に片付けないので、1か月止まっても次の2週間から再開できます。使う人も1部署から3部署、5部署へと広がります。

違いを生んでいるのはツールではなく運用設計

BeforeとAfterで違うのは、ライセンスの本数でもSAMの有無でもありません。違いは3つの決め事です。1つ目は範囲を10〜20サイトに絞ると決めたこと。2つ目は可否の判断基準を5〜7個、文書にしたこと。3つ目は点検を月1回30分、担当2名で回すと予定表に入れたことです。

判断を誤りやすいのは1つ目です。全部を見てから始めよう、という発想は誠実に見えますが、100サイトを超えた時点で終わりません。Copilotが最初に触る範囲を先に決め、そこだけを説明できる状態にしてから広げる。この順番にできるかどうかが、3〜6か月と2〜6週間を分けています。

私が支援する立場で見ていて、AI導入が続く会社と3か月で止まる会社を分けているのは、情報の置き場と権限を「誰が持ち続けるか」を最初に決めているかどうかです。決めていない会社は最初の2〜3週間だけ勢いで進み、担当者が別件に呼ばれた瞬間に止まる。逆に持ち主が2名決まっていれば、半年後も同じ運用が残りやすくなります。この持ち主を決めるところから一緒に走るのが、生成AI伴走顧問という関わり方です。

よくある質問

公開日：2026年8月