ランサムウェアに対するGoogle Workspaceの本質的な防御策【後編】～情報窃取を防ぐ7つの対策～

Google Workspaceの本質的な防御策は情報窃取を防ぐこと

それでは、Google ドライブに保存された情報を、ランサムウェア攻撃者から守るにはどうすればよいのでしょうか。重要なのは、攻撃者が企業の機密情報へアクセスするまでの経路を理解し、それぞれの段階で適切な制御を行うことです。

たとえば、従業員のGoogleアカウントが不正利用された場合を考えてみます。攻撃者は、そのアカウントがアクセスできるGoogle ドライブ上のファイルを閲覧したり、許可された範囲でダウンロードしたりできる可能性があります。

この場合、ファイルを暗号化する必要はありません。正規のユーザーが持つ権限を悪用するだけで、機密情報の窃取につながる可能性があります。こうしたリスクを軽減するために、Google Workspaceには複数のセキュリティ機能が用意されています。

対策① アカウントの不正利用を防ぐ

まず優先したいのが、Googleアカウントの保護です。Google ドライブでは、ファイルを利用するユーザーのアカウントに基づいてアクセス権限を判断します。そのため、正規のユーザーの認証情報が攻撃者に奪われた場合、そのアカウントを通じて機密情報へアクセスされる可能性があります。

特に、従業員が利用しているアカウントへの不正アクセスは、Google ドライブに限らず、Gmailなど他のGoogle Workspaceサービスにも影響する可能性があります。

そのため、次の対策が重要です。

• 多要素認証を必須化する
• フィッシングに強いパスキーやFIDOセキュリティキーの利用を検討する
• 管理者アカウントを一般業務用アカウントと分離する
• 不要になったアカウントやアクセス権限を削除する

警察庁の「ランサムウェア対策」によると、多要素認証などの強固な認証手段の導入や、アカウントに付与する権限の最小化も推奨されています。

ただし、強固な認証を導入したからといって、すべての攻撃を防げるわけではありません。すでに認証済みのセッションを悪用する攻撃や、正規の利用者が意図せず不正な操作を行ってしまうリスクもあるため、認証以外の対策も組み合わせる必要があります。

対策② コンテキストアウェアアクセスで接続元を制限する

次に有効なのが、コンテキストアウェアアクセス（Context-Aware Access）です。コンテキストアウェアアクセスとは、ユーザーのIDだけではなく、利用しているデバイスや接続元ネットワークなどの条件に基づいて、Google Workspaceへのアクセスを制御する機能です。（参考：Google Workspace 管理者ヘルプ「コンテキストアウェア アクセスレベルを作成する」）

たとえば、Google ドライブへのアクセスについて、会社が管理しているデバイスからの接続だけを許可したり、特定のネットワークからのアクセスに制限したりできます。

コンテキストアウェアアクセスでは、以下のような条件を利用できます。

これらの条件は組み合わせて利用できます。たとえば、攻撃者が従業員の認証情報を入手したとしても、Google ドライブへのアクセスを承認済みデバイスに限定していれば、攻撃者が管理する別の端末からのアクセスを制限できる可能性があります。

重要なのは、IDとパスワードが正しいことだけをアクセス許可の条件にしないことです。ただし、承認済みの端末自体が侵害された場合や、ポリシーの適用対象外となる経路については別途対策が必要です。

対策③ 最小権限の原則で情報へのアクセス範囲を制限する

ランサムウェア攻撃への対策として、私が特に重要だと考えているのが、Google ドライブのアクセス権限管理です。仮に従業員1人のGoogleアカウントが不正利用されたとしても、そのアカウントがアクセスできる情報が限定されていれば、攻撃者が取得できる情報の範囲を小さくできます。

一方、全社員がほとんどの共有ドライブにアクセスできるような運用を行っている場合、1つのアカウントの侵害が大量の情報窃取につながるおそれがあります。これがGoogle ドライブの権限管理を単なる利便性の問題として考えてはいけない理由です。

企業では、共有ドライブを部署やプロジェクト単位で作成し、必要なメンバーだけにアクセス権限を付与する設計が重要です。たとえば、人事部門の従業員情報や経営管理部門の財務資料について、他の部署の従業員が業務上アクセスする必要がない場合には、共有範囲を限定すべきでしょう。

また、共有ドライブのメンバー権限についても、業務に必要な最小限の権限を付与することが望ましいと考えます。最小権限の原則は、攻撃者の侵入を直接防ぐものではありません。しかし、アカウントが侵害された後の被害拡大を抑えるための重要な対策になります。

対策④ DLPで機密情報の持ち出しを制御する

Google ドライブからの情報窃取に対して、有効な機能がデータ損失防止（DLP：Data Loss Prevention）です。DLPは、Google ドライブに保存されたファイルの内容を検査し、あらかじめ設定したルールに基づいて、機密情報の共有や持ち出しを制御する機能です。（参考：Google Workspace 管理者ヘルプ「ドライブの DLP について」）たとえば、個人情報を含むファイルについて、組織外への共有をブロックするルールを作成できます。

Google ドライブのDLPで利用できる主な制御は次のとおりです。

DLPは、マイドライブと共有ドライブの両方に適用できます。注目したいのが、ダウンロード、印刷、コピーを制限できることです。ノーウェアランサムでは、攻撃者が機密情報を取得できれば脅迫が成立する可能性があります。そのため、情報の閲覧だけでなく、持ち出しにつながる操作をどこまで許可するのかが重要になります。

さらに、DLPとコンテキストアウェアアクセスを組み合わせることで、ユーザーの接続状況に応じてダウンロードなどの操作を制限することもできます。ただし、DLPは情報窃取を完全に防止する仕組みではありません。制御できる操作やファイルには制限があり、画面上に表示できる情報を別の手段で取得される可能性もあります。機密情報の重要度に応じて、閲覧権限そのものを限定することが前提になります。

対策⑤ 信頼ルールで共有先を制限する

Google ドライブでは、外部のユーザーとファイルを共有できます。業務上便利な機能ですが、共有範囲を適切に制御していないと、意図しない情報漏洩につながる可能性があります。

こうしたリスクに対して利用できるのが、Google ドライブの信頼ルールです。信頼ルールでは、ユーザーやグループ、組織部門、ドメインなどの条件に基づいて、ファイルの共有先を細かく制限できます。（参考：Google Workspace 管理者ヘルプ「ドライブ共有の信頼ルールを作成、管理する」）

たとえば、営業部門では特定の取引先ドメインとのファイル共有を許可し、人事部門では組織外との共有を原則禁止するといった運用が可能です。

また、外部だけでなく、組織内の特定の部門との共有を制限することもできます。攻撃者がGoogleアカウントを不正利用した場合でも、外部の任意のアカウントへファイルを共有できないようにしておけば、その経路での情報持ち出しを制限できます。

ただし、信頼ルールはファイル共有の制御を目的とした機能です。権限のあるユーザーによるダウンロードを一律に防止するものではないため、DLPなどと組み合わせて利用する必要があります。なお、2026年9月からは、DLPのルールで組織部門やグループ、ドメインといった信頼ルールの条件を使い、機密情報を含むファイルの共有先を制限できるようになっています。

対策⑥ 外部アプリによるGoogle ドライブへのアクセスを制限する

見落としがちな対策として、Google ドライブに接続するサードパーティ製アプリの管理があります。

Google Workspaceでは、OAuthを利用して、外部アプリにGoogle ドライブへのアクセスを許可できます。便利な仕組みですが、アプリに広範囲なアクセス権限を与えている場合、アプリ側の侵害や不適切な権限付与が情報漏洩につながる可能性があります。

たとえば、Google ドライブのファイルを読み取る権限を持つアプリが不正利用された場合、アクセスが許可されているファイルを取得されるリスクがあります。

Google 管理コンソールには、外部アプリによるGoogle Workspaceデータへのアクセスを制御するAPIの制御機能が用意されています。（参考：Google Workspace 管理者ヘルプ「Google Workspace のデータにアクセスできるアプリを制御する」）この機能では、Google ドライブへのアクセスを信頼できるアプリに限定したり、リスクの高いOAuthスコープへのアクセスを制限したりできます。

企業で利用する外部アプリについては、業務上の必要性を確認し、不要なアプリ連携や過剰な権限を定期的に見直すことが重要です。

対策⑦ 監査ログで不審な操作を検知する

ここまでは情報窃取を防ぐための対策を説明してきました。しかし、セキュリティ対策によって攻撃を完全に防止することは困難です。

そのため、不正アクセスが発生した場合に、できるだけ早く検知するための仕組みも有効になります。Google Workspaceでは、Google ドライブのログイベントから、ファイルに対するさまざまな操作履歴を確認できます。たとえば、ファイルの閲覧やダウンロード、外部共有、削除などの操作です。また、パソコン版Google ドライブによるダウンロードや同期に関連するイベントも記録されます。（参考：Google Workspace 管理者ヘルプ「ドライブのログイベント」）

こうしたログを利用すれば、不審なファイル操作を調査するための手掛かりを得られます。特に監視したいのは、通常の業務では発生しないような操作です。たとえば、短時間で大量のファイルがダウンロードされた場合や、重要な共有ドライブのファイルが外部へ共有された場合などが考えられます。

対応するGoogle Workspaceエディションでは、セキュリティ調査ツールを使用してログを調査でき、条件に応じたアクティビティルールやアラートも設定できます。（参考：Google Workspace 管理者ヘルプ「アクティビティ ルールを作成、管理する」）

ただし、ログに記録されるイベントには条件や制限があり、すべてのデータ取得経路を網羅するわけではありません。実際に取得できるログを確認したうえで、監視ルールを設計する必要があります。

企業が優先すべきGoogle ドライブのセキュリティ対策

ここまで紹介した機能を、攻撃の段階に合わせて整理してみましょう。

このように整理すると、ランサムウェア対策には異なる役割を持つ複数の機能が必要であることがわかります。特にノーウェアランサムを想定する場合、ファイルの暗号化検知や復元機能よりも、アカウントの保護、アクセス権限の最小化、DLP、監査ログなどが重要になります。

一方、ファイルの暗号化によって業務を停止させる攻撃に対しては、ランサムウェア検知機能やバックアップが有効です。つまり、情報窃取への対策と暗号化への対策は、どちらか一方を選ぶものではなく、組み合わせて実施する必要があります。

まとめ

今回は、ランサムウェアによる情報窃取を防ぐために、Google Workspaceで実施できる7つのセキュリティ対策を紹介しました。

前編でも解説したとおり、ランサムウェア攻撃者の目的は、ファイルを暗号化することではなく、企業から金銭を得ることです。特に二重恐喝やノーウェアランサムでは、機密情報を窃取されること自体が大きな被害につながります。そのため、暗号化されたファイルを復元できる仕組みだけでは、十分な対策とはいえません。

Google ドライブに保存された企業データを守るためには、アカウントの不正利用を防ぎ、ユーザーがアクセスできる情報を必要最小限に制限することが重要です。さらに、DLPや信頼ルールによる情報の持ち出し制御、監査ログによる不審な操作の検知など、複数の対策を組み合わせる必要があります。

ただし、これらの機能を導入するだけで、情報窃取を完全に防げるわけではありません。自社の業務やデータの重要度に応じて適切なルールを設計し、継続的に運用を見直すことが求められます。

ランサムウェア対策で重要なのは、攻撃者に侵入されないことだけでなく、万が一侵入されても機密情報を容易に取得・持ち出しできない環境を構築することです。

まずは、自社のGoogle ドライブで誰がどの情報にアクセスできるのか、外部共有やダウンロードがどこまで許可されているのかを確認することから始めてみてください。

※2026年10月時点の情報です。機能によって利用できるGoogle Workspaceのエディションが異なります。最新の情報はGoogle公式ヘルプをご確認ください。