コラム

第225回

Googleアカウントのセキュリティ設定を見直す視点｜確認と運用のコツ

Google Workspaceを利用する企業の情報システム担当者は、Googleアカウントのセキュリティ設定をどこまで細かく管理すればよいか、判断に迷う場面があります。個人向けの設定画面がそのまま自社にも当てはまると考えられがちですが、複数の従業員アカウントを抱える組織では、個人の操作だけでは対応しきれない場面が出てきます。

本記事では、Googleアカウントのセキュリティ設定の基本的な考え方から、組織で運用する際に検討したい視点まで、導入支援の立場で順を追って説明します。

Googleアカウントのセキュリティ設定における基本の考え方

Googleアカウントのセキュリティ設定は、ログイン方法や接続済みのデバイス、外部アプリとの連携状況などを一括で確認できる管理画面です。

myaccount.google.comのセキュリティページからアクセスでき、個人でもすぐに内容を確認できます。設定画面は大きく4つの領域で構成されています。

項目	内容
セキュリティ診断	アカウント全体の設定状況を自動で点検する機能
ログインとセキュリティ	パスワードや2段階認証、再設定用の情報を管理する項目
つながっているデバイス	現在ログイン中の端末を一覧で確認する項目
データとプライバシー	Googleサービスの利用履歴やアプリ連携を管理する項目

個人アカウントとして見れば操作はシンプルですが、組織で複数のアカウントを運用する場合は、どの項目を誰の判断で設定するかをあらかじめ決めておく必要があります。Google Workspaceを契約している組織では、これらの一部が管理者側のポリシーとも連動します。

セキュリティ診断で確認する4つの項目

Googleが提供するセキュリティ診断を実行すると、アカウントの状態を4つの観点から自動で点検できます。上から順に確認すれば、抜け漏れなく点検を終えられます。

お使いのデバイスの確認

現在ログインしている端末の一覧が表示されます。見覚えのない端末が含まれている場合は、その場でログアウトの操作ができます。

ログインとパスワード再設定情報の確認

パスワードの強度や、アカウント復旧に使う電話番号とメールアドレスが最新かどうかを確認します。再設定用の情報が古いままだと、緊急時の本人確認が難航します。

最近のセキュリティイベントの確認

パスワードの変更や新しい端末からのログインなど、直近のイベント履歴が表示されます。心当たりのないイベントがあれば、なりすましの初期兆候として扱います。

サードパーティのアクセス権限の確認

Googleアカウントと連携している外部アプリやサービスの一覧です。使っていないアプリのアクセス権限は、この画面から個別に取り消せます。

4項目のうち1つでも見覚えのない内容があれば、その場でパスワードを変更します。あわせて2段階認証の設定も見直しましょう。

セキュリティ設定を見直すメリットと個人管理の限界

Googleアカウントのセキュリティ設定を定期的に見直すと、不正ログインの兆候を早期に見つけやすくなります。一方で、従業員数が増えるほど、個人の判断だけに委ねる運用には限界が出てきます。

見直しによる効果は主に3つあります。とりわけ見落とされがちなのが、退職者アカウントの放置が業務システムへの不正アクセス経路として残ってしまうことです。

・不審なログインを早期に発見できる
・パスワードの使い回しによる漏えいを防げる
・退職者アカウントの放置を防げる

ただし、これらの確認を従業員一人ひとりの判断に任せると、実施の有無にばらつきが生まれます。忙しい部署ほど後回しにされやすく、結果として組織全体の水準は担当者の意識差に左右されます。

個人の設定確認だけに頼る運用は、担当者ごとの意識差によって抜け漏れが生じやすい点に注意します。

2段階認証とパスワード管理を設定する際の手順

2段階認証とパスワードの見直しは、Googleアカウントのセキュリティ設定の中でも優先度の高い項目です。

次の3つの手順で進めます。

①認証方法を選ぶ（認証アプリ、電話番号によるSMS、パスキーのいずれか）
②現在のパスワードを見直す（使い回しを避け、十分な長さにする）
③パスワードチェックアップを実行し、漏えいの有無を確認する

2段階認証は、認証アプリやパスキーを使う方法が優先されます。SMSによる認証は手軽ですが、電話番号の乗っ取りなど別のリスクも指摘されているため、可能であれば認証アプリかパスキーを選びます。パスワードは、既存の業務システムで使っているものと重複させないことが基本です。

加えて、Googleが提供するパスワードチェックアップを実行すると、外部サービスの漏えい情報と照合し、危険な状態のパスワードを一覧で確認できます。定期的に実行する運用を決めておくと、見直しが一度きりで終わりません。

複数アカウントを組織で管理する際に検討したいシングルサインオンの視点

ここまでの内容は、個人がアカウントごとに確認する前提の設定です。従業員数が一定を超える組織では、別の視点も選択肢に入ります。

導入支援の現場でよく見られるのは、個人単位の2段階認証だけでは、組織全体のログイン条件を統一しきれないという状況です。そこで検討したいのが、シングルサインオンによるアクセス制御です。IPアドレスや端末単位でログインを許可または制限するポリシーを組織側で設定すれば、従業員ごとの設定差に依存せずに一定の水準を保てます。

観点	個人での対応	組織のシングルサインオンでの対応
確認の単位	アカウントごと	組織全体で一括
ログイン制御	本人の操作に依存する	IPアドレスや端末で制御する
運用の負荷	従業員数に比例して増える	管理者が一元管理する