第82回

Google Chromeのセキュリティ対策｜担当者が見直すべき設定とは

「Google Chromeは会社支給のパソコンに最初から入っているブラウザだから、特に設定を見直したことがない」というセキュリティ担当者の方は少なくありません。

しかし、ブラウザは社員が業務時間の大半を過ごすソフトウェアであり、フィッシング詐欺やマルウェアの多くはこの画面を入り口にして社内へ侵入してきます。

実際、IPA「情報セキュリティ10大脅威 2026」では、ランサム攻撃やサプライチェーン攻撃と並び、生成AIの利用をめぐるサイバーリスクが組織向けの脅威として初めて上位に選出されました。ブラウザはこうした脅威の多くが最初に接触する場所でもあります。

この状況は、社員一人ひとりの心がけだけで対処しきれる規模ではなく、組織としてどこまで統制するかという視点が欠かせません。

本記事では、Google Chromeに標準搭載されているセキュリティ機能の仕組みから、今すぐ確認できる設定、そして個人の設定だけでは防ぎきれない組織のリスクまで、企業のIT担当者向けに整理してご紹介します。

Google Chromeセキュリティの仕組み

自動更新が支える基盤

Google Chromeはおよそ数週間おきに更新版がリリースされ、そのたびに新しく発見された脆弱性が修正されています。

更新を後回しにするということは、すでに世の中に知られてしまった弱点を抱えたまま、インターネットに接続し続けることを意味します。

個人のパソコンであれば自動的に適用されますが、企業で配布している端末では更新ポリシーによって適用のタイミングが制御されているケースもあるため、まずは自社の運用ルールを確認しておくと安心です。

セーフブラウジングの役割

セーフブラウジングは、フィッシングサイトやマルウェア配布サイト、悪意のある拡張機能などをあらかじめ検知し、アクセスする前に警告を表示する機能です。Google Chrome ヘルプ「セーフ ブラウジングの保護レベルを選択する」でも詳しく説明されています。

Google Chromeは危険性が確認されたサイトやファイルのリストを定期的に端末へダウンロードして保持しており、アクセスのたびにこのリストと照合することで、通信のたびにサーバーへ問い合わせる方式よりも軽快に動作する仕組みになっています。

サンドボックスとパスワード保護

Google Chromeでは、開いているタブやプラグインをそれぞれ独立した領域（サンドボックス）で動かしており、あるタブで問題が起きても、その影響が他のタブやOS本体にまで及びにくい構造になっています。

加えて、Google Chromeには保存済みパスワードの漏洩状況を確認できるパスワードマネージャーや、サイトごとにカメラやマイクへのアクセス権限を個別に管理できる機能も組み込まれており、これらが層になって利用者を守っています。

Google Chrome安全チェックの使い方

安全チェックの実行手順

画面右上の縦三点リーダーから「設定」を開き、「プライバシーとセキュリティ」の中にある「安全チェックに移動」をクリックするだけで、数十秒ほどで診断が完了します。

個人のパソコンだけでなく、貸与している端末で同じ手順を一通り実施してみると、部署ごとの状態を横並びで比較する材料にもなります。ヒアリングよりも、実際の画面を見てもらいながら一緒に操作するほうが、社員側の納得感も得やすいものです。

結果に表示される4項目

診断結果には、Google Chromeのバージョンが最新かどうか、保存済みパスワードに漏洩の疑いがないか、セーフブラウジングがどのレベルで動いているか、インストール済みの拡張機能に危険なものが含まれていないか、という4つの項目が表示されます。

なかでも注意したいのは「不正使用されたパスワード」の件数です。この表示がある場合、該当のパスワードはすでに外部に流出しているとみなし、速やかな変更が必要になります。

拡張機能の項目で警告が出た場合は、その拡張機能がChromeウェブストアから既に削除されている、あるいは開発者が変更されて挙動が変わった可能性があるため、内容を確認した上で削除するかどうかを判断しましょう。

Google Chromeのセーフブラウジング

標準保護機能と保護強化機能の違い

標準保護機能は、Googleが過去に危険と判定した既知のサイトやファイルのリストと照合する仕組みで、Google Chromeでは既定でオンになっています。

一方の保護強化機能は、アクセスするたびにURLをリアルタイムでGoogleに照合し、まだ誰にも知られていない新しいフィッシングサイトについても機械学習を用いて警告できる点が異なります。Google Chrome ヘルプ「セーフ ブラウジングで閲覧データのプライバシーを保護する仕組み」にも、この2つのレベルで扱う情報量の違いが説明されています。

不審なファイルを追加でスキャンにかけたり、Chromeウェブストアで信頼性の低い拡張機能をインストールしようとした際に警告を出したりする機能も、保護強化機能をオンにした場合にのみ働きます。

設定の切り替え自体は、「設定」から「プライバシーとセキュリティ」内の「セキュリティ」を開き、「セーフ ブラウジング」の項目でレベルを選ぶだけで完了します。安全チェックの結果画面からも同じ設定画面へ直接移動できます。

組織としてより高いセキュリティを求めるのであれば、保護強化機能を既定の設定にしておくことが有効です。

保護強化機能の全社展開

保護強化機能は本来ブラウザ単位の設定ですが、Googleアカウントに紐づけて有効化すると、ログイン中のGmailなど他のGoogleサービスでも同様の保護が連動して働くようになります。

端末を1台ずつ回って設定を確認するのが難しい場合は、Google Workspaceの管理コンソールからポリシーとして一括で配布する方法もあわせて検討する価値があります。個々の社員の判断に委ねるより、組織としての最低ラインを先に決めてしまうほうが、結果的に運用の手間は少なくなります。

Google Chromeの高度設定6選

いずれも設定自体は数クリックで完了しますが、社員それぞれの判断に任せると適用状況にばらつきが出やすいため、情シス側で定期的に確認する運用をおすすめします。

特に「高度な保護機能プログラム」は、フィッシングに強い物理セキュリティキーの登録が前提となるなど他の設定より導入のハードルが高めですが、狙われやすい立場にある方には検討の価値があります。

拡張機能とセキュリティ対策

拡張機能が持つリスク

拡張機能は、インストール時に許可した範囲であれば、閲覧中のページの内容やCookieを読み取れる強い権限を持つことがあります。

便利なツールに見せかけて、実際には閲覧履歴や入力情報を外部へ送信する拡張機能がChromeウェブストアに紛れ込んだ事例も過去に報告されており、開発者が変わったタイミングで挙動が変化するケースも見受けられます。

拡張機能の組織的な管理

個人利用であれば「便利そうだから入れてみる」で済む話でも、業務端末では話が変わります。まずは自社で許可する拡張機能の範囲をルール化し、それ以外はインストールできないようにする、という発想への転換が有効です。

Chromeウェブストアで信頼されていない拡張機能をインストールしようとした際に警告を表示する機能は、前述の保護強化機能をオンにすることでも一定程度カバーできますが、より厳密に統制したい場合は組織単位でのポリシー管理が必要になります。

Google Chromeの脆弱性対応

WebMLの重大な脆弱性

2026年3月、GoogleはChrome 146において、AI処理コンポーネント「WebML」に存在するヒープバッファオーバーフローの脆弱性（CVE-2026-3913）を修正しました。Forbes JAPANでも、この脆弱性が最も深刻な「Critical」評価を受けたことが報じられています。

この種の脆弱性は、悪意のあるWebページを開いただけで、攻撃者がユーザー権限で任意のコードを実行できてしまう可能性がある点で危険度が高いとされています。Googleはこの脆弱性を発見した研究者に報奨金を支払っており、外部のセキュリティ研究者による発見と修正のサイクルが日常的に回っていることがうかがえます。

このような重大な脆弱性は決して珍しいものではありません。同年5月のアップデートでも79件の脆弱性がまとめて修正されており、うち14件が最も深刻な「クリティカル」評価を受けています。1回のアップデートで多数の修正が入ることは、それだけ日常的に多くの目で検証が行われている証でもあります。

自動更新を止める代償

Google Chromeは世界のデスクトップブラウザの中でおよそ76％のシェアを占めており（2026年1月時点、StatCounter Global Stats調べ）、攻撃者にとって最も多くの標的を狙える対象になっています。

社内ポリシーで自動更新を制限しているケースも見かけますが、その分だけ、すでに世の中に知られている脆弱性を抱えたまま業務を続けるリスクを負うことになります。検証環境での確認期間を設けるとしても、最小限にとどめるのが賢明です。

組織に残る5つのセキュリティ盲点

• ・拡張機能が野放しになっており、誰がどの拡張機能をインストールしているか情シス側で把握できていない
• ・退職者や異動者のGoogleアカウントに保存されたパスワードやログイン履歴がそのまま残っている
• ・私物端末（BYOD）からの業務アクセスに、会社支給端末と同じセキュリティポリシーが及んでいない
• ・Google Chromeに組み込まれた生成AI機能に、社員が機密情報をそのまま入力してしまうリスクへの対策が整っていない
• ・保護強化機能の適用が社員個人の判断に委ねられており、部署によって設定状況がばらばらになっている

実際、IPA「情報セキュリティ10大脅威 2026」では、AIの利用をめぐるサイバーリスクが初めて選出されながら組織向けの3位にランクインしています。生成AI機能が組み込まれたブラウザをどう統制するかは、多くの企業にとって新しい課題になりつつあります。

セキュリティ設定の一括配布

管理コンソールの活用

Google Workspaceを利用している場合、管理コンソールからセーフブラウジングの保護レベルや拡張機能のインストール許可範囲といった項目を、組織単位・部署単位でまとめて配布できます。

社員一人ひとりに「保護強化機能をオンにしてください」と依頼して回るよりも、最初からその状態で端末を配布してしまうほうが、抜け漏れのない統制につながります。

Chrome Enterprise Premiumの活用

より高度な統制を求める場合には、Google Chromeブラウザを土台にしたゼロトラストセキュリティ製品「Chrome Enterprise Premium」という選択肢もあります。生成AIへの機密情報の入力をリアルタイムで検知してブロックするデータ損失防止（DLP）機能や、私物端末からのアクセスを含めた詳細なデバイス検証など、Google Chromeの標準機能だけではカバーしきれない領域を補うことができます。

Google Workspaceによるアカウント管理と、Chrome Enterprise Premiumによるデバイス管理を組み合わせることで、「誰が」だけでなく「どの端末で、どのような状態で」アクセスしているかまで踏まえた、実効性のあるゼロトラスト環境に近づけます。

関連記事：Chrome Enterprise Premiumで高度なセキュリティを実現｜機能・価格

セキュリティ設定Q&A

セーフブラウジングの要否

セーフブラウジングは既定でオンになっているため、多くの場合は特別な操作をしなくても標準保護機能が働いています。ただし、意図的にオフにしている端末がないかどうかは、安全チェックで定期的に確認しておくと安心です。

ウイルス対策ソフトの要否

Google Chromeのセーフブラウジングや安全チェックは、あくまでブラウザを経由した脅威に対する防御です。端末全体を守るウイルス対策ソフトの役割とは重なる部分もありますが、完全に代替するものではないため、両方を組み合わせて運用している企業が一般的です。

保護強化機能の速度影響

保護強化機能は閲覧のたびにURLの照合をリアルタイムで行いますが、ブラウジングの利便性を大きく損なうものではないとされています。実際の体感速度は端末やネットワーク環境によって差があるため、まずは情シス部門の端末から試してみるのも一つの方法です。

スマホ版Google Chromeの対策

安全チェックやセーフブラウジングの保護レベル選択は、Android版・iOS版のGoogle Chromeでも同様に利用できます。私物スマートフォンで会社のメールを確認する社員がいる場合は、パソコンだけでなくスマートフォン側の設定もあわせて案内しておきたいところです。

拡張機能の一括管理

Google Workspaceの管理コンソールを利用すれば、インストールを許可する拡張機能をあらかじめリスト化し、それ以外は個々の社員がインストールできないようにする、といった統制が可能です。社員数が多い企業ほど、個別対応よりもこうした一括管理の恩恵は大きくなります。

Google Chromeのセキュリティ設定を見直して組織を守ろう

サテライトオフィスは、Google Cloud プレミアパートナーとして、Google Workspaceのライセンス販売から導入、運用サポートまでをワンストップで提供しています。

加えて、Google Chromeの標準機能だけではカバーしきれないデバイス管理やデータ損失防止（DLP）を実現する「Chrome Enterprise Premium」の導入支援も行っており、Google Workspaceによるアカウント管理と組み合わせた、いわば真のゼロトラスト環境の構築をご提案しています。

シングルサインオンによるアクセス制御や、ワークフローによる申請・承認の仕組みづくりなど、Google Chromeのセキュリティ強化を入り口にGoogle Workspace全体の活用を見直したいという企業さまも、まずはお気軽にご相談ください。

※プライバシーポリシはこちら