Google Workspaceで始める情報漏洩対策

企業の情報漏洩は増加の一途を辿っており、企業の規模を問わず、その対策は喫緊の課題となっています。特に、中小企業やスタートアップ、零細企業、フリーランス、個人事業主といった組織では、セキュリティ対策に十分なリソースを割くことが難しい場合があり、情報漏洩のリスクに晒されやすい状況にあります。

情報漏洩は、顧客の個人情報や企業の機密情報が外部に漏れてしまうことで、企業の信用失墜、顧客離れ、損害賠償など、事業に深刻な影響を与える可能性があります。漏洩の内容や規模によっては、原因調査や顧客対応、損害賠償などで多額の費用が発生することもあります。また、Webサイトの認証情報が漏洩した場合、Webサイトが改ざんされ、フィッシングサイトに誘導されたり、マルウェアに感染させられたりする二次被害のリスクもあります。

このようなリスクを回避するため、Google Workspace を活用した情報漏洩対策について解説していきます。Google Workspace は、単なるグループウェアではなく、強力なセキュリティ機能を備えており、比較的容易に情報漏洩対策を講じることが可能です。本記事では、Google Workspace のセキュリティ機能、セキュリティ設定のベストプラクティス、従業員教育、そして他のセキュリティ対策との連携について詳しく解説し、読者の皆様が安全なビジネス環境を構築するための一助となることを目指します。

情報漏洩のリスクとその影響

情報漏洩は、企業の規模や業種を問わず、様々なリスクをもたらします。顧客の個人情報や企業の機密情報が外部に漏洩することで、以下のような深刻な影響が生じる可能性があります。

• 経済的損失: 情報漏洩が発生した場合、原因調査、復旧作業、セキュリティ対策の強化などに多大な費用が発生します。また、顧客離れや取引停止による売上減少、ブランドイメージの悪化による株価下落など、間接的な損失も甚大です。
• 法的責任: 個人情報保護法などの法令に違反した場合、罰金や行政処分が科される可能性があります。また、漏洩によって被害を受けた顧客や取引先から損害賠償請求訴訟を起こされるリスクもあります。特に、EU の GDPR や米国の CCPA など、海外の法規制にも対応する必要がある場合は注意が必要です。
• 信用の失墜: 情報漏洩は企業の信用を大きく損ないます。顧客や取引先は、企業が自社の情報を適切に管理できないと判断し、取引を停止する可能性があります。一度失った信用を取り戻すことは容易ではなく、企業のブランドイメージ回復には長期間を要するケースも少なくありません。
• 業務の混乱: 情報漏洩への対応に追われることで、通常の業務が滞り、事業の継続に支障をきたす可能性があります。特に、中小企業やスタートアップなど、人員が少ない組織では、情報漏洩対応にリソースを割かれることで、事業全体が停滞してしまうリスクもあります。

特に、中小企業、スタートアップ、零細企業、フリーランス、個人事業主は、大企業に比べてセキュリティ対策が脆弱になりがちです。限られたリソースの中で、効率的かつ効果的な情報漏洩対策を講じる必要があります。

Google Workspace のセキュリティ機能

Google Workspace は、Gmail、Google ドライブ、Google Meet など、様々なビジネスツールを提供するクラウドサービスです。これらのツールには、情報漏洩対策に役立つ様々なセキュリティ機能が搭載されています。ただし、データ損失防止（DLP）や Google Vault などの一部機能は、契約しているエディション（プラン）によって使えない場合があります。ここでは「全プラン共通で使える主な機能」と「対象エディション限定の機能」に分けて整理します。

全プラン共通で使える主な機能

対象エディション限定の機能（2026年9月25日時点）

以下の機能は、Business Starter / Business Standard / Business Plus では DLP が対象外、Business Starter では Meet の録画が使えないなど、エディションによって利用可否が分かれます。導入前に Google 公式ヘルプで最新の対象エディションを確認してください。

DLP の全体像は Google 公式ヘルプ「DLP について」で確認できます。

Gmail

Gmail には、誤送信や情報漏洩を防止するための機能が備わっています。

• 情報保護モード: メールの有効期限を設定したり、SMS パスコードによる認証を要求したりすることで、メールの内容を保護できます。また、受信側の操作を制限し、転送、コピー、印刷、ダウンロードなどを禁止することも可能です。
• データ損失防止（DLP）: Gmail の DLP を利用できるエディションでは、機密情報を含むメールを検知し、送信をブロックしたり、警告を表示したりすることができます。クレジットカード番号や個人情報など、特定の情報を検出するルールを設定することで、情報漏洩を未然に防ぐことが可能です。対象は Frontline Standard / Plus、Enterprise Standard / Plus、Education Fundamentals / Standard / Plus で、Business Starter / Standard / Plus は対象外です（Gmail 向け DLP の公式ヘルプ）。
• 送信取り消し機能: 誤ってメールを送信してしまった場合でも、一定時間内であれば送信を取り消すことができます。
• 誤送信防止機能: 宛先や添付ファイルなどを確認するよう促すことで、誤送信を防止する機能です。
• 添付ファイルのウイルススキャン機能: メールに添付されたファイルをウイルススキャンし、マルウェアの感染を防止します。

Google ドライブ

Google ドライブでは、ファイルやフォルダごとにアクセス権限を設定することができます。

• 共有設定: ファイルやフォルダを特定のユーザーと共有したり、組織全体で共有したり、リンクを知っている全員と共有したりすることができます。共有する際には、ファイルやフォルダを暗号化することで、より安全性を高めることができます。
• アクセス権限の変更: 共有相手ごとに、「閲覧者」、「閲覧者（コメント可）」、「編集者」といった権限を設定することができます。編集権限を必要なユーザーに限定することで、誤編集や情報漏洩のリスクを軽減できます。

Google Meet

Google Meet は、安全なビデオ会議を実現するためのセキュリティ機能を備えています。Google Meet は、無料版でも Google の他のサービスと同じセキュリティ対策が適用されており、高い安全性が確保されています。

• 参加者の制限: 会議への参加者を制限することで、部外者の参加を防ぐことができます。
• 画面共有の制御: 画面共有を許可するユーザーを制限したり、共有内容を制御したりすることができます。
• 録画機能: 会議の内容を録画し、後から確認することができます。録画データは暗号化され、安全に保管されます。録画は Business Standard 以上などの対象エディションに限られ、Business Starter では利用できません（上記「対象エディション限定の機能」を参照）。
• 会議コードの暗号化: 会議コードは複雑な暗号で生成され、不正アクセスを防ぎます。また、会議コードはいつでも変更可能です。
• ホストコントロール: 会議の主催者は、参加者をミュート・削除したり、会議への参加を承認制にしたりするなど、会議を制御するための様々な機能を利用できます。
• 不正使用対策: Google Meet には、会議の妨害や不正アクセスを防止するための対策が組み込まれています。
• デフォルトでの暗号化: Google Meet では、すべての通信がデフォルトで暗号化されます。

Google Chat

Google Chat は、セキュアなコミュニケーションを実現するための機能を備えています。

• メッセージの削除: 送信したメッセージを削除することができます。
• アーカイブ機能: メッセージをアーカイブすることで、必要なときに過去のメッセージを検索することができます。
• データ損失防止（DLP）: Gmail と同じく対象エディション（Frontline Standard / Plus、Enterprise Standard / Plus、Education Fundamentals / Standard / Plus）では、Chat でも DLP 機能を利用できます。機密情報を含むメッセージを検知し、送信をブロックしたり、警告を表示したりすることが可能です。Business Starter / Standard / Plus は対象外です（Chat 向け DLP の公式ヘルプ）。
• フィッシングの検出と保護: フィッシングやマルウェアを含むメッセージを検知し、ユーザーに警告したり、ブロックしたりします。
• チャット制限機能: 管理者は、教育機関向けに、ダイレクトメッセージ、グループメッセージ、スペースの作成を制限することができます。

Google Calendar

Google Calendar では、カレンダーの共有設定やアクセス権限を管理することができます。また、Google Calendar は、他の Google サービスと同様に、スパムフィルタリングやマルウェア対策などのセキュリティ対策が適用されています。

• 共有設定: カレンダーを特定のユーザーと共有したり、組織全体で共有したりすることができます。職場のアカウントでは、「予定のアクセス権限」で組織内のユーザーに公開する範囲も指定できます。
• アクセス権限の変更: 共有相手ごとに、次の権限を設定することができます（カレンダー共有の公式ヘルプ）。
  • 予定の表示（時間枠のみ、詳細は非表示）
  • 予定の詳細の表示
  • 変更可能（限定公開の予定を、予定の有無としてのみ表示）
  • 予定の詳細を変更、表示可能
  • 予定の変更および共有の管理

社外の相手には「予定の表示（時間枠のみ、詳細は非表示）」を基本にし、予定の変更や共有の管理ができる権限は必要な人に限定すると、予定のタイトルや参加者などから情報が漏れるリスクを抑えられます。

Google Vault での Gemini アプリのサポート

Google Vault は、Google Workspace の情報ガバナンスおよび電子情報開示ツールです。Gemini アプリのサポートにより、管理者は Vault を使用して、ユーザーのプロンプトと Gemini アプリの回答を含む会話の検索と書き出しを行えるようになりました（Vault で Gemini アプリを検索する）。また、Gemini アプリの会話を保持ルールや記録保持（リティゲーション ホールド）の対象にすることもできます（Vault で Gemini アプリのメッセージを保持する）。これにより、規制や法律に準拠した電子情報開示を効率的に行うことができます。

Vault は Business Starter / Business Standard には含まれていません。Gemini アプリの Vault サポートの対象は、Business Plus、Enterprise Essentials / Essentials Plus、Enterprise Standard / Plus、すべての Education エディション、および Vault アドオンを購入した組織です（Google Workspace Updates）。

セキュリティ設定のベストプラクティス

Google Workspace のセキュリティ機能を最大限に活用するためには、適切なセキュリティ設定を行うことが重要です。以下に、セキュリティ設定のベストプラクティスを紹介します。

二段階認証の設定

二段階認証（Google の名称は「2段階認証プロセス」）は、パスワードに加えて、セキュリティキーや確認コードなどの2つ目の要素でログインを確認することで、アカウントへの不正アクセスを防ぐセキュリティ対策です。2段階認証の導入と強制はすべてのエディションの管理コンソールで設定でき、多くの企業では、アカウントやメールを保護するために、二段階認証を義務付けています。

ユーザーが選べる主な確認方法は次のとおりです。SMS だけが標準の方法ではなく、管理者が組織で許可する方法を選べます。

• セキュリティキー（フィッシングに最も強い方法）
• Google 認証システムアプリなどの認証アプリ
• Google からのメッセージ、テキスト メッセージ（SMS）、電話
• バックアップコード（他の方法が使えないときの予備）

管理者による導入の流れは以下の通りです（2 段階認証プロセスを導入する：Google 公式ヘルプ）。

1. ユーザーに事前に周知する: 導入の目的と時期、任意か必須か、推奨する確認方法を伝えます。
2. ユーザーが有効にできるようにする: 管理コンソールの「セキュリティ」＞「認証」＞「2段階認証プロセス」で「ユーザーが2段階認証プロセスを有効にできるようにする」をオンにします（この段階では強制しない）。
3. ユーザーに登録してもらう: 各ユーザーが自分の Google アカウントで確認方法を登録します。
4. 登録状況を確認する: 管理コンソールの「レポート」＞「ユーザー レポート」＞「セキュリティ」で、ユーザーごとの登録状況やセキュリティキーの登録数を確認します。
5. 強制適用する: 同じ設定画面の「適用」で「今すぐ強制」または開始日を指定します。あわせて、新規ユーザーが登録するまでの猶予期間（新規ユーザーの登録期間）や、「方法」（「制限なし」「テキスト メッセージや音声通話で受け取った確認コード以外」「セキュリティ キーのみ」）を選べます。

組織部門やグループ単位で段階的に強制することも可能です。特権管理者など管理者アカウントは乗っ取られたときの影響が大きいため、セキュリティキーでの2段階認証が推奨されています。

アクセス権限の管理

Google Workspace の各サービスでは、ファイルやフォルダ、カレンダーなどのリソースに対して、ユーザーやグループごとにアクセス権限を設定することができます。アクセス権限を適切に設定することで、情報漏洩のリスクを軽減することができます。

• ユーザーごとの権限設定: ユーザーごとに、必要な権限のみを付与します。例えば、機密情報を含むファイルには、閲覧権限のみを付与し、編集権限は必要最低限のユーザーに限定します。
• グループごとの権限設定: 部署やプロジェクトチームなど、グループ単位でアクセス権限を設定します。例えば、経理部には経理関連のファイルへのアクセス権限のみを付与し、他の部署のファイルにはアクセスできないように設定します。

不審なアクティビティの監視

Google Workspace では、ログイン履歴やアクセスログなどを確認することで、不審なアクティビティを監視することができます。不審なログインやアクセスを検知した場合には、速やかに対応することが重要です。

• ログイン履歴の確認: ユーザーのログイン履歴を確認し、不審なログインがないか確認します。例えば、普段とは異なる場所や時間帯からのログインは、不正アクセスの可能性があります。
• アクセスログの確認: ファイルやフォルダへのアクセスログを確認し、不正なアクセスがないか確認します。アクセス権限のないユーザーがファイルにアクセスしようとした場合などは、アラートが表示されます。

また、Google Workspace は VirusTotal Enterprise と連携しており、脅威の疑いがある場合は、ワンクリックで VirusTotal Enterprise の高度な検索を実行し、関連するマルウェアを特定することができます。

コンテキストアウェアアクセス

Google Workspace では、コンテキストアウェアアクセスを利用することで、デバイスおよびユーザーの ID に基づいて Google Workspace アプリケーションへのアクセスレベルを管理することができます。アクセスポリシーを設定することで、特定のデバイスからのアクセスを制限したり、特定のユーザーにのみアクセスを許可したりすることができます。

Google Workspaceに「IPアドレス制限機能」が無い理由とは

デバイス管理

従業員が使用するデバイスを管理することで、情報漏洩のリスクを軽減することができます。Google Workspace のエンドポイント管理は、BYOD (Bring Your Own Device) にも対応しており、従業員が自分の好きなデバイスを使用しながら、企業のデータを保護することができます。

• モバイルデバイス管理: 従業員が使用するスマートフォンやタブレットなどのモバイルデバイスを管理します。デバイスの紛失や盗難時には、リモートでデータを消去することができます。
• 紛失時の対応: デバイスの紛失や盗難が発生した場合には、速やかに Google Workspace の管理者に報告し、アカウントのロックやデータの消去などの対応を依頼します。

パスワードポリシーの設定

強力なパスワードを設定し、定期的に変更することで、不正アクセスを防ぐことができます。Google Workspace では、パスワードの文字数、複雑さ、有効期限などを設定することができます。パスワードポリシーは、「必須」モードと「通知」モードの 2 つのモードで適用することができます。「必須」モードでは、ユーザーはポリシーに準拠したパスワードに変更するまでログインできません。「通知」モードでは、ユーザーはポリシーに準拠していないパスワードでもログインできますが、ポリシーに準拠していないことを通知されます。

• パスワードの文字数: パスワードの最小文字数を設定します。8文字以上が推奨されています。
• 複雑さ: 大文字、小文字、数字、記号などを組み合わせた複雑なパスワードを設定することを義務付けます。
• 有効期限: パスワードの有効期限を設定し、定期的な変更を促します。

従業員向けのセキュリティ教育

情報漏洩の原因の多くは、従業員の不注意や知識不足によるものです。従業員一人ひとりのセキュリティ意識を高めることが、情報漏洩対策には不可欠です。

セキュリティ意識向上のための教育内容

従業員向けのセキュリティ教育では、以下の内容を盛り込むことが重要です。

• 情報漏洩の事例紹介: 過去の情報漏洩事例を紹介することで、情報漏洩の深刻さを認識させます。
• セキュリティリスクの認識: パスワードの使い回しや、不審なメールの開封など、具体的なセキュリティリスクを理解させます。また、公共 Wi-Fi やクラウドサービスなどの外部ネットワークを利用する際のリスクについても説明します。
• パスワード管理の重要性: 強力なパスワードを設定し、定期的に変更することの重要性を説明します。
• フィッシング詐欺への対策: フィッシング詐欺の手口を理解させ、不審なメールやWebサイトにアクセスしないよう注意喚起します。
• ソーシャルメディアの利用: ソーシャルメディアにおける情報発信の注意点などを説明します。

効果的な教育方法

従業員教育には、以下の方法があります。

• eラーニング: インターネットを利用した学習システムで、時間や場所を問わずに学習することができます。
• 研修: 講師による講義形式の研修で、質疑応答などを通して理解を深めることができます。
• マニュアル作成: セキュリティに関するマニュアルを作成し、従業員に配布します。
• インタラクティブな学習: クイズ形式のテストやグループディスカッション、ケーススタディなどを実施することで、従業員の積極的な参加を促し、理解を深めます。

定期的なセキュリティ教育の実施

セキュリティに関する脅威は常に変化しているため、セキュリティ教育は定期的に実施することが重要です。最新の情報を盛り込み、従業員のセキュリティ意識を常に最新の状態に保ちましょう。

Google Workspace 以外のセキュリティ対策との連携

Google Workspace のセキュリティ機能に加えて、以下のセキュリティ対策を導入することで、より強固なセキュリティ体制を構築することができます。

• ウイルス対策ソフトの導入: ウイルス対策ソフトを導入することで、マルウェアの感染を防ぎます。最新のウイルス定義ファイルを常に更新し、ウイルススキャンを定期的に実行することが重要です。ただし、Windows Security などのように、OS に標準搭載されているセキュリティ機能で十分な場合もあるため、必要に応じて導入を検討しましょう。また、EDR (Endpoint Detection and Response) を導入することで、未知の脅威にも対応することができます。
• ファイアウォールの設定: ファイアウォールを設定することで、外部からの不正アクセスを遮断します。ファイアウォールは、ネットワークの境界に設置するハードウェア型と、パソコンにインストールするソフトウェア型があります。
• 侵入検知システムの導入: 侵入検知システム (IDS) を導入することで、ネットワーク上の不正アクセスを検知し、管理者に通知します。IDS は、ネットワーク型とホスト型に分類されます。クラウド型の IDS は、セキュリティ専門家がいない企業でも導入しやすいというメリットがあります。また、IPA (情報処理推進機構) が発行している「産業用制御システム向け侵入検知製品等の導入手引書」も参考になります。
• セキュリティコンサルティングの利用: セキュリティの専門家によるコンサルティングを受けることで、自社のセキュリティ対策の現状を把握し、最適な対策を導入することができます。

Q&A

Q. Google Workspace のセキュリティ機能は、無料版（無料のGoogleアカウント）と有料版で違いがありますか？

A. はい、違いがあります。有料版では、管理コンソールによるアカウント管理、2段階認証の強制、セキュリティアラートなどの機能が利用できます。データ損失防止（DLP）など一部の高度な機能は、Enterprise などの対象エディションに限られ、Business Starter / Standard / Plus では利用できません（上記「対象エディション限定の機能」を参照）。無料版でも基本的なセキュリティ機能は利用できますが、組織全体でセキュリティ対策を強化したい場合は、有料版の導入を検討することをお勧めします。また、無料版ではアカウントの乗っ取りリスクがありますが、有料版ではそのリスクを軽減することができます。

Q. Google Workspace のセキュリティ設定は、どのように行えばよいですか？

A. Google Workspace のセキュリティ設定は、管理コンソールから行います。管理コンソールでは、二段階認証の設定、パスワードポリシーの設定、アクセス権限の管理など、様々なセキュリティ設定を行うことができます。

Q. 情報漏洩が発生した場合、どのような対応をすればよいですか？

A. 情報漏洩が発生した場合には、以下の対応が必要です。

1. 状況の把握: どのような情報が漏洩したのか、漏洩経路、漏洩規模などを把握します。
2. 被害の拡大防止: 漏洩経路を遮断し、被害の拡大を防ぎます。
3. 原因の究明: 情報漏洩の原因を究明し、再発防止策を検討します。
4. 関係機関への報告: 個人情報保護委員会などの関係機関に報告します。
5. 影響を受けた方への対応: 情報漏洩の影響を受けた方へ、状況を説明し、謝罪します。

また、DLP の対象エディションを利用している場合は、データ損失防止 (DLP) のルールを設定しておくことで、機密情報の外部共有を未然に防ぐ対策にも役立ちます。

Q. Google Workspace のセキュリティに関する最新情報は、どこで入手できますか？

A. Google Workspace のセキュリティに関する最新情報は、以下のサイトで入手できます。

• Google Workspace アップデートブログ（日本語）
• Google Workspace Japan ブログ（日本語）
• The Google Workspace blog（英語）

まとめ

Google Workspace は、強力なセキュリティ機能を備えており、中小企業から大企業まで、あらゆる規模の組織で情報漏洩対策に役立ちます。Google Workspace のデータセンターは、世界最高水準のセキュリティを誇り、データの安全性を確保しています。また、Google Workspace は、セキュリティ、プライバシー、コンプライアンスに関して、定期的に独立した第三者機関による監査を受けており、その信頼性は高く評価されています。本記事で紹介したセキュリティ機能や設定方法を参考に、Google Workspace を活用した情報漏洩対策を検討してみてはいかがでしょうか。