小さな会社の共有フォルダの権限設計：部署×役割の表で決める

小さな事業のIT・バックオフィス公開

この記事は特定の製品の使用レビューではありません。公式仕様と公的情報をもとに整理しています。 ・仕様の取得日

結論

  • 権限は 個人に直接付けず、グループに付けます。人の出入りのたびに触るのは「グループの名簿」だけにして、フォルダ側の設定は触らない形にします。
  • グループは「部署」と「役割（編集する人／見るだけの人）」の組み合わせで作ります。10〜50人の会社なら、表1枚に収まります。
  • 権限を変える場所は 上から2階層までに限ります。深い階層やファイル単位の例外が増えるほど、「誰が何を見られるか」を誰も説明できなくなります。
  • 社内のファイルサーバ（NTFS）とクラウドストレージでは、権限の単位と「ファイルの持ち主」の考え方が違います。移行のときは設定を写すのではなく、同じ表から付け直します。

1. なぜ個人に直接付けないのか

個人に直接付けた権限は、その人が異動・退職したときに「どのフォルダに付いていたか」を全部探して外す必要があります。探し漏れた分は、使われないまま残ります。グループに付けておけば、名簿から1人外すだけで、その人の権限はすべてのフォルダから同時に外れます。

公式の資料も同じ方向です。Microsoftは、SharePointのチームのサイトの権限は、関連づいたMicrosoft 365 グループ（Teamsと一緒に使うサイトはTeams）を通して管理することを勧めています。Google ドライブの共有ドライブも、メンバーとして個人だけでなくグループを追加できます。

失敗しやすいのは、急ぎの依頼に応えて「この人にだけ、このフォルダを」と個人に付ける場面です。断るのではなく、その依頼に合うグループを作るか、既存のグループに入れる、と決めておくと例外が積み上がりません。

2. 部署×役割の表を作る（記入して使う）

手順は3つです。

  1. 共有の単位（一番上のフォルダ）を決める。部署ごと、全社共通、経営・人事など見せる範囲が狭いもの、に分ける。
  2. グループを決める。部署ごとに「編集」「閲覧」の2つまでを目安にする。
  3. 下の表の交点に、◎（編集）・○（閲覧）・空欄（権限なし）を入れる。

記入例（部署名とグループ名は例です）:

共有の単位 ＼ グループ営業-編集営業-閲覧経理-編集総務-編集役員全社員
01_全社共通（規程・様式）◎○○
02_営業◎○○
03_経理◎○
04_人事・労務◎○
05_経営◎
90_外部との受け渡し◎◎◎

表を作るときの判断の理由:

決めごと理由
空欄＝権限なし、を基本にする「見せない」を後から足すより、「見せる」を足すほうが事故が小さい
「全社員」グループに編集を与えない誤って消す・上書きする範囲が全社に広がる
外部との受け渡しは専用の単位に分ける社外と共有する設定を、社内用の場所に持ち込まないため
管理者（権限を変えられる人）は2人にする1人だと不在・退職で誰も変えられなくなる。多すぎると誰が変えたか追えない
表そのものを、全社員が見られる場所に置く「なぜ自分は開けないのか」の問い合わせが減る

3. 例外を増やさないための線引き

状況対応
部署のフォルダの中に、一部の人だけに見せたいものがある深い階層で権限を変えず、一番上に別の共有の単位を作って移す
1つの案件に複数の部署が関わる案件用の共有の単位とグループを作り、終わったら閲覧のみにして保管用へ
個人の作業用の置き場所が欲しい共有フォルダの中に個人名のフォルダを作らず、各自の個人用の領域を使う。ただし業務の成果物は共有の単位に置く決まりにする
一時的に他部署の人に見せたい期限を決めてグループに入れ、外す日を管理表に書く

個別の権限を増やさないのは、管理の手間だけが理由ではありません。Microsoft 365では、1つのライブラリの中で個別に権限を持てる項目の上限が5万件、推奨は5,000件までとされています。製品の側にも、個別の権限を積み上げる使い方には限度があるということです。

4. 社内のファイルサーバとクラウドで違う点

観点Windowsのファイルサーバ（NTFS）SharePoint・OneDrive（Microsoft 365）Google ドライブの共有ドライブ
権限がかかる場所共有のアクセス許可とNTFSのアクセス許可の2段。Microsoftの資料では、両方を使うと より制限の厳しいほうが適用されるサイト（とその中のライブラリ）。サイトの所有者・メンバー・閲覧者のグループが基本共有ドライブごとのメンバーとアクセスレベル
役割の種類読み取り、変更、フルコントロールなどを細かく組み合わせられる所有者・メンバー・閲覧者。Microsoft 365 グループには閲覧のみの区分が無く、閲覧だけの人はサイトの閲覧者グループに直接入れる管理者・コンテンツ管理者・投稿者・閲覧者（コメント可）・閲覧者の5段階
下の階層への伝わり方Microsoftの資料では、フォルダの中のファイルは、そのフォルダの権限のうち「継承する」とされたものを自動で引き継ぐMicrosoftの資料では、既定でサイトの権限がライブラリ・フォルダ・ファイルへ引き継がれる。Microsoftは継承を切らず、個別のファイルやフォルダは共有リンクで渡すことを勧めているGoogleの資料では、共有ドライブに移したファイルにアクセスできるのは、その共有ドライブのメンバーと、ファイルを直接共有された人
社外との共有原則として社内ネットワークの中組織全体とサイトごとに、社外共有の可否を設定できる。社外に出さない情報は、社外共有を止めたサイトに置くことをMicrosoftは勧めている社外の人が共有ドライブに追加した内容は、組織のものになる

もう1つの違いは、ファイルの持ち主です。Google ドライブでは、マイドライブのファイルは作った個人のもの、共有ドライブのファイルは 個人ではなくチームのもの で、Googleの資料では、メンバーが抜けてもファイルは共有ドライブに残るとされています。業務のファイルを個人の領域に置かない決まりが、退職時の手間を左右します。

表の使い方: 2段になっているWindowsの権限では、Microsoftの同じ資料が、共有側を広く開けてNTFS側だけで絞るやり方も挙げています。どちらかに統一しておくと、「どちらで止まっているのか」を調べる手間が減ります。クラウドでは「フォルダの階層で細かく切る」より「共有の単位（サイト・共有ドライブ）を分ける」ほうが、製品の考え方に合います。2節の表の行を、そのままサイトや共有ドライブの単位にできるのはこのためです。

5. 人が抜けるとき・入るとき

場面やること
入社・異動グループの名簿に足す／移す。フォルダ側は触らない
退職・外注終了アカウントを止める → グループから外す → 個人用の領域に残った業務ファイルを共有の単位へ移す。順番の全体は 退職・外注終了のときに止めるアカウントの一覧
個人が持ち主のファイルが、共有の場所の外に残っているアカウントを削除する前に、持ち主を移す（削除すると一緒に消えるサービスがある）。退職者のデータをどこまで見てよいか・いつまで残すかは、就業規則と専門家に確認する
半年に1回名簿の棚卸し。各グループの責任者に名簿を見せ、「いまも必要か」を確認してもらう

6. 確認表

#確認すること済
1個人に直接付けた権限が無い（あれば、グループに置き換える予定がある）□
2部署×役割の表があり、全社員が見られる□
3権限を変えている場所が、上から2階層までに収まっている□
4「全社員」に編集の権限を与えている場所が無い□
5管理者が2人いて、うち1人が不在でも変更できる□
6社外と共有する場所が、社内用と分かれている□
7退職時の手順に「グループから外す」「持ち主を移す」が入っている□
8名簿の棚卸しの月が決まっている□

→ 引っ越しの全体は NAS・ファイルサーバからクラウドへの引っ越し全体図、グループの土台になるアカウント管理は AD／Entra ID／何も入れないの判断表

出典（取得日: 2026-09-20）