Google Workspaceのセキュリティは、ドライブの共有、2段階認証、管理画面での確認の3つに絞って見直すと進めやすくなります。どれも新しい製品を買う前に、管理コンソールで確かめられます。
今日やることは、特権管理者のアカウントを数えることです。管理者のパスワードと確認コードを複数の人で使い回していないか、2段階認証を設定しているか、担当者が不在のときに代わりの人が入れるかを確かめてください。
最初に管理者アカウントを確かめる理由は？
Googleの説明では、特権管理者は組織の幅広いデータと設定を扱えるアカウントです。ドライブの設定を直す前に、設定を変える権限そのものを守ります。
同じページと小規模ビジネス向けのチェックリストから、見る点は次の4つに絞れます。
- 管理者ごとに個別のアカウントがあるか：同じアカウントを共用すると、誰の操作か監査で分からなくなります
- 特権管理者が複数いて、それぞれ別の人が管理しているか
- 再設定用の連絡先とバックアップコードを用意しているか
- 特権管理者のアカウントを日常の仕事に使っていないか
小規模ビジネス向けのチェックリストは、1〜20人と21〜100人の会社を想定して短くまとめられています。IT管理者を置いていない会社は、100人を超える会社向けの長いチェックリストより、こちらから読むと実行しやすくなります。
2段階認証は、どう全員に広げる？
2段階認証を全員に適用する順番は、「有効にする」「登録してもらう」「登録状況を見る」「適用する」です。Googleの手順に沿って進めます。
- 管理コンソールの［セキュリティ］→［認証］→［2段階認証プロセス］で、ユーザーが有効にできるようにする
- 社員に登録の手順を案内する
- ［レポート］→［ユーザーレポート］→［セキュリティ］で登録状況を確かめる
- 組織部門ごとに適用を始める
小規模ビジネス向けのチェックリストは、業務に関わる全員への適用を勧めています。管理者については、Googleが2段階認証を適用しています。
適用の前に決めておくこと
適用した後に確認手段を失うと、その人はログインできなくなります。スマートフォンの紛失や機種変更のときに誰へ連絡するか、バックアップコードを誰がどう扱うかを先に決めてください。
現場で共用しているアカウントが残っている場合も、適用の前に見直します。1台のスマートフォンを前提にした運用は、担当の交代や休みのときに止まりやすくなるからです。
確認の方法も選べます。Googleは、すべての組織部門でセキュリティキーを適用する形を勧めています。状況のページの説明のとおり、［セキュリティキーのみ］を選ぶと方法を強く限定できます。ただ、全社で一度に切り替えるのが難しければ、管理者や財務の担当者のような重要なアカウントから始めるのが現実的です。
SMSや音声通話のコードを外す選択肢もあります。この場合、スマートフォンでコードを受け取っている人は別の方法への切り替えが要るので、適用の前に案内します。
ドライブの共有は、どこを見直す？
共有の設定は、管理コンソールの［アプリ］→［Google Workspace］→［ドライブとドキュメント］→［共有設定］→［共有オプション］にあります。Googleの説明は、すべてのエディションを対象にしています。
見直す項目は、100人を超える会社向けのチェックリストから、中小企業でも効果を確かめやすいものに絞ると、次の表のとおりです。
| 項目 |
Googleの推奨 |
確かめること |
| 既定のアクセス |
［制限付き］にする |
新しいファイルをオーナーだけが開ける状態か |
| 社外共有の相手 |
社外共有を止めるか、許可したドメインに絞る |
取引先のドメインを出せるか |
| ウェブへの公開 |
無効にする |
公開が要る資料が残っていないか |
| 社外への警告 |
社外に共有するときに警告を出す |
社員が誤りに気づける状態か |
| 社外の相手のログイン |
Googleアカウントでのログインを求める |
取引先が対応できるか |
外部共有を切る前に
Googleの説明では、外部共有をオフにすると、社外の相手はそれまで共有されていたアイテムにもアクセスできなくなります。進行中の取引や図面の受け渡しに影響するので、先に対象の部署へ確かめてから切り替えてください。
全社で切らず、部署で分ける
全社一律にしなくても構いません。Googleの説明にある形なら、最上位の組織部門で外部共有をオフにし、社外とやり取りする部署やグループだけをオンにできます。
許可リストを使う場合に知っておきたい制限もあります。許可リストに載せたドメインは、そのリスト全体が共有先の対象になります。リストの中の特定のドメインだけと共有する、という分け方はこの機能ではできません。
相手を細かく分けたいなら、信頼ルールが選択肢になります。ただし管理の手間が増えるので、最初は部署単位の設定で足りるかを確かめます。
製造業なら、図面の共有をどう分ける？
たとえば、設計部が協力工場と図面を共有している場合です。担当者ごとのマイドライブから共有していると、退職や異動のときに誰が何を出しているか追えなくなります。
Googleの説明にある形を使うと、次のように分けられます。
- 全社の外部共有をオフにする
- 社外と共有してよい人だけの組織部門かグループを作り、外部共有をオンにする
- 取引ごとに共有ドライブを作り、そこに社外と共有するファイルだけを置く
- 社内の相手と社外の相手のアクセスレベルを、必要な範囲に分ける
共有ドライブなら、外部とやり取りするファイルを1か所に寄せられます。社外の相手がGoogleアカウントを持っていない場合は、ビジターとの共有をオンにするかどうかを別に判断します。
取引先から預かった図面なら、そもそもクラウドに置いてよいかが契約で決まっていることもあります。設定の前に、秘密保持の取り決めを確かめてください。
設定の結果は、管理画面のどこで確かめる？
設定を変えたら、次の3つで結果を確かめます。
- セキュリティアドバイザー：［セキュリティ］→［セキュリティアドバイザー］で推奨設定を確認する。Business StarterからEnterprise Plusまでのエディションが対象
- 監査と調査：［レポート］→［監査と調査］で、ユーザーと管理者の操作を確かめる
- アプリのアクセス制御：Googleのデータにアクセスする外部のアプリを確かめる
アドバイザーの推奨には、エディションのアップグレードが要るものがあります。セキュリティ調査ツールのように、対応するエディションが限られる機能もあります。契約中のエディションで何ができるかを先に確かめ、足りないときに初めて上位の契約や他の製品を考えます。
点検は、担当が変わっても続けられる形にします。たとえば月に1回、管理者の一覧、2段階認証の登録状況、社外共有の設定を見て、変更があれば記録します。
Google以外のSaaSも増えてきて、手作業で追いきれなくなったら、設定をまとめて点検する製品も比べる対象になります。SSPM（SaaSの設定管理）の製品比較で、対象のサービスと機能を確かめられます。
2段階認証の方式を見直すなら、多要素認証の製品比較も参考になります。機密ファイルの持ち出しを内容で見張りたい場合は、DLPの製品比較が近い範囲です。
Microsoft 365も併用しているなら、Microsoft 365で先に直す5項目も確かめてください。社員が使っているクラウドの全体を把握したいときは、CASB製品の比較の見方が次の段階です。クラウド全般の考え方はクラウドセキュリティの記事一覧にまとめています。
