Google Workspaceセキュリティ完全ガイド：IT管理者のための実践マニュアル（2026年版）

Google Workspaceは、数百万の組織における日々の業務を支えています——メール、ドキュメント、共有ドライブ、カレンダー、そしてそれらを結びつけるIDです。これほどデータとアクセス権が集中しているからこそ、導入初日に受け入れたデフォルト設定のままではなく、意図的なセキュリティ戦略が必要なのです。

本ガイドでは、IT管理者が検討すべき順序に沿って、最も重要な領域を解説します：ID、共有、サードパーティアクセス、管理設定、そして継続的な監視です。いずれも、既存システムを全面的に置き換えるようなプロジェクトを必要としません。最も効果の大きい変更の多くは、すでに管理者が保有している設定の見直しにすぎません。

まずはIDから始める——すべてはここに依存する

Google Workspace内のすべてのファイル、カレンダー、メールボックスは、IDを通じてアクセス可能です。攻撃者があるアカウントを掌握すれば、そのアカウントが閲覧できるデータは事実上攻撃者のものとなります。だからこそ、IDはWorkspaceセキュリティの基盤なのです。

以下の3つの制御が、対策の大部分を担います：

• 多要素認証（MFA）を、任意ではなく必須にする。 パスワードのみでは単一障害点となります。組織全体で2段階認証プロセスを強制することは、導入できる中で最も効果的な単一の対策です。詳細な展開方法については、Google Workspace全体でMFAを強制する方法のガイドで解説しています。
• 可能な限り、フィッシング耐性のある強力な第2要素を使用する。 ハードウェアセキュリティキーやパスキーは、ワンタイムコードを突破するクレデンシャルフィッシングキットに対して耐性があります。少なくとも管理者やその他の重要アカウントには、これらを優先的に割り当てましょう。
• 最小権限の管理者ロールを徹底する。 スーパー管理者ロールは何でも実行できます。ほとんどの管理者にはそこまでの権限は必要ありません。Google Workspaceは、特定のタスクに限定されたカスタム管理者ロールをサポートしています。これを活用し、スーパー管理者の数はできる限り正当化できる最小限にとどめましょう。

有効な演習として、管理者権限を持つすべてのアカウントを一覧化し、それぞれについて「このアカウントが明日侵害された場合、最悪何が起こり得るか」を問うてみてください。多くの場合、必要以上に広い権限を持つロールがいくつか見つかるはずです。

Driveの共有を管理下に置く

Driveは組織の知識が蓄積される場所であり、共有はデータ露出の大半が始まる起点でもあります。問題の多くは悪意によるものではなく、利便性によるものです。誰かが会議を進めるために「リンクを知っている全員」にドキュメントを設定し、会議が終わってもそのリンクはインデックス化され、転送可能なまま無期限に残り続けます。

洗い出すべきパターンは以下の通りです：

• 公開リンク。 「リンクを知っている全員」に共有されたファイルは、URLを入手した誰もがアクセス可能です。機密性の高いコンテンツにとって、これは開いたままの扉です。
• 外部共有。 自組織のドメイン外——パートナー、業務委託先、個人アカウント——と共有されたファイルやフォルダは、管理下にないシステムへとデータの境界を拡大させます。
• ドメイン全体への共有。 「組織内の全員」という設定は、社内ハンドブックには適していても、報酬データが入ったフォルダには危険です。
• 継承の破損と過剰な所有権。 一つの過剰共有された親フォルダが、その配下のすべてを静かに露出させることがあります。

管理コンソールで組織レベルの適切なデフォルト設定を行いましょう（業務フローが許す範囲で、ドメイン外への共有を信頼できるリストに制限するなど）。ただし、デフォルト設定が制御できるのは*新規*の共有のみです。ポリシーを厳格化する前に作成された共有は、依然として存在し続けます。それらを見つけ出すのは発見の問題であり、継続的なスキャンが真価を発揮する領域です。Google Driveの共有権限チェックリストは、これを具体的かつ繰り返し実施可能なレビューへと落とし込んでいます。

テナントに接続されたサードパーティアプリを監査する

「Googleでログイン」や、ユーザーがインストールするアドオンの一つ一つが、OAuthアプリケーションにWorkspaceデータへの何らかのアクセス権を付与しています——多くの場合Drive、時にはGmail、まれにユーザーに代わって操作する権限まで及びます。数か月、数年が経過するうちに、そのリストは忘れられた連携、試用ツール、放置されたベンダーの寄せ集めへと膨れ上がり、その一つ一つが誰にもレビューされないまま常時アクセスを許可し続けています。

これはシャドーITの最も文字通りの形です：自ら準備したわけではなく、存在すら把握していないかもしれないアクセス権です。リスクのあるOAuth付与は、誰かをフィッシングする必要すらありません——ユーザーはすでに「許可」をクリックしているのです。

注意すべき点は以下の通りです：

• 広範なスコープを持つアプリ（Driveへの完全アクセス、Gmail送信、管理者ディレクトリなど）。
• 利用者が1〜2人しかいないにもかかわらず、広いアクセス権を持つアプリ。
• 未検証の発行元によるアプリ。
• 数か月間誰も使用していないアプリ。

重要なスコープの読み解き方を含め、その仕組みについてはGoogle Workspaceでサードパーティ製OAuthアプリを監査する方法で詳しく解説しています。

管理設定を強化する

IDと共有以外にも、組織全体にわたる一連の設定が、セキュリティ態勢を静かに左右しています。これらは一度設定すると忘れられがちですが、まさにそれゆえに徐々にずれが生じていきます：

• 共有設定： 外部共有ルール、リンク共有のデフォルト設定、ユーザーがファイルをウェブに公開できるかどうか。
• 2段階認証ポリシー： 強制適用とし、登録期限を設け、機密性の高いグループには可能な限り強力な要素のみを許可する。
• セキュリティの低いアプリのアクセスとレガシープロトコル： 無効化する。
• Marketplaceアプリのインストール： 許可リストに登録済み、または管理者承認済みのアプリに制限し、ユーザーが任意のサードパーティにアクセス権を付与できないようにする。
• モバイルデバイス管理： 紛失した端末がデータ侵害につながらないよう、基本的なポリシーを整備する。
• メール認証： ドメインのなりすましを防ぐため、SPF、DKIM、DMARCを設定する。

これらは設定の基準（ベースライン）として扱いましょう。あるべき状態を文書化し、定期的に実態と照合してください——例外が発生し、それが元に戻されないまま放置されることで、設定は自然とずれていくものです。

リスクのある挙動とAIエージェントを監視する

静的な態勢——誰が何にアクセス*できる*か——は、全体像の半分にすぎません。もう半分は、時間の経過とともに現れる挙動です——誰が*実際に*何をしているか、そしてそれが通常と異なるかどうかです。半年間休眠していたサービスアカウントが突如として数百のファイルに触れた場合、個々の権限が技術的に有効であっても、確認する価値があります。

新たに浮上している課題は、人間ではないIDです。AIアシスタント、自動化プラットフォーム、サービスアカウントは、Workspaceデータへの常時アクセス権を持ち、自律的に行動するケースが増えています。これらは従来型のユーザーレビューにはほとんど登場しませんが、機械的な速度でデータを読み取り、移動させ、共有することができます。これらを統制すること——どのエージェントが存在し、何にアクセスでき、何をしているかを把握すること——は、Workspaceセキュリティの中核的な要素になりつつあります。そのアプローチについてはGoogle Workspace内のリスクのあるAIエージェントを検出する方法で解説しています。

定期的なサイクルに組み込む

セキュリティは終了日のあるプロジェクトではなく、維持し続けるべき態勢です。多くのチームにとって実行可能なリズムは以下の通りです：

• 継続的に： 新規の公開リンク、外部共有、OAuth付与をスキャンし、リスクのあるものにアラートを出す。
• 月次で： 管理設定のベースラインと管理者一覧をレビューする。
• 四半期ごとに： 外部共有関係とサードパーティアプリの一覧をレビューし、古くなったものをオフボードする。
• 入社・異動・退職のたびに： アクセス権を速やかに調整する。退職者や役割変更に伴う古いアクセス権は、あらゆる監査で最も頻繁に見つかる問題の一つです。

全体像に責任を持つ立場の方には、Google Workspaceリスク評価のためのCISOガイドが、これを報告可能な繰り返し実施可能な評価として整理する助けとなります。

自動化が役立つ場面

ここまで述べたことは、すべて手動で行うことも可能です。管理者は長年そうしてきました。しかしWorkspaceは規模が大きく、共有は絶えず発生し、注目すべき発見は非常に大きな干し草の山の中の針のようなものです。現実的な失敗の原因は、チームが何を確認すべきか*知らない*ことではありません——手作業では量に追いつけず、レビューが後回しになり、その間に露出が蓄積していくことなのです。

これこそが、継続的かつ自動化された態勢管理が埋める隙間です：誰が、何が、各リソースにアクセスできるかを洗い出し、重要な露出にフラグを立て、なぜそれぞれがリスクとなるのかを平易な言葉で説明し、変更のたびに再チェックすることで、四半期前のスプレッドシートではなく、現在の実態に基づいて作業できるようにします。8200.devはGoogle Workspace向けにまさにこれを実現しています——仕組みやチェック内容について詳しくはこちらをご覧ください。

ベースラインを整備する最適なタイミングは、Workspaceを導入したその日でした。次に最適なタイミングは、今日です。

自組織の露出状況を確認する準備はできていますか？ 無料のセキュリティ監査を開始すると、Google Workspace全体における公開リンク、外部共有、OAuthアプリ、管理設定の不備について、優先順位付けされた全体像を数分で確認できます——読み取り専用で、エージェントの導入も不要です。