社内のクリップボードツール利用を監査する方法

執筆: · 公開日:2026年11月3日 · 読了目安:約9分

従業員200名ほどの会社で、Macの定期レビューを担当しているセキュリティ担当者のダナさん(想定上の人物であり、実在の人物ではありません)を例にしてみましょう。ディスクは暗号化済み、ファイアウォールも有効で、パスワードマネージャーの利用も必須。ところが調べていくと、11台のノートPCで3種類のクリップボードマネージャが動いており、そのうち1つは誰も承認していないクラウドアカウントに履歴を同期していました。ここ1か月のあいだに誰かがコピーしたパスワード、APIキー、顧客宛てのメール本文が、すべてその履歴に残っている可能性があります。

なぜクリップボードを監査する必要があるのか

クリップボードは、ほとんど誰も管理していないデータの経路です。パスワードマネージャーから貼り付けるパスワード、管理コンソールからコピーしたトークン、タブ間で移し替える顧客情報、チャットに貼る契約書の文面。これらがすべてここを通ります。macOSは標準では直近の1件しか保持しないため、リスク管理台帳に載ることはまずありません。しかしクリップボードマネージャを入れると状況が変わります。一時的なバッファが、コピーしたものすべてを検索できる永続的なアーカイブになるからです。

これはクリップボードマネージャを否定する話ではありません。作業効率は確実に上がりますし、会社が許可しなくても、使いたい人は勝手にインストールします。監査の目的は、そのアーカイブがローカルに保存され、短期間で消え、機密情報が入り込まない状態を確保することです。

データに触れる前に何をすべきか

先にやっておくべきことが2つあります。どちらも、インシデントが起きてからより今のうちのほうがずっと安上がりです。

• 法務・人事を巻き込む。従業員のデバイスのモニタリングには、国や地域ごとに異なるルールがあります。EUではGDPRや従業員代表組織(works council)との協議が必要になる場合があり、通知や協議を求める国もあります。筆者は法律の専門家ではないので、専門家に相談するきっかけとして受け取ってください。日本でも、個人情報保護法や社内規程との関係を法務に確認しておくのが安全です。
• 対象範囲を文書で定める。おすすめの範囲はツールの棚卸しと設定の確認です。クリップボードの中身を読むのは、法的にも倫理的にも重さがまったく違う行為で、監査にそこまで必要になることはまずありません。中身を読まないと評価できないツールがあるなら、それ自体がそのツールについての重要な情報です。

5ステップの監査手順

ステップ1:実際にインストールされているクリップボードツールをすべて洗い出す

まずはデバイス管理がすでに把握している情報から始めます。Jamf、Kandji、Intune、Mosyleなどでアプリケーションのインベントリを取得し、既知のクリップボードマネージャを検索しましょう。アプリ名よりバンドルIDで検索するほうが確実です。アプリ名は変わることがありますが、バンドルIDは変わらないためです。MaccyのバンドルIDは org.p0deje.Maccy app です。

ただし、インベントリだけでは次の3つが漏れます。

• 他のツールに内蔵されたクリップボード機能。ランチャーや生産性アプリには、クリップボード履歴を持つものがよくあります。たとえばRaycastやAlfredがそうで、「clipboard」で検索しただけでは見つかりません。
• ブラウザ拡張機能。クリップボードを読み取る拡張機能があります。ブラウザの管理コンソールでインストール済みの拡張機能を確認してください。
• OS標準の機能。ユニバーサルクリップボード(Handoffの一部)は、同じユーザーのApple製デバイス間でクリップボードを共有します。最近のmacOSでは、Spotlightにクリップボード履歴の機能も加わっています。

MDM管理外のマシンなら、手元での簡単なスポットチェックも使えます。ターミナルで mdfind "kMDItemCFBundleIdentifier == 'org.p0deje.Maccy mac'" を実行すると、インストールされていればアプリの場所が返ってきます。

ステップ2:各ツールを4つの質問で分類する

見つかったツールごとに、次の質問に答えていきます。ベンダーのドキュメントや検証機で答えが確認できない項目は「不明」として扱い、不明な間は未承認とみなします。

最後の行について補足します。きちんと作られたパスワードマネージャーは、nspasteboard.org(nspasteboard.org)で定められたコミュニティの慣習に従い、コピーしたものに「concealed」などのタイプを付けます。そして、きちんと作られたクリップボードマネージャは、そのマークが付いたものを記録しません。ただしこれは双方の協力による仕組みで、保証されているわけではありません。両方のアプリが慣習に従っていることが前提なので、思い込まずに実際にテストしてください。

ステップ3:許可するつもりのツールをテストする

ドキュメントに書かれているのはベンダーの主張です。予備のMacで10分ほどテストすれば、実際の挙動がわかります。

1. 承認済みのパスワードマネージャーからパスワードをコピーし、クリップボードマネージャを開く。履歴に残っているか?
2. ダミーの文字列をコピーしてアプリを終了し、再起動する。履歴は保持されているか?
3. ネットワークモニタ(Little Snitch、LuLu、または nettop)を起動したまま、数件コピーする。アプリは外部への通信を行うか?
4. 履歴ファイルがディスク上のどこにあるかを調べ、平文で読める状態かどうかを確認する。

Maccyの場合はどうなるか

Maccy clipboardは、macOS向けの無料のオープンソースのクリップボードマネージャで、履歴をローカルのマシン内に保持します。ソースコードはGitHubで公開されているため、セキュリティチームは宣伝ページを信じるのではなくコードを直接読めます。これは監査では大きな利点です。ポリシーに関わる主な設定は、設定ウィンドウの「Ignore」と「General」にあります。無視するアプリ、無視するペーストボードタイプ、正規表現による無視、履歴の件数、終了時の履歴消去などです。

正直にお伝えしておくべき制約が2つあります。ひとつは、Maccyは個人向けのツールであり、エンタープライズ製品ではないという点です。集中管理用の管理コンソールも、組み込みの監査ログもないため、強制はアプリ自体ではなくMDMを通じて行うことになります。もうひとつは、「ローカル」は「見えない」という意味ではないという点です。ディスクに保存されたデータは、そのディスクの保護強度までしか守られません。だからこそFileVaultの状態は、この監査の前提条件に含めるべきです。

ステップ4:守られるくらい短いポリシーを書く

長いポリシーは読まれません。クリップボードのポリシーは、A4の半分程度に収まります。実用的なひな形は次のとおりです。

• 承認済みツール:ツール名と承認済みバージョンのリスト。
• 必須設定:クラウド同期はオフ。パスワードマネージャーと鍵管理アプリは除外リストに登録。履歴は少ない件数に制限。ツールが対応していれば終了時に消去。
• 禁止事項:未承認のクリップボードツール、およびクリップボードを読み取るブラウザ拡張機能。
• 前提条件:フルディスク暗号化が有効で、確認済みであること。
• 例外:誰が許可でき、どう記録するか。

ステップ5:MDMで強制し、定期的に再監査する

macOSアプリの設定は、アプリのバンドルIDに紐づくプロパティリストに保存されます。つまり、標準的な設定の仕組みを使っているアプリであれば、MDMの構成プロファイルで管理対象の設定を配布できます。原理的には、ツールの除外リストや履歴の上限を全社で事前に設定できることになります。ただし、特定の設定がこの方法で強制できるかどうかは、アプリが設定をどう読み込んでいるかによって変わります。展開前に必ずテスト用のデバイスで確認してください。

OSレベルの挙動には、別の制御手段があります。Handoff、ひいてはユニバーサルクリップボードは、MDMのアクティビティ継続(activity continuation)に関する制限で制御できます。 Windows環境の場合、同等の設定はグループポリシーの「クリップボード履歴を許可する」と「デバイス間でのクリップボードの同期を許可する」です。

そのうえで、監査をカレンダーに入れてしまいましょう。多くのチームには四半期ごとが現実的です。最初の監査で棚卸しとベースラインができていれば、再監査は短時間で済みます。

監査チェックリストはどうなるか

よくある失敗

• クリップボードマネージャを一律に禁止する。禁止しても、人は抜け道を探します。承認され、適切に設定された1つのツールのほうが、未承認の3つよりも安全です。
• 設定ではなく中身を監査する。法的リスクを生み、信頼を損ない、しかも監査にそこまでの情報は通常必要ありません。
• ユニバーサルクリップボードを忘れる。しっかり固めたMacでも、同じApple Accountにサインインした私物のiPhoneへ、コピーしたテキストが流れてしまうことがあります。
• 除外リストをテストせずに信用する。承認するツールすべてについて、ステップ3のパスワードマネージャーのテストを実施してください。
• 監査を1回で終わらせる。監査が終わったあとにも、ツールは新しくインストールされます。再チェックを予定に入れておきましょう。

まとめ:ここからどう進めるか

クリップボードの監査は、基本的には棚卸しの問題であり、その上に設定の確認が乗るものです。ツールを見つけ、それぞれに4つの質問を投げ、許可するものはテストし、A4半分のポリシーを書き、すでにあるMDMで強制する。オープンソースでローカルファーストのツールは、主張をコードやネットワークの挙動と突き合わせて確かめられるので、ステップ3が楽になります。最小構成でローカル完結の運用がどんなものか見てみたい方は、無料で試せて中身も確認できるMaccyをのぞいてみてください。

チームに持ち帰りたい問いがひとつあります:10分前に誰かが本番データベースのパスワードをコピーしたとしたら、今その人のノートPCの中で、それが残っている可能性のある場所はいくつあるでしょうか?