セキュリティチーム向けに執筆し、私たち自身の製品についても他社製品と同様に取り上げています。

はじめに

この記事は無料のオンラインドキュメントビューアのブログに掲載されています。最初の行でそれを明記しておく価値があります。なぜなら、このジャンル—「無料PDFツールの隠れた危険性」—は通常、白衣を着た営業トークになりがちで、読者はその前提で読むべきだからです。

そこで、まずは開示します。Doconut.app は無料でホストされたビューアです。利用時にPDFは当社サーバーにアップロードされ、そこでレンダリングされ、閲覧セッションが終了すると削除されます。以下で説明する「他人のインフラに文書をアップロードすることによる構造的リスク」は、当社にも当てはまります。別の見解を示すつもりはなく、当社が何を行い、何を行わないかを具体的に示し、どの文書をここに置くべきかをご自身で判断していただきます。

1. リスクは構造的であり、エキゾチックではない

興味深いリスクはゼロデイではありません。コントロールできない場所にファイルが存在するという、普通の結果です。

アップロードは実在します。 ホストされたビューアは文書を受け取って初めてレンダリングできます。「ファイルが決してマシンを離れない」サービスを謳うものは、純粋にクライアント側で動作するツールか、誤った説明です。Doconut.app ではアップロードは HTTPS 上で行われ、転送中は保護されます――そしてファイルはサーバー上に置かれます。これは不可避です。

保持は約束であり、検査できる仕組みではありません。 当社はセッション終了時にファイルが削除されると述べています。これは事実ですが、外部から検証することはできません。これが すべて の無料ビューアに共通する根本的な問題です：契約のない組織に対して信頼を拡張していることになります。

共有インフラは共有リスクです。 無料の公共サービスは、多数の顧客の文書を共通インフラ上で処理します。これは、社内ネットワーク内でソフトウェアを動かす場合とは異なるリスク姿勢です。

合意がないことは法的根拠がないことを意味します。 GDPR 下で個人データを扱う場合や、HIPAA 下で PHI を扱う場合、データ処理契約（DPA）やビジネスアソシエイト契約（BAA）なしにプロセッサへファイルを移すことは、アップロード時点で問題です――たとえ実際に漏洩が起きなくても。Doconut.app にはあなたとの DPA も BAA もありません。 規制対象の資料に対しては、これが全ての答えであり、暗号化の有無で変わるものではありません。

2. 当社が行わないこと

このジャンルの記事はすべてを約束しがちです。ここでは「何が欠けているか」を示すことが重要です。

セキュリティ認証はありません。 ISO 27001、SOC 2、HIPAA 認証、PCI DSS 評価は一切取得していません。無料サイトでも SDK でも同様です。ベンダー質問票で証明書を求められても、当社にはありません。
監査ログはありません。 Doconut.app にはアカウントが存在しないため、アクセスの属性付けや追跡用のログは提供できません。
メタデータ除去は行いません。 文書はそのままレンダリングします。著者名、リビジョン履歴、コメントはファイル内に残ります――契約書を転送する前に知っておくべき点ですが、リスクは文書自体にあり、当社に帰属するものではありません。
保存時の暗号化はありません。 当社は暗号化ストレージを提供していません。保存自体を行わないことは暗号化よりも強い属性ですが、別の性質であり、ベンダーが混同しがちです。
保持期間の設定はできません。 タイミングは当社側で管理され、ユーザーが調整できる設定はありません。

3. 私たちが行うこと

アップロードは HTTPS で行われます。
ドキュメントは 当社のサーバー上で レンダリングされ、ブラウザーはソースファイルではなくページを受け取ります。
レンダリングは実行ではありません：Office ファイル内のマクロは実行されず、PDF のアクションもトリガーされません。ビューアはドキュメントを描画します。
ファイルは 閲覧セッションが終了したときに削除 されます。ライブラリも履歴もアカウントもありません。
アップローダーは送信前に 処理できないものを拒否 します — 70 以上の拡張子の固定リストがあり、フォーマットごとに 5 MB から 25 MB のサイズ上限があります。
DICOM は意図的に除外 されています。.dcm と .ima は受け付けません。これは、DICOM ファイルが画像とともに患者識別子を含むため、公開アップロードエンドポイントは不適切だからです。

4. 任意の無料ビューア（このビューアを含む）に適用できるテスト

脅威インベントリではなく、使用可能か不可能かを分ける4つの質問です：

ファイルがアップロードされるかどうかが明確に記載されていますか？ 回答が曖昧な場合は、アップロードされるとみなしてください。
保持期間が具体的に示されていますか？ 「セッション終了時に削除」や「60 分後に削除」などが回答例です。「ファイルは安全です」は該当しません。
契約書にサインしますか？ 規制対象データにとって唯一重要な質問であり、無料サービスはほとんどサインしません。当社もサインしません。
認証を主張していますか？ もし主張している場合は、証明書とその適用範囲を求めてください。このカテゴリの主張の多くは要求に耐えません。

Doconut.app に適用すると：アップロードは行われ、削除はセッション終了時、DPA にサインしない、認証も保有しない、という組み合わせです。この組み合わせは多くの文書には問題ありませんが、一部には不適格です。重要なのは、どちらかを判断できることです。

5. ホスト型ビューアが不適切な場合

文書がコンプライアンス体制の対象であったり、顧客機密保持義務に覆われていたり、インシデントレビューで説明しにくいものであれば、無料のホスト型ビューアは適切な解決策ではありません（当社のものも含む）。構造的な解決策は、レンダリングを自社ネットワーク内に留めることです。

それが Doconut SDK の目的です：このサイトの背後にある同じ .NET レンダリングエンジンを、顧客環境にインストールします。顧客のサーバー上でレンダリングし、当社への呼び出しは行わないため、文書が未評価の境界を越えることはありません。

SDK が何でないかも同様に明確にしておきましょう。保存時暗号化、キー管理、ID プロバイダー統合、監査ログは提供されず、アプリケーションを何らかの規制に適合させることもできません。これらのコントロールは顧客側のものです――それがポイントであり、すでに証明できる点でもあります。ネットワーク内で動作し、外部に呼び出さないコンポーネントはアーキテクチャ上の根拠となり、ほとんどのセキュリティレビューではサードパーティの証明書より有用です。

結論

無料の PDF ビューアは実際に有用で、ほとんどの人が扱う文書は機密性が低いです。問題はビューアを使うことではなく、ファイルがどのカテゴリに属するかを把握せずに使用することです。

一度読むだけの普通の文書であれば、何も保存しないビューアが妥当な選択であり、インストールされているものをダウンロードして開くより安全です。Doconut.app はそれを無料で、アカウント不要で行い、使用後に削除します。

義務の下で防御しなければならない文書については、処理を自社管理のハードウェア上に保ちましょう。

即時のアクション

監査：組織内の PDF ワークフローを監査し、既に使用されている無料ツールをカタログ化します――予想以上に多く存在することが多いです。
分類：どの文書タイプがホスト型サービスに送ってもよいかを分類します。これは技術的な問題ではなく、ポリシー上の決定です。
社内に移行：残りは Doconut SDK あるいは同等のものを使用して社内に移し、監査人が求める証拠を保持します。