Google Workspace利用時に気をつけるべき3つの内部不正による情報漏えいリスク

「Google Workspaceのセキュリティ対策」とは？

企業におけるクラウドサービスの利用は年々増加しており、 Google WorkspaceやMicrosoft 365といったクラウド型のグループウェアが多く活用されるようになりました。
その中でも、 Google Workspace は費用面など導入のしやすさから、中小企業やスタートアップ企業を中心に選ばれるケースが増えています。

しかし、 Google Workspace を含むクラウド型グループウェアは設定ミスや運用の甘さによって、情報漏えいリスクが高まるという側面もあります。特に、社内外の境界が曖昧になりがちなリモートワーク環境下では、セキュリティ対策の重要性が一層高まっています。

そこで本記事は、 クラウドサービス利用時に想定されるリスクと、セキュリティ強化に必要な設定について、Google Workspaceを例にまとめました。

防ぎきれない内部情報漏えいリスク

企業を狙ったサイバー攻撃や情報漏えい事件の報道が相次ぐ中、退職予定者や一部の従業員による内部不正が原因となったケースも少なくありません。
社内ネットワークのセキュリティを強化するために、情報持ち出しリスクのあるクラウドサービスへのアクセスブロックを設定し、業務上必要なサービスのみアクセス許可（アクセスブロックの解除）している企業も多くみられます。

その中でも、Google Workspace の各種サービス（Google Drive、Google Docs、Google Spreadsheetsなど）は業務利用の頻度が高いことから、個別にアクセス許可するケースが多く見受けられます。
しかし、Google Workspaceへのアクセスを単純に許可/ブロック設定するだけでは、情報持ち出しのリスクを十分に防ぎきれない場合があります。
特に注意すべきリスクとして、以下に3つの例を紹介します。

リスク① 私物PCや管理外デバイスを通じた情報持ち出し

Google Workspaceはクラウドベースのサービスであるため、適切な制限が行われていない場合、自宅PCや私用スマートフォンなど組織の管理外デバイスからもアクセスが可能となってしまいます。
万が一、こうした管理外デバイスから Google Workspace にログインされた場合、社内の機密情報が外部へ持ち出されるリスクがあります。

リスク② 利用を想定していないサービスを用いた情報持ち出し

Google Workspaceは非常に多機能な統合サービスです。
例えば、社内では Google DocsやGoogle Spreadsheetsの利用を想定していても、利用想定外のサービスに対して適切な制限を行っていない場合、同一アカウントで他のGoogleサービスにもアクセス可能となります。
こうした「利用想定外のサービス」を経由して、業務データを転送・共有されるリスクがあります。

リスク③ 私用Googleアカウントを使った情報持ち出し

社内環境からのGoogle Workspaceへのアクセスを許可している場合、私用のGoogleアカウントを用いたGoogle関連サービスの利用が可能となるケースがあります。
その結果、業務データをコピーして個人アカウントのGoogle Driveに保存したり、個人のGmailアカウントを用いて外部に送信するといった方法で、社内情報が要因に持ち出される恐れがあります。

以下に、各リスクの対策例を紹介します。

具体的な対策方法

「リスク①私物PCや管理外デバイスを通じた情報持ち出し」に対する対策方法

コンテキストアウェアアクセスの活用

コンテキストアウェアアクセス（Context-Aware Access）は、Google Workspace管理者が利用できる高度なアクセス制御機能です。

ユーザやデバイスの「コンテキスト」（状況）に応じてアクセス許可を柔軟に制御できます。
一般的なID/パスワードを用いた認証や、ワンタイムパスワード等を用いたMFA（多要素認証）では「ユーザ」に対する認証のみですが、コンテキストウェアアクセスを用いることで、デバイス単位での制御が可能となります。

参考：コンテキストアウェア アクセスでビジネスを保護する - Google Workspace 管理者 ヘルプ

「リスク②利用を想定していないサービスを用いた情報持ち出し」に対する対策方法

ユーザ・グループ単位でのサービスの有効/無効設定

Google Workspace の管理コンソールでは、ユーザーやグループごとに利用可能なGoogleサービスを個別制御できます。
この設定により、想定外のサービスを通じた情報持ち出しリスクを低減することが可能です。
Google Workspaceの標準機能のみで実装できるため、非常に導入しやすい方法です。

参考：Google Workspace ユーザー向けにサービスを有効または無効にする - Google Workspace 管理者 ヘルプ

「リスク③私用Googleアカウントを使った情報持ち出し」に対する対策方法

ウェブプロキシサーバーによる個人Googleアカウントの利用制御

Google Workspace にアクセスできるアカウントを「業務用のGoogleアカウントに限定したい」場合に有効な設定です。
ウェブプロキシサーバを用いて、 Google Workspace へ送信するHTTPリクエストに以下のヘッダーを挿入します。

このヘッダーを受け取ったGoogleは、指定ドメイン以外のアカウント（ @gmail.com や他社の Google Workspace ドメインなど）によるログインをブロックします。
なお、複数の業務用ドメインを利用している場合は、このヘッダーにドメインを複数指定することで対応可能です。
これにより、私用アカウントを経由した情報持ち出しリスクを低減することが可能です。
なお、本対策はあくまで社内ユーザーの利用制御を前提としたものです。取引先など社外ユーザーとのファイル共有やアクセス制御については、別途ポリシー設計や対策を検討する必要があります。

参考：一般ユーザー向けアカウントからのサービス利用を防ぐ - Google Workspace 管理者 ヘルプ

まとめ： Google Workspace は「便利だからこそ安全に利用するべき」

Google Workspaceは非常に利便性の高いツールですが、適切なセキュリティ設定や運用が行われていない場合、その利便性がリスクに転じる可能性があります。特に、アクセス制御の設計を誤ると、思わぬ情報漏えいや内部不正につながりかねません。

弊社では、クラウドサービスにおけるセキュリティ設計やリスク評価などについてもご支援をしております。お客様の環境や業務特性を踏まえ、情報持ち出し経路の洗い出しから、各リスクに対するクラウドサービスの設定を含め適切な対策・リスク低減策をご提案いたします。 ぜひお気軽にご相談ください。

詳細はこちら