Google Workspaceにおけるデータ損失防止 (DLP) と Context-Aware Access (CAA) は、組織のセキュリティを強化する上で重要な機能です。特にGmailからの機密情報送信制御において、これらを組み合わせることで多層的な防御を構築できます。
この記事を読んだほうが良い人
- Google Workspace (GWS) DLPでGoogle Driveの外部共有制限は設定済みだが、Gmailの送信制御は手付かずの情シス担当者。
- 社員がGmailから機密情報（個人番号、クレジットカード番号、社外秘ファイルなど）を誤って外部送信してしまうリスクに懸念がある方。
- Context-Aware Access (CAA) とGWS DLPを組み合わせて、Gmailの送信ポリシーを強化したいと考えている方。
- 管理コンソールでの具体的な設定手順と、連携設計の判断ポイントを知りたい方。
Gmailからの機密情報送信リスクと多層防御の必要性
企業にとって、機密情報の漏洩は事業継続に関わる重大なリスクです。Google Driveの外部共有制限やチャットのDLPポリシーを設定している組織は多いですが、Gmailからの機密情報送信は盲点になりがちです。社員が意図せず、あるいは誤操作によって、メール本文や添付ファイルに個人情報、顧客データ、社外秘情報を含めて外部に送信してしまうケースは少なくありません。
このようなリスクに対し、単一のセキュリティ機能だけで対策を講じるのは不十分です。多層的な防御を構築することで、より堅牢な情報漏洩対策を実現できます。Google Workspaceでは、Context-Aware Access (CAA) と Data Loss Prevention (DLP) という2つの強力な機能を連携させることで、Gmailの機密情報送信に対する制御を強化できます。
Context-Aware Access (CAA) と Data Loss Prevention (DLP) の役割
Context-Aware Access (CAA) と Data Loss Prevention (DLP) は、それぞれ異なるアプローチで情報セキュリティを強化します。Gmailの機密情報送信制御においては、これらの機能を連携させることで、より包括的な対策が可能です。
Context-Aware Access (CAA) でGmailへのアクセスを制御
Context-Aware Access (CAA) は、ユーザーの身元だけでなく、リクエストのコンテキスト（状況）に基づいてGoogle Workspaceサービスへのアクセスを許可または拒否する機能です。具体的には、以下の要素を条件としてアクセスレベルを設定できます。
- デバイスのコンプライアンス状況: マネージドデバイスであるか、OSが最新であるか、画面ロックが設定されているかなど。
- IPアドレス: 社内ネットワーク、特定のVPNからのアクセスであるか。
- 地理的位置情報: 特定の国や地域からのアクセスであるか。
- ユーザーのセキュリティ状態: 特定のユーザーグループに属しているかなど。
GmailにCAAポリシーを適用した場合、設定されたアクセスレベルを満たさないユーザーはGmail自体にアクセスできなくなります。これにより、信頼できない環境からのGmail利用を制限し、情報漏洩のリスクを低減できます。CAAは「誰が、どの状況で、Gmailを使えるか」を制御する入り口の防御層と考えると理解しやすいです。
Gmail DLPで送信メールの内容を検査・ブロック
Data Loss Prevention (DLP) for Gmailは、送信されるメールの本文や添付ファイルの内容をスキャンし、組織が定義した機密情報が含まれていないかを検出する機能です。機密情報が検出された場合、管理者は以下のようなアクションを自動的に実行できます。
- メールの拒否: 送信を完全にブロックし、送信者に通知する。
- メールの隔離: 管理者による確認・承認があるまで送信を保留する。
- 警告の表示: 送信者に警告を表示するが、送信を許可する。
- 管理者に通知: 機密情報が検出されたことを管理者に通知する。
Gmail DLPは「Gmailを通じて、どのような情報が外部に送信されるか」を詳細に検査し、制御する出口の防御層の役割を担います。
CAAとDLP連携によるGmail送信制御の設計思想
CAAとDLPを連携させることで、Gmailの機密情報送信に対して「アクセス元」と「コンテンツ」の二重の制御をかけることが可能になります。これは、セキュリティ対策のベストプラクティスである「多層防御」の考え方に基づいています。
連携の全体像とフロー
CAAとDLP連携によるGmail送信制御のフローは以下のようになります。
- ユーザーがGmailにアクセス: ユーザーがPCやスマートフォンからGmailにアクセスしようとします。
- CAAによるアクセスチェック: Context-Aware Accessポリシーが適用され、ユーザーのデバイス状況、IPアドレス、地理的位置情報などのコンテキストが評価されます。
- Gmailアクセス可否の判断:
- CAAのアクセスレベルを満たさない場合: Gmailへのアクセスが拒否されます。ユーザーはGmailを利用できません。
- CAAのアクセスレベルを満たす場合: Gmailへのアクセスが許可されます。
- ユーザーがメールを送信: Gmailにアクセスできたユーザーが、メール本文や添付ファイルに機密情報を含めて外部に送信しようとします。
- Gmail DLPによるコンテンツチェック: Gmail DLPポリシーが適用され、送信メールの本文と添付ファイルがスキャンされ、定義された機密情報が含まれていないか検査されます。
- メール送信の可否判断:
- DLPルールに違反する機密情報が検出された場合: 設定されたDLPアクション（拒否、隔離、警告、通知など）が実行され、メール送信が制御されます。
- DLPルールに違反する機密情報が含まれていない場合: メール送信が許可されます。
このフローにより、信頼できない環境からはGmailへのアクセス自体を制限し、信頼できる環境からの利用であっても機密情報の送信はDLPで検査するという、二段階の強固な制御が実現します。
エディション要件の確認
Context-Aware Access (CAA) およびGmailの高度なデータ損失防止 (DLP) 機能を利用するには、特定のGoogle Workspaceエディションが必要です。Google公式ヘルプ（Context-Aware Access の概要、およびGmail DLPの設定ガイド）では、以下のエディションが対象として記載されています。
- Context-Aware Access (CAA): Frontline Starter、Frontline Standard、Enterprise Standard、Enterprise Plus、Education Standard、Education Plus、Cloud Identity Premium
- Gmail DLP (高度なルール): Frontline Standard、Enterprise Standard、Enterprise Plus、Education Standard、Education Plus
両機能を連携させる場合、Frontline Standard が最低エディションとなります。ただし、利用できる機能の詳細や上限はエディションによって異なるため、自社のエディションが要件を満たしているかどうかは、管理コンソールまたは公式ヘルプで事前に確認してください。
Google Workspace 管理コンソールでの設定手順
ここからは、Google Workspace管理コンソールでCAAとDLPを連携させる具体的な設定手順を解説します。
1. Context-Aware Access (CAA) アクセスレベルの作成
まず、Gmailへのアクセスを許可する条件を定義するアクセスレベルを作成します。
- Google Workspace管理コンソールにログインします。
- セキュリティ > Context-Aware Access > アクセスレベル に移動します。
- 「アクセスレベルを作成」をクリックします。
- アクセスレベル名（例:
Secure_Device_Access）と説明を入力します。 - 条件 を設定します。例えば、以下のような条件を組み合わせられます。
- デバイスのポリシー: 「デバイスの承認状態」「画面ロック」「OSバージョン」など。
- IPアドレス: 「IPサブネット」を指定し、社内ネットワークのIP範囲を追加します。
- 地域: 特定の国からのアクセスのみを許可する場合に設定します。
- 複数の条件を設定する場合、「and」または「or」で条件間の関係を定義します。
- 設定を保存します。
2. GmailにCAAポリシーを適用
作成したアクセスレベルをGmailサービスに適用します。
- 管理コンソールで セキュリティ > Context-Aware Access > アプリへのアクセスレベルを割り当て に移動します。
- 「Gmail」を選択し、作成したアクセスレベル（例:
Secure_Device_Access）を割り当てます。 - 「割り当て」をクリックして変更を保存します。
これにより、指定したアクセスレベルを満たさないユーザーはGmailにアクセスできなくなります。
3. Gmail DLPルールの作成と設定
次に、送信されるメールの内容を検査するためのDLPルールを作成します。
- 管理コンソールで セキュリティ > データ保護 > DLPポリシー に移動します。
- 「DLPルールを作成」をクリックします。
- ルールの名前（例:
Gmail_Confidential_Email_DLP）と説明を入力します。 - 適用範囲 で「Gmail」を選択し、「送信メール」が対象であることを確認します。
- 条件 を設定します。
- 検出する機密情報タイプを選択:
- 「定義済みコンテンツ検出機能」から、検出したい機密情報タイプを選択します。クレジットカード番号・日本の個人番号（マイナンバー）・米国の社会保障番号・パスポート番号など、多数のプリセットが用意されています。
- 必要に応じて「カスタムコンテンツ検出機能」で、特定のキーワードや正規表現パターンを設定し、社外秘情報などを検出できます。
- 検出レベル: 各機密情報タイプには「信頼度レベル」を設定できます。誤検知を減らすために、最初は「高」や「中」から始めることを推奨します。
- 添付ファイル: 添付ファイルもスキャン対象に含める場合は、「添付ファイル」オプションを有効にします。
- 受信者: 特定の外部ドメインへの送信のみを対象とするなど、受信者の条件を追加することも可能です。
- 検出する機密情報タイプを選択:
- アクション を設定します。
- メールの拒否: 最も厳格な制御。機密情報が検出されたメールの送信をブロックします。
- メールの隔離: 管理者の承認があるまでメール送信を保留します。
- 警告の表示: 送信者に警告を表示しますが、送信を許可します。
- 管理者に通知: 機密情報が検出されたことを指定した管理者に通知します。
- 設定を保存します。
DLPルールは作成後すぐに有効になります。まずは、テストユーザーで少数のルールから適用し、誤検知がないか、期待通りの動作をするかを確認することが重要です。
運用時の考慮事項とテストの重要性
CAAとDLPを連携させたGmail送信制御は強力ですが、運用においてはいくつかの考慮事項があります。
- 誤検知（False Positive）: DLPルールが厳しすぎると、機密情報ではない通常の業務メールまでブロックされてしまう可能性があります。特に正規表現やカスタムキーワードを使用する場合は、慎重な調整が必要です。
- 検知漏れ（False Negative）: ルールが不十分だと、機密情報がすり抜けて送信されてしまうリスクがあります。定期的なルールの見直しと改善が求められます。
- ユーザーへの周知: 新しいセキュリティポリシーを導入する際は、ユーザーにその目的と利用方法を明確に周知し、理解を促すことが重要です。誤ってブロックされた場合の問い合わせ対応フローも、事前に整備しておくことが大切です。
- テスト環境での検証: 本番環境に適用する前に、必ずテスト環境や一部のユーザーグループでルールを徹底的にテストし、影響範囲と動作を確認してください。
これらの考慮事項を踏まえ、段階的に導入を進め、PDCAサイクルを回しながらルールをチューニングしていくことが成功の鍵となります。
まとめ
Google WorkspaceのContext-Aware Access (CAA) と Data Loss Prevention (DLP) を連携させることで、Gmailからの機密情報送信に対して多層的かつ効果的な制御を構築できます。CAAで「誰が、どの状況でGmailを使えるか」を制御し、DLPで「どのようなコンテンツが送信されるか」を詳細に検査することで、情報漏洩のリスクを大幅に低減可能です。
この二重制御は、情シス担当者にとってGmailにおける情報セキュリティを強化するための重要な手段となります。設定は管理コンソールから行えますが、特にDLPルールの設計とテストは、誤検知や検知漏れを防ぐために慎重な対応が求められます。
コーポレートITのご相談はお気軽に
この記事で書いたような業務改善・自動化の設計から実装まで、DRASENASではコーポレートITの現場に寄り添った支援を行っています。 「まず相談だけ」でも大歓迎です。DRASENAS 公式サイトからお気軽にどうぞ。
御社の IT 部門、ここにあります。
「ITのことはあまりわからない」── そのような状態からで、まったく問題ございません。まずはお気軽にご相談ください。