「Google Workspaceは便利だから使っているが、セキュリティ設定は導入時のまま」という中小企業は少なくありません。しかし、初期設定のままでは、乗っ取られたアカウントからの情報流出や、共有リンクの設定ミスによる社外流出など、深刻なインシデントにつながるリスクが残ったままになっています。本記事では、Google Workspace管理コンソールで中小企業がまず押さえるべきセキュリティ設定を、チェックリスト形式で解説します。
なぜGoogle Workspaceのセキュリティ設定が重要か
中小企業が狙われる理由
「うちは小さい会社だから狙われない」という思い込みは危険です。攻撃者は大企業よりもセキュリティ投資が手薄な中小企業を踏み台にし、取引先である大企業へ侵入する経路として狙うケースが増えています。Google Workspaceは初期設定のままでも一定の保護機能を備えていますが、2段階認証の未設定や共有ドライブの権限が緩いままでは、フィッシングメール1通、退職者アカウントの消し忘れ1件から情報漏洩に発展します。
設定不備が引き起こす典型的な被害
実際に多いのは、（1）管理者アカウントが乗っ取られ全社のメール・ドライブを閲覧される、（2）ドライブのファイルを「リンクを知っている全員」で共有したまま放置し検索エンジンに露出する、（3）退職者のアカウントが有効なままで元従業員が社内情報にアクセスし続ける、の3パターンです。いずれも管理コンソールの設定を数十分見直すだけで防げるものばかりです。
設定手順（ステップ形式）
Step1：管理者アカウントの保護
まず着手すべきは管理者アカウントです。管理コンソールの「セキュリティ」→「認証」→「2段階認証プロセス」から、管理者権限を持つアカウントについては2段階認証を「今すぐ強制」に設定します。認証方法はSMSよりもフィッシング耐性の高いセキュリティキーやパスキーを優先し、可能な端末には順次切り替えていきます。あわせて特権管理者の付与人数を最小限に絞り、日常業務は権限を限定したカスタム管理者ロールで運用します。万一に備え、緊急用の予備管理者アカウントを1つ用意し、認証情報は責任者のみが厳重に保管します。
Step2：ユーザーのログイン保護
次に全ユーザーへ対象を広げます。「2段階認証プロセス」の適用範囲を全社に拡大し、猶予期間を設けたうえで「指定日以降に強制」を設定します。あわせてセッションの有効期間を見直し、外出先での利用が多い部署では再認証の頻度を上げます。パスワードポリシーでは最低文字数の引き上げと使い回しの禁止を設定し、可能であればパスキーのみでログインできる状態を目指すのが2026年時点での推奨形です。
Step3：Googleドライブの外部共有ポリシー
「アプリ」→「Google Workspace」→「ドライブとドキュメント」→「共有設定」から、組織外との共有可否・共有ドライブ単位の権限・リンク共有の既定値を確認します。特に「リンクを知っている全員が閲覧可」を既定にしていると資料が社外に流出しやすいため、既定は「招待されたユーザーのみ」に変更し、外部共有は都度許可する運用に切り替えます。共有ドライブでは権限を「閲覧者」「コメント可」「編集者」で分け、ダウンロード・印刷・コピーの制限を機密性の高いドライブに適用します。
Step4：Gmailの保護
Gmailは最も攻撃を受けやすい入口です。管理コンソールの「アプリ」→「Gmail」→「なりすまし対策」で、類似ドメインや表示名の詐称を検知する設定を有効にし、外部メールには警告バナーを表示します。加えて、自社ドメインの送信ドメイン認証（SPF・DKIM・DMARC）を設定し、DMARCポリシーを段階的に強化（none→quarantine→reject）することで、なりすましメールの被害と自社ドメインの悪用を防ぎます。
Step5：端末管理と退職時のアカウント処理
モバイル端末管理（MDM）を有効化し、業務端末には画面ロックや紛失時のリモートワイプを適用できる状態にしておきます。最も見落とされがちなのが退職時対応です。退職決定時点で停止手順を定め、最終出社日にアカウントを一時停止・データを後任へ移管できるよう、人事と情シスで退職者チェックリストを共有しておきます。
Step6：サードパーティアプリ・生成AIツールのアクセス制御
「セキュリティ」→「APIの制御」から外部アプリ（OAuthアプリ）のアクセス権限を確認し、業務に不要な高リスクアプリはブロックします。近年注意が必要なのが、従業員が無許可の生成AIツールにドライブの資料をアップロードする「シャドーAI」です。利用してよいAIツールと禁止用途（顧客情報・契約書のアップロード禁止等）を社内ルール化し、アプリのアクセス制御と併せて利用を制限します。
Step7：監査ログとアラートセンターの活用
管理コンソールの「レポート」→「監査と調査」から、ログインの失敗履歴・ファイルの外部共有履歴・管理者操作のログを定期的に確認します。あわせて「アラートセンター」で、不審なログインや大量ダウンロードなどの異常を検知した際に管理者へ自動通知が届くよう設定しておけば、被害が広がる前に気づける体制になります。
プラン別に使える機能
Google Workspaceのプランによって、利用できるセキュリティ機能には差があります。自社の従業員数・扱う情報の機密度に応じて、必要なプランを選ぶことが重要です。
| プラン | 月額目安（税別・年契約/ユーザー） | 主なセキュリティ機能 |
|---|---|---|
| Business Starter | 800円前後 | 2段階認証・基本的なフィッシング/マルウェア対策、ストレージ30GB |
| Business Standard | 1,600円前後 | Starterの機能に加え共有ドライブ、会議の録画、ストレージ2TB |
| Business Plus | 2,500円前後 | Vault（監査・保持）、高度なエンドポイント管理、ストレージ5TB |
| Enterprise Standard/Plus | 要問い合わせ | DLP（情報漏洩対策）、コンテキストアウェアアクセス、S/MIME、セキュリティ調査ツールなど |
従業員数十名規模で機密情報を多く扱う士業・製造業などは、DLPやコンテキストアウェアアクセスが使えるEnterprise帯まで視野に入れる価値がありますが、多くの中小企業ではまずBusiness Standard〜Plusで、本記事のチェックリストを一通り実施することが現実的な出発点になります。
他サービスとの比較
グループウェア選定では、Microsoft 365としばしば比較検討されます。セキュリティ機能・価格・想定ユーザーの違いを整理します。
| 項目 | Google Workspace | Microsoft 365 Business Premium |
|---|---|---|
| 目安価格（税別・年契約/ユーザー） | 800円〜2,500円台 | 3,000円台 |
| 認証・アクセス制御 | 2段階認証・パスキー・コンテキストアウェアアクセス（上位プラン） | 多要素認証・条件付きアクセス（Entra ID） |
| 端末管理 | モバイル端末管理が中心 | Intuneによる本格的なエンドポイント管理 |
| 想定ユーザー | クラウド完結・シンプルな運用を重視する企業 | Windows端末が多く、統合的な端末管理まで求める企業 |
総合的なエンドポイント管理まで含めるとMicrosoft 365に一日の長がありますが、クラウドでシンプルに完結させたい中小企業にはGoogle Workspaceの分かりやすさが向いています。どちらを選んだ場合でも、初期設定のまま放置しないことが最重要である点は変わりません。
活用事例
事例1：士業事務所（従業員10名規模）
顧客の契約書・個人情報を多く扱う士業事務所では、全職員への2段階認証の必須化と、ドライブの外部共有既定値を「招待制」に変更しました。あわせて退職者アカウントの停止手順を明文化し、担当者の記憶頼みだった退職時対応を仕組み化。情報漏洩リスクの説明を顧客にも自信を持って行えるようになりました。
事例2：製造業（従業員30名規模）
取引先とのやり取りが多い製造業では、Gmailのなりすまし対策とSPF/DKIM/DMARCの設定を行ったところ、月に数件あった取引先を装う不審メールの被害報告がほぼなくなりました。あわせてOAuthアプリの権限を棚卸しし、退職者が連携していた不要な外部サービスの接続を解除しています。
事例3：IT・広告関連事業者（従業員15名規模）
生成AIツールの利用が広がっていた事業者では、従業員が個人契約の無料AIツールに顧客資料をアップロードしていた実態が判明しました。利用してよいAIツールと禁止事項をルール化しOAuthアプリの制御と併用した結果、活用の利便性を保ちながら情報流出リスクを大きく下げられました。
デメリット・注意点
利便性とのトレードオフ
2段階認証やセッションの短縮は、ログインの手間が増えるため、従業員から不満が出やすい設定です。特に外出先での業務が多い営業職などは、認証アプリの導入に慣れるまで一定の負担が発生します。
設定変更の周知不足によるトラブル
共有ドライブの既定値を厳格化すると、これまで共有できていた社外パートナーが突然アクセスできなくなるといった混乱が起きがちです。設定変更前には対象者への事前周知と移行期間の設定が欠かせません。
プランによる機能制約
DLPやコンテキストアウェアアクセスなどの高度な機能はEnterprise帯でのみ提供されており、Business帯のプランでは実現できない対策があります。必要な機能とコストのバランスを見極める必要があります。
管理者の運用負荷増加
監査ログの定期確認やアラート対応、OAuthアプリの棚卸しなど、設定を強化するほど管理者側の運用負荷は増えます。専任の情シス担当者がいない中小企業では、外部の支援を受けながら運用体制を整えることも検討に値します。
よくある失敗パターンと対策
最も多い失敗は「一度設定して終わりにしてしまう」ことです。端末登録漏れ、退職者アカウントの停止漏れ、新しい共有ドライブの権限設定漏れなど、組織の変化に設定が追いついていないケースが大半です。対策として、入社・異動・退職時に確認するチェックリストを人事フローに組み込み、四半期に一度は監査ログとアラートセンターを見直す定例を設けることが有効です。また管理者が1名の体制では、担当者不在時に設定がブラックボックス化するため、手順を必ずドキュメント化し複数名で把握しておくことも重要です。当協会がDX支援の現場でお伺いする中小企業の多くも「設定はしたが更新されていない」状態に陥っており、定期点検までを含めた運用設計が欠かせないと実感しています。
まとめ
Google Workspaceのセキュリティ設定は、一度きちんと整えれば終わりではなく、組織の変化に合わせて継続的に見直すべき運用です。まずは管理者アカウントの保護と全社への2段階認証の適用、ドライブの外部共有既定値の見直し、退職時のアカウント停止フローの整備という、影響の大きい設定から着手することをおすすめします。自社だけでの点検に不安がある場合は、専門家によるチェックを受けることも有効な選択肢です。
当協会では、中小企業のGoogle Workspace活用・セキュリティ設定の見直しをご支援しています。詳しくはdx-ai.seed.or.jpの他の記事もあわせてご覧ください。
