中小企業のGoogle Workspaceセキュリティ設定｜情シス1人でもできるMFA・管理コンソール・監査ログの実践ガイド

「Google Workspaceを使っているけど、セキュリティ設定はほぼデフォルトのまま……」
情シス担当者から、こんな声を聞くことが少なくありません。グループウェアを導入して業務効率が上がった一方で、セキュリティの後回しが続いている中小企業は多いのが実情です。

Google Workspaceはクラウドサービスである以上、インターネット上に管理画面が公開されています。設定を誤れば、アカウント乗っ取りや機密ファイルの外部漏洩が起きても不思議ではありません。それでいて、管理コンソールに用意されているセキュリティ機能の多くは、無料で使えるものがほとんどです。

この記事では、Google Workspaceの管理者が最初に確認すべきセキュリティ設定を、情シス1人体制でも実践できる手順で解説します。MFAの強制から外部共有の制限、監査ログの活用まで、一通りカバーします。

Google Workspaceを狙う攻撃者の視点

Google Workspaceは中小企業にとって便利なクラウド基盤ですが、攻撃者から見ると「メール・ファイル・カレンダー・ビデオ会議がひとつのアカウントに集まっている」という非常に魅力的なターゲットです。

攻撃者がGoogleアカウントを狙う主な手口は次の通りです。

・フィッシング: Googleログイン画面を偽装したページに誘導し、IDとパスワードを盗む
・パスワードリスト攻撃: 他サービスから漏洩した認証情報を流用してログインを試みる
・外部アプリ経由の権限奪取: 信頼できるように見せかけたOAuthアプリにDriveへのアクセス権を付与させる
・内部からの情報持ち出し: 外部共有の設定ミスを突いて、機密ファイルを誰でもアクセス可能な状態にする

特に怖いのは、Gmailのアカウントが乗っ取られると、そこに届くワンタイムパスワードも攻撃者に読まれるため、他のサービスへの連鎖侵害につながる点です。

管理コンソールで最初に確認すべき5つの設定

1. 多要素認証（MFA）を全ユーザーに強制する

最優先で設定すべきなのがMFA（多要素認証）の強制です。パスワードが漏洩しても、MFAがあれば攻撃者は第二認証を突破できません。

設定場所は「管理コンソール → セキュリティ → ログインに対する2段階認証プロセスの設定」です。

# 設定手順（管理コンソール操作）
# 1. admin.google.com にアクセス
# 2. セキュリティ → 2段階認証プロセス
# 3. 「ユーザーが2段階認証プロセスを有効にできるようにする」をON
# 4. 「2段階認証プロセスを適用する（強制）」で適用対象を組織全体に設定
# 5. 猶予期間（1週間程度）を設けて周知してから適用

Googleが推奨するMFA方式は「Googleプロンプト」（スマホへのプッシュ通知）より「Googleの2段階認証（物理セキュリティキー）」です。ただし、中小企業では物理キーの調達コストがネックになるため、まずはGoogleアプリのプロンプトかTOTPアプリ（Google Authenticator等）での設定を推奨します。

MFA疲労攻撃（プッシュ通知の承認を繰り返し送りつける手口）については、MFA疲労攻撃の仕組みと対策で詳しく解説しています。

2. パスワードポリシーを設定する

「管理コンソール → セキュリティ → パスワード管理」で次の設定を確認します。

・最小文字数: 12文字以上を推奨
・パスワードの強度と長さ: 強度の適用をON
・再利用の禁止: 過去24回以内のパスワードへの変更を禁止
・次回ログイン時にパスワード変更を強制: 漏洩が疑われるアカウントに対して活用

なお、「定期的なパスワード変更を強制する」設定は、NIST SP 800-63Bの推奨から現在は外れています。頻繁な変更強制は「Password1!」→「Password2!」のような予測しやすいパターンを生みやすいため、変更強制よりもMFAの徹底を優先するのが現在のベストプラクティスです。

3. OAuth連携アプリのアクセス権を制限する

「このGoogleアカウントでログイン」でサービスを利用すると、そのアプリに対してGmailやDriveへのアクセス権を付与することになります。

攻撃者はOAuthの仕組みを悪用し、信頼できるように見せかけたアプリ経由でファイルを盗み出す「OAuthフィッシング」を使います。

設定場所は「管理コンソール → セキュリティ → APIの制御 → Google Workspace Marketplace SDK」です。

・ホワイトリスト方式（推奨）: 「管理者が承認したアプリのみ」に制限し、業務で必要なアプリだけを登録する
・既存の接続済みアプリの棚卸し: 「管理コンソール → セキュリティ → APIの制御 → アプリへのアクセス」で現在接続しているサードパーティアプリを確認する

長期間使用していないアプリや、見覚えのないアプリはアクセス権を取り消します。

4. Google Driveの外部共有設定を見直す

「管理コンソール → アプリ → Google Workspace → ドライブとドキュメント → 共有設定」で次の点を確認します。

・外部との共有: 組織外ユーザーへの共有を「許可しない」もしくは「許可するが警告を表示」に設定する
・リンクを知っている全員が閲覧可能（Anyone with the link）: この設定が使われていないか、定期的に棚卸しする
・共有ドライブの外部アクセス: 共有ドライブごとに外部メンバーの追加可否を制限する

想定例（架空）: 「リンクを知っている全員」で共有した見積書のURLがメールに記載され、社外にメール誤送信した場合、受信者以外の誰もがそのURLからファイルを閲覧できる状態になります。

Gmailでのメール誤送信対策については、中小企業のメール誤送信対策もあわせて参照してください。

5. 管理者アカウントの権限を最小化する

「管理コンソール → 管理者ロール」で、管理者権限を持つアカウントを確認します。

・スーパー管理者は最小人数に絞る: 一般的には1～2名が目安
・スーパー管理者アカウントを日常業務に使わない: 専用の管理者アカウントを別途用意し、通常業務には一般ユーザーアカウントを使う
・管理者アカウントはMFAを必須に: スーパー管理者は特に厳しく設定する

管理者アカウントが乗っ取られると、組織全体のアカウント・データに対して攻撃者が操作できてしまいます。IAM（アイデンティティ・アクセス管理）の観点から、最小権限の原則を徹底することが重要です。

監査ログで不審なアクセスを早期発見する

Google Workspaceには充実した監査ログ機能が備わっています。「管理コンソール → レポート → 監査」から主に次のログを確認できます。

・ログインの監査: 成功・失敗のログイン、使用されたデバイス、IPアドレス
・ドライブの監査: ファイルの共有・削除・ダウンロード・閲覧
・管理コンソールの監査: 管理者が行った設定変更
・グループの監査: グループメンバーの変更

不審なアクセスを見つけるポイントは次の通りです。

・海外IPからのログイン: 業務外の国からのアクセスは要注意
・短時間に大量のファイルダウンロード: 退職間際の従業員によるデータ持ち出しのサインになることがある
・深夜・休日の管理者ログイン: 正規の管理者以外がログインしている可能性

また、「管理コンソール → セキュリティ → アラートセンター」では、怪しいログインやマルウェアの添付ファイルが検知された際にメール通知を受け取れます。まだ設定していない場合は、アラートを管理者メールアドレスに届くよう設定しておきましょう。

中小企業でも今日からできること

「今すぐ1つだけやる」としたら、MFAの強制が圧倒的な優先度です。パスワードが漏洩しても第二認証があれば多くの乗っ取りを防ぐことができます。

また、パスワードレス認証への移行を検討している場合は、中小企業のパスワードレス認証導入ガイドで、Google WorkspaceにおけるFIDO2・パスキーの実装手順を解説しています。

よくある誤解と注意点

・「Googleが守ってくれるから大丈夫」: Googleはインフラを守りますが、アカウントの設定ミスや従業員の操作に起因する情報漏洩は、責任共有モデルの観点で利用者側の責任です。
・「中小企業は狙われない」: 実際は踏み台として中小企業を狙い、大手取引先へのサプライチェーン攻撃につなげるケースが増えています。規模の小ささは無関係です。
・「MFAを設定したら100%安全」: MFAはAiTMフィッシング（中間者型プロキシ攻撃）で突破されるケースがあります。MFAに加えて、アクセス元デバイスや場所を検証する「コンテキストアウェアアクセス」（Google Workspaceの機能）の活用も検討してください。
・「退職者のアカウントはすぐ消さなくていい」: 退職後もアカウントが残っていると、そのアカウントを経路にした攻撃や情報持ち出しのリスクが続きます。退職日の翌営業日中に停止・削除する手順をルール化しましょう。

本記事のまとめ

Google Workspaceのセキュリティ設定は、専門的な知識がなくても管理コンソールの操作だけで大部分を対処できます。まずMFAの強制から着手し、1つひとつ設定を積み上げていきましょう。

姉妹サイトCloudMasters.TOKYOでは、クラウドサービスの権限設計やセキュリティ設定についてさらに詳しく解説しています。あわせて参考にしてください。