Lark のセキュリティは中小企業でも安全か — ISO27001・国内データセンター・権限/監査ログで ISMS と両立させる管理者設定ガイド

この記事でわかること

• Lark が取得している国際認証（ISO 27001 ほか）とデータの保管場所を、公式情報で正確に
• 中小企業が Lark 導入時にセキュリティで不安になる3つの論点と、その回答
• Lark のセキュリティ機能を 5カテゴリ（データ保護／アカウント／監査ログ／メンバー権限／端末）で俯瞰
• どのセキュリティ制御がどのプランか——公式料金ページで照合したプラン別の機能境界
• ISO27001／ISMS の管理策と Lark 設定を対応させる管理者設定12パターン
• 導入時のセキュリティ設定チェックリストと、90日で体制を固めるロードマップ

目次

1. 結論 — Lark は「認証・暗号化・国内DC」で土台が固く、あとは管理者設定でISMSに寄せる
2. そもそも Lark は安全か — 認証・暗号化・データ保管場所を正確に
3. 中小企業が Lark 導入時にセキュリティで不安になる3つの論点
4. Lark のセキュリティ機能マップ（5カテゴリ）
5. プラン別セキュリティ機能の境界 — どの制御がどのプランか
6. ISO27001／ISMS と両立させる管理者設定12パターン
7. Base の高度な権限管理で「最小権限」を作る
8. セキュリティ設定チェックリストと90日ロードマップ
9. つまずくポイントと回避策
10. よくある質問（FAQ）
11. まとめ — 「安全性」は土台×設定の掛け算で決まる

結論 — Lark は「認証・暗号化・国内DC」で土台が固く、あとは管理者設定でISMSに寄せる

結論を先に述べます。Lark のセキュリティは、「①国際認証と暗号化で製品側の土台が固められており、②日本国内のデータセンターに保存され、③あとは管理者が権限・監査ログ・端末の設定を自社ポリシー（ISMS）に合わせて締めるだけ」という構造で捉えるのが正解です。理由はシンプルで、クラウドサービスのセキュリティは「製品の作り（ベンダー責任）」と「使い方の設定（利用者責任）」の掛け算で決まるからです。前者は Lark が国際認証で担保し、後者は管理コンソールの設定で自社が締める——この役割分担を理解すれば、「海外製だから不安」という漠然とした懸念は、具体的な設定タスクの一覧に置き換わります。

実際、情報セキュリティ対策の要点は「特別な製品を買うこと」ではなく、アクセス制御（誰が何を見られるか）とログの取得・保存（誰が何をしたか）を組織的に運用することにあります。IPA（独立行政法人 情報処理推進機構）が2026年3月に公開した「中小企業の情報セキュリティ対策ガイドライン 第4.0版」でも、情報システムのアクセス制御やログ管理を含む組織的な対策が中核として整理されています（出典: IPA「中小企業の情報セキュリティ対策ガイドライン」）。本記事は、この「アクセス制御」と「ログ」を、Lark の具体的な設定に落とし込む地図です。

そもそも Lark は安全か — 認証・暗号化・データ保管場所を正確に

結論から言うと、Lark は情報セキュリティとプライバシーに関する主要な国際認証を取得しており、通信・保存データは暗号化され、日本向けにはデータが日本国内のデータセンターに保存されると公式に説明されています。まず、多くの経営者が最初に気にする「第三者認証」から押さえます。

Lark のトラストセンターによれば、Lark は次の国際認証・評価を取得・準拠していると公表しています（出典: Lark 公式トラストセンター、2026年7月時点）。

ISO 27001 は、自社が ISMS を構築・運用するうえで「取引先やクラウドベンダーにも同等の管理を求める」場面で効いてきます。利用するクラウドが ISO 27001／27017／27018 を取得しているという事実は、自社の ISMS 審査における委託先管理の説明を大きく楽にします。SOC 2 Type II は「一定期間にわたって統制が実際に機能していたか」を第三者が検証したもので、単なる自己申告ではない点が重要です。

次に、暗号化とデータの保管場所です。Lark 公式は、すべての通信および投稿された情報は暗号化されて保存されるとし、万が一第三者がデータにアクセスしても改ざんや漏えいを防ぐと説明しています。また日本向けには、Lark は日本国内の AWS クラウド上に構築され、データは国内のデータセンターに保存されると明記されています（出典: Lark 公式トラストセンター（セキュリティ））。「海外製だから、データも海外に置かれるのでは」という懸念は、公式説明のうえでは当たりません。さらに、Lark の従業員はお客様のデータへのアクセス権限を一切持たないとされ、利用者間でも権限がなければ相互のデータにアクセスできない設計だと説明されています。

つまり、セキュリティの「土台（製品側）」は、Lark 側で相当に固められています。だからこそ、中小企業が集中すべきは次章以降の「利用者側の設定」——誰にどこまで権限を与え、何を記録し、端末をどう守るか——です。Lark が中小企業の業務効率を変える仕組みそのものは Lark Base が中小企業の業務効率を変える3つの理由で解説しています。

中小企業が Lark 導入時にセキュリティで不安になる3つの論点

結論から言うと、現場で挙がる不安は「①データの置き場所と越境」「②退職者・異動者のアクセス残り」「③誰が何をしたか追えるか（ログ）」の3つにほぼ集約されます。順に、Lark でどう解けるかを示します。

論点1：データの置き場所と越境。 前章のとおり、日本向けは国内データセンター保存・通信/保存の暗号化・複数の国際認証で担保されています。取引先や監査法人から「委託先のセキュリティは？」と問われたら、Lark の認証取得状況（ISO 27001 等）とデータ保管場所を提示できます。これは、個々のツールをバラバラに使うより、認証を持つ統合基盤に集約するほうが説明コストが下がるという統合型のメリットでもあります（統合の全体像は SaaSポカリプス2026 — 統合型へ移行すべき5つの理由）。

論点2：退職者・異動者のアクセスが残る。 中小企業の情報漏えいで意外に多いのが「辞めた人のアカウントが生きていた」「異動後も前部署の資料が見えた」という権限の残置です。Lark は管理コンソールでメンバーの権限を一元管理でき、外部連絡やファイル操作の権限もロール単位で制御できます。さらに上位プランでは、退職・異動時のアクセス遮断や端末側の保護（後述）まで踏み込めます。個人情報を扱う場合の権限・ログ設計は 改正個人情報保護法（令和8年）で中小企業はどう備えるか — 権限・ログ実装ガイドで詳述しています。

論点3：誰が何をしたか追えるか（ログ）。 事故対応でも監査対応でも、「いつ・誰が・何にアクセスし・何を持ち出したか」を後から追えることが決定的に重要です。個人データの漏えい等が起きた場合、事業者には個人情報保護委員会への報告と本人への通知が原則として義務づけられており（出典: 個人情報保護委員会）、その前提として日常的にログを取得・保存しておく体制が要ります。Lark は管理者ログ・OpenAPIログを提供し、上位プランでは権限や行動（操作）の監査まで対応します。ログをどのプランで取れるかは第5章のプラン境界で整理します。

Lark のセキュリティ機能マップ（5カテゴリ）

結論から言うと、Lark のセキュリティ機能は公式に「データ保護／アカウントセキュリティ／監査ログ／メンバー権限／エンドポイント（端末）セキュリティ」の5カテゴリで整理されています。まず全体像を1枚で押さえ、次章でプラン境界に落とし込みます（出典: Lark 公式トラストセンター（強力なセキュリティ製品の機能））。

ポイントは、これらが個別ツールの寄せ集めではなく、1つの管理コンソールから一元的に設定できることです。チャット・Docs・Base・カレンダー・メールが同じ基盤に載っているため、「ツールごとに権限とログがバラバラ」という中小企業にありがちな状態を解消できます。Google Workspace や Microsoft Teams との違いを踏まえて選びたい場合は Lark vs Google Workspace 選び方、Lark vs Microsoft Teams【M365既契約でも選ぶべき3パターン】をあわせてご覧ください。

プラン別セキュリティ機能の境界 — どの制御がどのプランか

結論から言うと、無料の Starter は基本的なワークスペース管理（主管理者1名でのメンバー管理）まで、管理者ログ・透かし・ファイル操作権限・Base の高度な権限は Pro 以上、SSO・監査（権限/行動）・端末暗号化・秘密度ラベルといった高度な制御は Enterprise という境界です。以下は Lark 公式の料金ページで照合した対応表です（出典: Lark 公式料金ページ、2026年7月時点）。

この表の読み方は明快です。「まず無料で基本のワークスペースを試す」なら Starter、「管理者ログ・透かし・ファイル操作制御・Base のレコード単位権限まで締めたい」なら Pro、「SSO・端末暗号化・詳細な監査ログ（権限監査/行動監査）まで含めて ISMS 相当の統制を敷きたい」なら Enterprise、という選び方になります。料金は、Starter が0円（20名まで）、Pro が1人あたり月1,420円（税抜・年払い、500名まで）、Enterprise はユーザー数無制限で要問い合わせです（同・公式料金ページ、年間プランで16.6%オフ）。たとえば30名で Pro なら 1,420円 × 30名 = 月額42,600円（税抜・年払い）が目安です。

ISO27001／ISMS と両立させる管理者設定12パターン

結論から言うと、ISO27001 の代表的な管理策は、Lark の管理コンソール設定にほぼ1対1で対応づけられます。以下は、ISMS を運用する（あるいは今後取りたい）中小企業が、Lark 導入時に押さえるべき12の設定です。自社の適用宣言書（SoA）と突き合わせて使ってください。

この12項目は、「一度に全部やる」必要はありません。無料の Starter でも #1・#2（メンバー権限の基本設定・主管理者による分掌の下地）は始められます。管理者ログ・透かし・ファイル操作制御・Base のレコード単位権限（#6・#9・#10）を足したいなら Pro、SSO・端末暗号化・詳細な監査（#3・#8・#9 の権限監査/行動監査）まで求めるなら Enterprise、という順で、自社のリスクと予算に合わせて段階的に締めていくのが現実解です。ISMS 認証の有無にかかわらず、この設計は「情報を守りながら、現場の使い勝手を落とさない」ための共通の土台になります。導入前に潰すべき落とし穴は Lark 導入失敗パターン3つにまとめています。

Base の高度な権限管理で「最小権限」を作る

結論から言うと、中小企業のセキュリティで最も効くのは「業務データベース（Lark Base）で、誰がどのレコード・どの列を見られるかを絞ること」です。人事・給与・取引先・原価といった機微情報ほど、テーブル全体ではなく行（レコード）や列（フィールド）の単位で権限を分ける必要があるからです。

Lark Base の高度な権限管理は Pro 以上で提供され、テーブルやビュー単位に加えて、条件に応じた閲覧・編集の制御が可能です（出典: Lark 公式料金ページ（Base における高度な権限管理））。ロールは「管理可能（Can manage）／編集可能（Can edit）／閲覧のみ（View only）／アクセス不可（No access）」といった単位で割り当てられ、Owner・Administrator・Editor・Viewer の標準ロールに加え、独自のカスタムロールも作成できます。たとえば「営業担当は自分の案件レコードだけ編集できる／マネージャーは全件見えるが原価列は管理部門のみ」といった、実務でありがちな最小権限の要件を、コードを書かずに設定で表現できます。これは、テーブルをまるごと共有しがちな Excel 運用では作り込みにくいポイントです。脱Excel の具体手順は 【30日で完了】Lark Base で脱Excel する完全ロードマップを参照してください。

当社（アウフヘーベンジャパン株式会社／群馬・前橋）は、自社EC事業のバラバラな台帳を Lark Base に集約する際、この高度な権限管理で「担当は自分の担当分だけ、原価・利益は管理者だけ」という最小権限を最初から設計しました。結果として、月240時間かかっていた定型業務を24時間（90%削減）まで圧縮しながら、機微情報の閲覧範囲はむしろ紙・Excel 時代より厳格になりました。「効率化」と「統制」は二者択一ではなく、権限設計しだいで両立できます。ノーコードで業務システムを内製する考え方は IT人材ゼロでも業務システムは内製できるで詳しく述べています。

セキュリティ設定チェックリストと90日ロードマップ

結論から言うと、Lark のセキュリティ設定は「初日に締める最低限」→「30日で権限とログを整える」→「90日で ISMS 相当の統制に寄せる」の順で進めるのが失敗しません。まず、導入初日に必ず確認したい最低限のチェックリストです。

1. 二段階認証を全メンバーで有効化する
2. super admin（全権管理者）を最小人数に絞り、日常運用はカスタム管理者役割で分掌する
3. 外部連絡・外部共有の既定を「原則不可、必要時のみ許可」に設定する
4. 管理者ログが記録されていることを確認し、確認担当を決める（管理者ログは Pro 以上）
5. 機微情報を置く Base のテーブルは、共有範囲を既定で絞る

この90日は、まさに当社が自社導入でたどった順序と同じです。特別なセキュリティ製品を追加購入したのではなく、Lark の管理コンソールにある設定を、自社のリスクに合わせて段階的に締めただけです。中小企業が DX を進めながらセキュリティ体制を固める全体像は 中小企業 DX 進め方 90日ロードマップ【失敗例から逆算】、失敗の落とし穴の潰し方は 中小企業 DX 失敗率64%を回避する5ステップにまとめています。

つまずくポイントと回避策

結論から言うと、Lark のセキュリティ運用でつまずくのは「機能不足」ではなく「設定の初期状態のまま使う」「権限を盛りすぎて誰も守らない」という運用面です。5点を挙げます。

1. 初期設定のまま使う。 → 便利さ優先の既定値になっている項目があります。導入初日に外部共有・権限・二段階認証を必ず見直すこと。
2. super admin を多人数に付与する。 → 全権管理者が増えるほど事故リスクが上がります。カスタム管理者役割で分掌し、全権は最小限に。
3. 権限を厳しくしすぎて現場が回らない。 → 「見えなさすぎ」も失敗です。まず業務が回る最小権限から始め、機微情報だけ段階的に締めること。
4. ログを取っているが誰も見ない。 → ログは「取得」より「定期確認と異常時の参照手順」がセット。確認担当と頻度を決めること。
5. プラン要件を確認せずに設計する。 → SSO・監査・端末暗号化は Enterprise 領域です。ISMS 必須要件がある場合は、契約前にプラン提供範囲を必ず確認すること。

これらは Lark 導入全般の失敗とも重なります。kintone など他ツールとセキュリティ・運用性で迷う場合は Lark vs kintone どっちを選ぶべきか【中小企業向け徹底比較】、守秘義務の重い士業での実装は Lark で士業事務所の業務基盤を作るも参考になります。逆に言えば、この5点さえ避ければ、中小企業でも Lark を「安全に」運用できます。

よくある質問（FAQ）

まとめ — 「安全性」は土台×設定の掛け算で決まる

Lark のセキュリティは、ISO 27001 をはじめとする国際認証・通信/保存データの暗号化・日本国内データセンターでの保存という「製品側の土台」で相当に固められています。だからこそ中小企業が集中すべきは、権限管理・監査ログ・端末保護という「利用者側の設定」を、自社のポリシー（ISMS）に合わせて締めることです。安全性は、土台と設定の掛け算で決まります。

動くための最初の一手は、二段階認証を全員に有効化し、全権管理者を最小化し、外部共有の既定を絞り、管理者ログの確認担当を決める——この初日チェックリストです。当社は非エンジニアで自社業務を 月240時間 → 24時間（90%削減）まで圧縮しながら、機微情報の閲覧範囲は紙・Excel 時代より厳格にしました。まずは本記事の 90日ロードマップで、基本統制から始めてください。

関連記事

• 改正個人情報保護法（令和8年）で中小企業はどう備えるか — 権限・ログ実装ガイド — 法対応の観点から権限・ログ設計を具体化。
• Lark Base が中小企業の業務効率を変える3つの理由 — 権限設計の土台となる Base の基礎理解。
• 【30日で完了】Lark Base で脱Excel する完全ロードマップ — Excel 共有の権限リスクを Base の最小権限へ。
• IT人材ゼロでも業務システムは内製できる — ノーコードで統制を効かせた業務システムを内製する。
• Lark vs kintone どっちを選ぶべきか【中小企業向け徹底比較】 — セキュリティ・運用性の比較。
• Lark vs Microsoft Teams【M365既契約でも選ぶべき3パターン】 — 既存環境との併用・移行判断。
• Lark vs Google Workspace 中小企業の選び方 — 認証・料金・機能での選定。
• Lark で士業事務所の業務基盤を作る — 守秘義務の重い業種でのセキュア運用。
• 中小企業 DX 進め方 90日ロードマップ【失敗例から逆算】 — セキュリティを含む DX 全体の時間軸。
• Lark 導入失敗パターン3つ — 設定不備を含む定着の落とし穴。
• Lark Base 業務システム構築サービス — 権限設計・統制を伴走するメニュー。
• アウフヘーベンジャパン株式会社 会社案内 — 群馬・前橋拠点。Lark 導入を支援する独立系コンサルティング事業者。