Google Workspaceのセキュリティ設定とは？最低限やるべき対策と現場でつまずくポイントを解説

「2段階認証は設定した方がいいと分かっているが、会社からスマホを支給していない社員がいる」。私たちは、Google Workspaceの導入支援の中で、こうしたご相談をよくいただきます。

結論からお伝えします。中小企業がまず着手すべきセキュリティ設定は、2段階認証の適用、パスワードポリシーの強化、Googleドライブの外部共有制限の3つです。ただ、この3つを教科書通りに並べるだけでは、実際の運用でつまずくポイントを見落とします。この記事では、公式手順に加えて、私たちが実際にご相談を受けた2つのつまずきポイントを中心に解説します。

Google Workspaceで最低限おさえておきたいセキュリティ設定3つ

まず全体像を押さえておきましょう。Google Workspaceの管理コンソールには数多くのセキュリティ機能がありますが、中小企業がゼロから着手するなら、優先すべきは次の3つです。

1. 2段階認証プロセスの適用
2. パスワードポリシーの強化
3. Googleドライブの外部共有制限

2段階認証は、パスワードが漏れても不正ログインを防ぐ、最も基本的で効果の高い対策です。設定していない場合、フィッシングなどでパスワード一つが漏れただけで、第三者にアカウントを乗っ取られてしまいます。

パスワードポリシーは、最低文字数、強いパスワードの要求、過去のパスワードの再利用防止といった条件を組織全体に適用できる機能です。社員任せにすると「会社名+誕生日」のような推測しやすいパスワードが使われがちなため、管理者側でルール化しておく価値があります。なお、パスワードの有効期限も設定できますが、Google公式ヘルプでは定期的な変更を必須とせず、運用負荷との兼ね合いで必要に応じて検討する位置づけとしています。

ドライブの外部共有制限は、「リンクを知っている人なら誰でも閲覧できる」設定になっていないかを確認し、共有範囲を組織内やドメイン内に限定する設定です。取引先に送ったつもりのファイルが、意図せず第三者にも開ける状態になっていた、という事故は珍しくありません。

このうち2段階認証とパスワードポリシーは、管理コンソールの「セキュリティ」メニューから設定します。Googleドライブの外部共有制限は、「アプリ」→「Google Workspace」→「ドライブとドキュメント」から設定します。

とはいえ、多くの解説記事がこの3点セットを紹介する一方で、実際に導入企業からよく聞くのは、もう一歩踏み込んだ現場の悩みです。ここからは、私たちが実際にいただいたご相談をもとに解説します。

【現場の声】2段階認証で必ず出てくる「スマホを支給していない社員」問題

2段階認証を全社に適用しようとすると、多くの企業で同じ壁にぶつかります。会社からスマートフォンを支給していない社員がいる場合、どう認証させればいいのかという問題です。

これは私たちちらし屋ドットコム自身も直面した課題です。2段階認証はとても便利な仕組みですが、認証コードの受け取り先となるスマートフォンを、全社員に支給しているとは限りません。私物のスマートフォンを業務利用させることに抵抗がある企業も多いはずです。

こうした場合に検討できるのが、USB接続のセキュリティキーです

Googleアカウントヘルプによると、セキュリティキーはパソコンのUSBポートに接続して使う方式にも対応しており、スマートフォンを持っていなくても2段階認証を完了できます。手順も難しくありません。対応ブラウザでGoogleアカウントにログインし、USBポートにキーを挿し込んで反応させるだけです。1本のキーを複数のGoogleアカウントの認証に使い回すこともできます。

私物スマートフォンの業務利用を許可できる会社であれば、それでも構いません。ただし、それが難しい場合は、社員一人ひとりにUSBセキュリティキーを配布し、パソコン単体で2段階認証を完結させる方法が現実的な選択肢になります。1本のキーの価格は数千円程度からで、全社導入してもスマートフォン支給よりはるかに低コストです。紛失に備えて、予備の1本を安全な場所に保管しておくことも忘れないでください。

もう一つの盲点、「1つのアカウントを複数人で共有」は避けるべき運用

セキュリティ相談で見落とされがちなのが、アカウント共有の問題です。部署によっては、1つのメールアドレス(Googleアカウント)を複数人で共有して使っているケースも珍しくありません。

しかし、これは避けたほうがいい運用です。Google Workspace公式ヘルプでは、Googleアカウントは1人のユーザーによる使用を想定していると明記されています。複数人で同じアカウントを頻繁に使い回すと、アカウントが利用制限のしきい値に達しやすくなります。不正アクセスを疑われて追加のセキュリティ確認を求められたり、最悪の場合は一時的にアカウントがロックされたりする可能性もあるためです。

つまり、Googleが想定していない使い方というだけでなく、実務上のリスクとしても「1人1アカウント」を徹底したほうが安全だということです。複数人でメールを確認する必要がある場合は、アカウントを共有するのではなく、別の仕組みを使う方法を検討してください。Gmailのメール委任や、Googleグループの共同受信箱（Collaborative Inbox）といった機能が、Google Workspaceにはあらかじめ用意されています。

私用のGoogleアカウントを業務に使わせていませんか

セキュリティ設定というと社内の話に目が向きがちですが、社員が私用のGoogleアカウントで業務ファイルをやり取りしていないかも確認しておきたいポイントです。個人のGoogleアカウントは会社の管理コンソールの管理下になく、退職時にデータを回収できない、そもそも何をやり取りしたか把握できないといったリスクがあります。

個人用Googleアカウントの利用を制限する方法はありますが、単純なON/OFFの1設定ではなく、環境によって実装方法が異なります。例えばChromeOS端末では、デバイスポリシーとして「組織のGoogle Workspaceドメイン以外へのサインインを制限する」設定が用意されています。まずは「会社の情報は会社のアカウントで扱う」というルールを明確にし、必要に応じて技術的な制御を追加していくのが現実的です。

中小企業がまず着手すべき順番

ここまでの内容を踏まえて、実際の設定はどの順番で進めればいいのでしょうか。管理者権限を持つアカウントで、以下の順に進めることをおすすめします。

自社での対応が不安な場合は

ここまで紹介した設定は、いずれも管理コンソールから行えます。ただ、専任の情シス担当者がいない中小企業では、どこまで厳しくすればいいのか、社員への説明をどうするかといった判断に迷う場面も多いはずです。

私たちちらし屋ドットコムでは、セキュリティ設定の初期設定から、社員向けの運用ルール整備まで一括してサポートしています。スマートフォン未支給の社員がいる場合の認証方法の検討や、部署単位でのアカウント共有をやめるための代替策の提案も可能です。「何から手をつければいいか分からない」「一度設定したが正しいか不安」という状態でも、現状を確認するところからご相談いただけます。管理コンソールの基本操作については、管理コンソールの記事でも詳しく解説しています。Google Workspace全体でできることを確認したい方は、できることの記事もあわせてご覧ください。

よくある質問

Google Workspaceのセキュリティレベルは高いですか？

Googleは第三者機関によるセキュリティ認証を複数取得しており、データの暗号化や不正アクセス検知などの基盤は標準で備わっています。ただし、こうした基盤があっても、2段階認証やアカウント共有の禁止といった運用面のルールを企業側で徹底しなければ、リスクは残ります。

2段階認証を全社員に必須化することはできますか？

できます。管理コンソールの「セキュリティ」から「2段階認証プロセス」に進み、組織部門ごとに適用を有効にすると、その部門に所属するユーザー全員が2段階認証の設定を求められるようになります。

スマートフォンを支給していない社員の2段階認証はどうすればいいですか？

私用スマートフォンの業務利用を許可できるなら、その方法でも構いません。難しい場合は、USB接続のセキュリティキーを使うと、パソコン単体で2段階認証を完結できます。

1つのアカウントを複数人で共有してもいいですか？

おすすめできません。Google Workspace公式ヘルプでは、アカウントは1人のユーザーによる使用を想定していると明記されています。共有はアカウントロックなどのトラブルにつながるおそれもあるため、避けてください。

セキュリティ設定の変更に追加費用はかかりますか？

2段階認証やパスワードポリシー、ドライブの共有制限といった基本的な設定は、標準プランの範囲内で追加費用なしに行えます。

セキュリティ設定は誰が行う必要がありますか？

管理コンソールの操作には、特権管理者などの管理者権限を持つアカウントが必要です。情シス担当者がいない場合は、外部の導入支援サービスに依頼する方法もあります。

社員の私用Googleアカウントでの業務利用は禁止すべきですか？

推奨はできません。私用アカウントは会社の管理対象外となるため、退職時のデータ回収や利用状況の把握が難しくなります。業務データは原則として会社発行のアカウントで扱うようルール化し、必要に応じて技術的な制御も検討してください。

まとめ

Google Workspaceのセキュリティ設定は、2段階認証、パスワードポリシー、ドライブの共有制限という基本の3点から着手すると進めやすくなります。しかし実際の運用では、スマートフォンを支給していない社員への対応や、部署内でのアカウント共有といった、教科書には載りにくい壁にぶつかります。

USBセキュリティキーの活用や、メール委任・共同受信箱といった代替手段を知っておくだけで、こうした壁は乗り越えられます。自社だけでの対応に不安がある場合は、お気軽にご相談ください。