Googleドライブって結局どこまで安全？オンプレ企業が知るべき"3つの守り"

「社内の機密書類をGoogleドライブに置いていいのか」と不安に感じることがあるでしょう。 **オンプレミス**（社内サーバー）で抱え込んでいたデータをクラウドに移すとき、誰もが一度は立ち止まります。 Googleのサーバーが破られて、外部から中身を抜かれるのではないか、と。 しかし、記録を見ると、そうではありませんでした。 危ないのはシステムではなく、使い方です。

Googleドライブは安全か

Googleドライブの土台は極めて堅牢です。 データは保管中も通信中も暗号化され、データセンターは世界最高水準の防御が敷かれています。 中小企業が自前で建てたサーバーが破られる確率より、はるかに低いです。

では、なぜ事故が起きるのでしょうか。 金庫そのものは頑丈でも、鍵を開けっ放しにしたら意味がありません。 Googleドライブで事故が起きるときは、ほぼ100%が「共有の設定ミス」です。 外部から中身を抜かれるのではなく、内部から意図せず見えるようにしてしまうのです。

問うべきは「安全か」ではなく、「安全に使えているか」です。

素の状態に潜む三大リスク

現場で最も多い落とし穴は、**「リンクを知っている全員」共有**です。 ファイルを共有する際、この設定を選ぶと、URLさえ知っていれば誰でも中身が見られる状態になります。 良かれと思って共有した決算資料が、メールやチャットで転送を重ね、気づけば社外に出てしまいます。 しかも、いつ誰が開いたか本人は気づけません。

2つ目の落とし穴が、権限の付けすぎです。 閲覧だけで十分な相手に、深く考えず「編集可」の権限を渡してしまいます。 すると、相手が中身を書き換えたり、さらに別の人を追加共有できたりします。

3つ目が、退職者や元取引先のアクセス残りです。 一度共有した相手のアクセス権は、明示的に外さない限り残り続けます。 辞めた従業員の個人アカウントから、社内の共有フォルダがずっと見えたままになります。

管理者が組織にかける3つの守り

こうした個人の判断ミスを、どう防げばいいのでしょうか。 注意喚起を徹底すればよい、とは思います。ただ、人の注意力には限界があります。 有料のGoogle Workspaceには、管理者が組織全体にかけられる守りの機能が用意されています。

外部共有の制限

1つ目は、外部共有の制限です。 「リンクを知っている全員」共有そのものを会社として禁止したり、社外への共有時に警告を出したりできます。 ダウンロードや印刷を禁止する設定も可能です。 個人のミスを、システムの設定で止められます。

監査ログ

2つ目は、監査ログです。 管理コンソールの画面には、誰が、いつ、どのファイルを、どう扱ったかがすべて記録されています。 何か起きたとき、あるいは起きる前に、追跡できます。

DLP（データ損失防止）

3つ目が、**DLP**（Data Loss Prevention：データ損失防止）です。 クレジットカード番号やマイナンバーといった機密のパターンを含むファイルを、システムが自動で見張る機能です。 該当するファイルが社外に共有されそうになると、自動でブロックしたり警告を出したりします。 「マイナンバーを含むファイルは社外共有禁止」というルールを一度設定すれば、あとは自動で見張り続けます。

中小企業の現実解

これらをすべて設定すれば完璧に違いありません。 そうしたかった、とは思います。 しかし、全ファイルにDLPをかけようとすると、設定の手間と運用負荷で挫折します。

中小企業は、いきなり全部やらなくていいのです。 目的は漏えいをゼロにすることではなく、一番被害の大きいデータの流出確率を下げ、事故が起きても早く気づける状態にすることです。

順番があります。 まず、設定一発で効果が大きい「外部共有の制限」を入れます。 次に、漏れたら本当に痛い重要データ（口座情報や役員報酬など）に絞ってDLPをかけます。 そして、月に一度でいいから監査ログを見る習慣をつけます。

機能はあっても、管理コンソールを触る人が社内にいないのが、中小企業の最大の壁です。 外部に任せることも含め、誰が面倒を見るかを決めることが運用を分けます。

明日からの設定ステップ

実際に手をつけるときは、次の3つの手順で進めます。

第1ステップは、共有設定の棚卸しです。 現在、社内で「リンクを知っている全員」で共有されているファイルがどれだけあるか、管理コンソールで可視化します。

第2ステップは、会社としての共有ルールを1枚にまとめることです。 「原則、特定の人だけに共有」「社外共有は上長承認」のように、使っていい形を明文化します。

第3ステップで、管理者側の設定（外部共有の制限、重要データのDLP、監査ログの月次確認）を入れます。 これらを経ることで、Googleドライブは「なんとなく怖いクラウド」から「社内サーバーより安全で、記録も残る保管庫」に変わります。

まとめ

クラウドは怖いと立ち止まっているのが、最も惜しい状態です。 道具は安全であり、あとは運転次第です。

• Googleドライブの土台は堅牢であり、事故のほぼ全ては「共有の設定ミス」から起きます。
• 素の状態の三大リスクは、リンク共有・権限過多・アクセス残りです。
• 管理者は「外部共有の制限」「監査ログ」「DLP」の3つで組織を守ります。
• 中小企業は全部やろうとせず、共有制限から順に効くところから手をつけます。