Google WorkspaceのDLP設定｜Gmail・Driveの情報漏洩対策を始める方法

本記事を読めば、Google Workspace DLPの対象範囲と設定手順を整理し、Gmail・Drive・Chatの誤送信や外部共有による情報漏洩リスクを低減する運用設計ができます。

DLPは設定を入れれば終わりではなく、監査のみ、警告、ブロックを段階的に使い分けることが重要です。

AIzen株式会社は、Google Workspace活用と業務アプリ開発の知見をもとに、情シス・DX担当者が最初に見るべき項目を解説します。

Google WorkspaceのDLPとは

Google WorkspaceのDLPは、Gmail、Drive、Chatなどで扱う機密情報を検出し、共有や送信時のリスクを抑えるための機能です。

クレジットカード番号、個人番号、社内コード、顧客名簿など、組織が守りたい情報をルールで定義します。DLPは「禁止する仕組み」ではなく、機密情報の扱いを業務フローに合わせて制御する仕組みです。

DLPで検出できる機密情報

DLPでは、定義済みの検出器やカスタム検出器を使って機密情報を見つけます。定義済みの検出器は、クレジットカード番号、国や地域ごとの識別番号、メールアドレス、電話番号などに対応します。カスタム検出器では、社内プロジェクト名、顧客コード、機密区分、製品コードなど、自社固有の語句を検出できます。

実務では、最初から検出条件を細かくしすぎないことが大切です。検出対象を広げすぎると誤検知が増え、現場がDLP通知を無視するようになります。まずは「外部送信してはいけない情報」「社外共有前に確認が必要な情報」から始めます。

監査・警告・ブロックの違い

DLPのアクションは、監査のみ、警告、ブロックに分けて考えます。監査のみはユーザーの操作を止めず、ルールに該当したイベントをログへ記録します。警告は送信や共有前に注意を促し、ユーザーが続行できる設計です。ブロックは、ルールに該当した操作を止めます。

アクション	使いどころ	注意点
監査のみ	影響範囲の把握、初期検証	利用者には止まった感覚がない
警告	誤送信対策、教育目的	ユーザー判断で続行できる
ブロック	法令・契約上送信不可の情報	誤検知時の業務停止に注意

導入初期は、監査のみで検出件数と誤検知を確認し、ルールを調整してから警告やブロックへ進めます。

情シスがDLPを導入する目的

情シスがDLPを導入する目的は、情報漏洩を防ぐだけではありません。外部共有の実態を把握し、誤送信時の対応を早め、監査証跡を残し、社員へ安全な共有行動を促すことも目的です。

たとえば、Driveで顧客名簿が外部共有されそうになったときに警告する、Gmailで個人番号を含む添付ファイルの送信を止める、Chatで社外スペースへ機密情報を送ろうとした場合にログを残す、といった運用です。DLPは、社内ルールをシステムで補強する役割を持ちます。

Google WorkspaceでDLPを使える範囲

DLPはすべてのGoogle Workspace契約で同じように使えるわけではありません。対応エディション、対象アプリ、Cloud Identity Premiumの条件を確認してから設計します。導入前に契約条件を確認しないと、想定していたGmailやChatの制御が使えない場合があります。

対応エディションの確認

Google公式情報では、DLPはFrontline Standard/Plus、Enterprise Standard/Plus、Education Fundamentals/Standard/Plus、Enterprise Essentials Plusなどで提供されています。契約内容や提供条件は変更される可能性があるため、導入時点の管理コンソールと公式ヘルプで確認します。

特に、Business系エディションを使っている企業では、利用できるDLPの範囲を確認する必要があります。機能が不足する場合は、エディション変更、Cloud Identity Premiumの併用、別のセキュリティ運用との組み合わせを検討します。

Gmail・Drive・Chatの対象範囲

DLPはアプリごとに対象範囲が異なります。Gmailでは送信メールや添付ファイル、Driveではマイドライブや共有ドライブのファイル共有、Chatではメッセージや添付ファイルが主な対象です。

Gmailでは、Webやモバイルアプリで送信時に検査される同期スキャンと、第三者メールアプリなどで送信後に検査される非同期スキャンがあります。Driveでは、ファイル内容や共有操作が対象になります。Chatでは、1対1チャット、グループチャット、スペースのメッセージや添付ファイルを対象にできます。

Cloud Identity Premium利用時の条件

Google公式情報では、Drive DLPとChat DLPは、Google Workspaceライセンスを持つCloud Identity Premiumユーザーでも利用できる場合があります。Gmail DLPも、Gmailを含むGoogle WorkspaceライセンスがあるCloud Identity Premiumユーザーで利用できる条件があります。

ただし、Cloud Identity Premiumだけで全機能が使えると考えるのは危険です。対象アプリのライセンス、監査と調査機能、管理者権限が必要になります。導入前に、対象ユーザーのライセンス割り当て、組織部門、グループを確認します。

Google WorkspaceでDLPを設定する手順

DLP設定は、管理コンソールでデータ保護ルールを作成し、対象アプリ、条件、アクション、適用範囲を指定します。最初は小さな範囲で監査のみルールを作り、ログを見ながら調整します。

管理コンソールの設定場所

Google管理コンソールでは、ルール作成またはセキュリティ配下のデータ保護からDLPルールを作成します。画面構成は更新される可能性があるため、管理コンソール内の検索で「データ保護」「DLP」「ルール」を確認します。

設定時には、ルール名と説明を分かりやすくします。例として「外部送信時の個人番号検知」「Drive外部共有の顧客名簿検知」「Chat社外スペースへの機密語句送信警告」のように、対象アプリと目的が分かる名前にします。

検出条件とカスタム検出器

検出条件では、定義済み検出器、テキスト文字列、正規表現、単語リストなどを使います。社内固有の情報を検出したい場合は、カスタム検出器を作成します。

カスタム検出器は便利ですが、広すぎる語句は誤検知を増やします。たとえば、短いプロジェクトコードや一般名詞に近い製品名をそのまま登録すると、通常業務でも頻繁に検出されます。検出条件は、機密区分、周辺語句、送信先条件、外部共有条件と組み合わせて調整します。

組織部門・グループ単位の適用範囲

DLPルールは、全社一律ではなく、組織部門やグループ単位で適用できます。経理、人事、営業、開発、役員室では扱う情報が異なるため、同じルールを全員にかけると誤検知や業務停止が増えます。

たとえば、人事部門では個人番号や履歴書、営業部門では顧客名簿や見積書、開発部門ではAPIキーやソースコード断片を重視します。まず高リスク部門に監査のみで適用し、検出結果を見てから他部門へ展開します。

Gmail・Drive・Chat別の設計

DLPはアプリごとに利用シーンが違うため、同じ条件をそのまま流用しないことが重要です。Gmailは誤送信、Driveは外部共有、Chatは会話中の不用意な送信を中心に考えます。

Gmailの誤送信対策

Gmailでは、外部宛メール、添付ファイル、件名、宛先、本文、ヘッダーなどを対象に設計します。公式情報では、Gmailのコンテンツフィルタはメッセージと添付ファイルのサイズ上限があり、すべての内容を無制限に検査できるわけではありません。

実務では、個人番号、クレジットカード番号、顧客名簿、契約書、見積書の送信を重点的に見ます。最初は警告にして、ユーザーが「なぜ警告されたのか」を理解できるメッセージを出すと定着しやすくなります。

Driveの外部共有対策

Driveでは、外部共有、リンク共有、共有ドライブ、ファイル内容の検出を設計します。顧客名簿や個人情報を含むファイルが社外共有されると、メールよりも長期間アクセス可能になるため、共有範囲の管理が重要です。

Drive DLPは、マイドライブと共有ドライブの両方で考えます。共有ドライブでは、部門全体のファイルが集まりやすいため、外部共有を禁止するだけでなく、例外申請や承認フローも必要です。

Chatのメッセージ送信対策

Chatでは、メッセージや添付ファイル、画像を対象にDLPルールを作れます。外部メンバーが参加するスペースでは、社内プロジェクト名、顧客名、契約情報が不用意に送られる可能性があります。

Chatはリアルタイム性が高いため、DLPスキャンには時間制約があります。複雑な検出器や一部の定義済み検出器では、時間内に検査が完了しない場合があります。重要情報はブロック、それ以外は警告や監査のみから始めると運用しやすくなります。

弊社エンジニアからのコメント：

Google WorkspaceのDLPは、最初からブロックを強くすると、誤検知対応で現場が止まりやすくなります。初期設定では監査のみで2〜4週間ほど検出ログを確認し、よく出る誤検知語句、対象部門、外部送信先を見てから警告やブロックへ進めるほうが、情シスと現場の両方で運用しやすくなります。

事前検証の確認ポイント

DLPルールは、公開前の事前検証が成果を左右します。検出条件、対象範囲、サイズ制限、リンク先の扱い、誤検知時の申請フローを確認します。

監査のみルールでの影響確認

新しいDLPルールは、まず監査のみで始めます。ユーザー操作を止めず、どの条件でどれだけ検出されるかを確認します。検出ログを見れば、想定通りの情報が検出されているか、通常業務まで検出していないかを判断できます。

監査期間中は、検出件数だけでなく、対象部門、送信先、ファイル種別、ルール名を記録します。検出が多すぎる場合は条件を絞り、少なすぎる場合は検出器や対象アプリを見直します。

ファイルサイズとスキャン範囲の制限

Google公式情報では、DriveやChatではファイルサイズや抽出テキスト量に制限があり、Gmailでもメッセージや添付ファイルのスキャン対象に上限があります。たとえば、DriveやChatでは最大ファイルサイズや抽出テキストの分析範囲が示され、Gmailではメッセージと添付ファイルのスキャン上限が示されています。

この制限を知らないと、「DLPを入れたからすべて検査できる」と誤解しやすくなります。大容量ファイル、ZIP、画像、CSV、リンク共有は、DLPだけでなくDrive共有設定、ラベル、承認フロー、教育と組み合わせます。

リンク先コンテンツ未スキャンへの対策

Google公式情報では、Chatではリンク自体はスキャンされてもリンク先コンテンツは一般にスキャンされないとされています。Gmailでも、URLリンク先の内容はスキャン対象外で、Drive上のファイルリンクはDrive DLPルールの対象になります。

つまり、メールやChatに外部ストレージURLを貼った場合、リンク先までDLPで保護できるとは限りません。対策として、外部ストレージ利用の制限、Drive共有ルール、社外共有承認、URL短縮サービスの禁止などを組み合わせます。

運用ルールと見直し

DLPは一度設定したら終わりではありません。組織変更、取引先追加、プロジェクト名変更、エディション変更、業務フロー変更に合わせて見直します。運用ルールを決めることで、誤検知や例外対応が属人化しにくくなります。

アラートと監査ログの確認

DLPのアラートやルールログは、定期的に確認します。誰が、どのアプリで、どの情報を、どこへ共有しようとしたかを見ます。重大な検出だけをアラートにし、軽微な検出は月次レビューに回すと、通知疲れを防げます。

監査ログを見る担当者、確認頻度、エスカレーション条件を決めます。たとえば、個人番号や決済情報は即時確認、社内プロジェクト名は月次確認、誤検知が多いルールは四半期ごとに見直す、といった運用です。

誤検知時の申請フロー

誤検知時の申請フローがないと、現場はDLPを業務の妨げとして捉えます。警告やブロックが出た場合に、どこへ相談し、誰が例外を認め、どの期間だけ許可するかを決めます。

申請には、対象ファイル、送信先、目的、期限、代替手段の有無を含めます。例外を認める場合でも、共有期限、アクセス権、ファイルラベル、操作ログを確認します。例外対応は、後から監査できる形で残します。

社内運用設計を外部支援に相談する範囲

AIzen株式会社では、Google Workspaceの権限設計、DLPルール設計、Drive共有整理、Gmail・Chat運用、業務アプリ連携を支援しています。DLPは単独機能ではなく、社内の情報管理ルールとセットで設計すると効果が出ます。

特に、共有ドライブが乱立している、外部共有ルールが部署ごとに違う、誤送信対策をGmailだけで考えている場合は、DLP設定前に情報の置き場所と共有ルールを整理することが有効です。

まとめ

Google WorkspaceのDLP設定では、Gmail・Drive・Chatの対象範囲、対応エディション、検出条件、アクション、事前検証を順番に確認します。

要点は3つです。

まず、DLPを使えるエディションと対象アプリを確認します。

次に、監査のみで検出ログを見てから、警告やブロックへ段階的に進めます。

最後に、ファイルサイズ、リンク先未スキャン、誤検知申請などの制限と運用ルールを整えます。

AIzen株式会社では、Google Workspaceの情報漏洩対策、DLP設計、共有ドライブ整理、業務フローに合わせた運用設計を支援しています。設定だけでなく、現場が使い続けられるルールまで整えたい場合にご相談いただけます。