お問い合わせ
SECURITY NOTE — 084

Google Workspace DLPでFormsとSitesの機密情報入力をブロックする設計：情シスが考えるデータガバナンス

PUBLISHED2026.05.07
READ11 分
CATEGORYSECURITY

Google Workspaceのデータ損失防止 (DLP) ポリシーは、GmailやGoogle Drive、Google Chatだけでなく、Google FormsとGoogle Sitesのコンテンツにも適用可能です。本記事では、これらサービスにおける機密情報の入力・公開段階でのブロック設計について解説します。

この記事を読んだほうが良い人

  • Google WorkspaceのDLPポリシーをGmailやDrive、Chatには設定済みだが、FormsやSitesの入力経路への適用に不安がある情シス担当者
  • 社員がGoogle Formsで誤って機密情報を収集してしまわないか懸念している管理者
  • Google Sitesで公開される情報に機密情報が含まれないようガバナンスを強化したいと考えている担当者
  • Google Workspace全体のデータガバナンス設計を見直したい企業のIT管理者

なお、DLPポリシーを利用できるのは Business Plus・Enterprise Standard・Enterprise Plus（またはEducation Plus相当）以上のエディションに限られます。自社のエディションを管理コンソールの「お支払い」>「サブスクリプション」で事前に確認してください。

Google Workspace DLP、FormsとSitesが見落とされがちな理由

多くの組織でGoogle Workspace (GWS) のDLP (Data Loss Prevention) ポリシーを導入する際、GmailやGoogle Driveでの機密情報送信・共有ブロック、Google Chatでの機密情報投稿ブロックから着手するケースが多いです。これらは「外部へのデータ送出」を防ぐための重要な対策です。

しかし、データガバナンスを考える上で見落とされがちなのが、FormsやSitesといった「データ収集・入力」や「情報公開」の入り口です。

  • Google Forms: 社内アンケートや情報収集で手軽に利用できるため、意図せず個人情報や機密情報が入力されてしまうリスクがあります。特に、Formsの回答がGoogle Drive上のスプレッドシートに保存されるため、そのスプレッドシートが不適切に共有されることで情報流出につながる可能性も存在します。入力段階でのチェックがなければ、問題が発覚するのはデータが収集されてからになります。
  • Google Sites: 部署内の情報共有やプロジェクトサイトとして活用されますが、誤って機密情報がサイトコンテンツとして公開されたり、添付ファイルとしてアップロードされたりする可能性があります。サイトが社外に公開設定されていた場合、そのリスクはさらに高まります。

これらのサービスは、データの「入り口」または「公開元」として機能するため、DLPを適用することで、情報が組織内に不適切に収集されたり、意図せず外部に公開されたりするリスクを未然に防ぐことが可能になります。

Google Workspace DLPのForms・Sitesへの適用範囲を理解する

Google WorkspaceのDLPポリシーは、管理コンソールから設定することで、FormsとSitesの特定のコンテンツをスキャンし、定義された機密情報（個人情報、クレジットカード番号、特定のキーワードなど）の検出時にアクションを実行できます。

Google Workspace管理者ヘルプによると、DLPルールが適用される範囲は以下の通りです。

  • Google Forms: テキスト形式の質問への回答がDLPルールの対象となります。
  • Google Sites: サイトコンテンツおよび添付ファイルがDLPルールの対象となります。

ここで重要なのは、「入力段階での事前ブロック」の解釈です。Google Workspace DLPは、ユーザーが文字を入力している最中にリアルタイムでブロックする機能ではありません。

  • Formsの場合: ユーザーがフォームに回答を「提出」しようとした際、その回答内容がDLPポリシーに違反していれば、提出をブロックしたり、警告を表示したり、監査ログを記録したりするアクションが実行されます。つまり、回答が収集される直前でブロックされると理解できます。
  • Sitesの場合: ユーザーがサイトのコンテンツを「公開」しようとした際、または機密情報を含むファイルをサイトに「添付」しようとした際に、DLPポリシーに違反していれば、公開をブロックしたり、警告を表示したり、監査ログを記録したりするアクションが実行されます。

FormsとSitesのDLP適用可否対照表

機能/対象 DLP適用可否 検出対象 ブロック可能アクション
Google Forms
フォームの回答入力 〇 テキスト形式の質問への回答内容 回答の提出をブロック (※リアルタイム入力中ではない) / 提出時に警告表示 / 監査ログ記録
フォームの共有設定 〇 ※Drive DLP フォームファイル自体の共有（フォームはDriveファイルとして管理されるため、Drive DLPのスコープ） フォームの共有をブロック / 共有時に警告表示 / 監査ログ記録（Forms DLPとは別にDrive DLPルールの設定が必要）
回答が保存されたシート 〇 ※Drive DLP 回答が保存されたGoogleスプレッドシートの共有（スプレッドシートはDriveファイルのため、Drive DLPが担う） スプレッドシートの共有をブロック / 共有時に警告表示 / 監査ログ記録（Forms DLPとは独立したDrive DLPルールの設定が必要）
Google Sites
サイトコンテンツ 〇 サイトのページに記述されたテキスト、画像内のテキストなど サイトの公開をブロック (※リアルタイム入力中ではない) / 公開時に警告表示 / 監査ログ記録 / サイトの編集をブロック (コンテンツが変更されるたびにDLPが再評価される可能性)
サイトへの添付ファイル 〇 サイトにアップロードされたファイル（ドキュメント、スプレッドシートなど）の内容 ファイルのアップロードをブロック / アップロード時に警告表示 / 監査ログ記録 / サイトへの埋め込みをブロック (GWS DLPはDriveのファイルにも適用されるため、実質的に二重で保護される)

補足: フォームの共有設定や回答スプレッドシートの共有ブロックは、Forms DLPではなく Drive DLP のルールとして設定する必要があります。Forms DLPの設定だけでこれらをカバーできると誤解しやすいため注意が必要です。Drive DLPと Forms DLPを組み合わせて設定することで、Forms関連の情報漏洩経路を包括的に保護できます。

この表からわかるように、FormsやSitesのDLPは「入力中」ではなく「最終的なアクション（提出、公開、共有、アップロード）」をターゲットとして、機密情報がシステム内に定着したり、意図せず広まったりするのを防ぐ役割を果たします。

FormsとSitesへのDLPポリシー設定手順

Google Workspace管理コンソールからDLPポリシーを設定する手順は、基本的に他のサービスと同じです。

  1. 管理コンソールへのアクセス: Google Workspaceの管理者アカウントで管理コンソール (admin.google.com) にログインします。

  2. DLPポリシー設定画面へ移動: 左側のメニューから「セキュリティ」>「データ保護」と進みます（エディションや画面構成によっては「セキュリティ」>「アクセスとデータ管理」>「データ保護」と表示される場合があります。管理コンソールの公式ヘルプで最新のパスを確認してください）。

  3. DLPルールの作成: 「ルールを管理」をクリックし、「ルールを追加」を選択します。

  4. ルールの名前と説明の入力: ルールを一意に識別できる名前（例: Forms_Sites_PII_Block）と、ルールの目的を簡潔に説明する内容を入力します。

  5. 検出するコンテンツの定義: 「検出するコンテンツ」セクションで、検出したい機密情報の種類を指定します。

    • 定義済みのコンテンツ検出器: 「個人情報」「クレジットカード番号」「パスポート番号」など、Googleが提供する標準的な検出器を選択します。
    • カスタムコンテンツ検出器: 特定のキーワード、正規表現、カスタム辞書などを使用して、自社独自の機密情報を定義します。例えば、自社のプロジェクトコードや顧客IDのパターンなどを設定できます。

  6. 適用対象アプリの選択: 「適用対象アプリ」セクションで、DLPを適用するGoogle Workspaceサービスを選択します。

    Google FormsとGoogle Sitesにチェックを入れます。必要に応じて、Gmail、Drive、Chatなど他のサービスも併せて選択できます。回答スプレッドシートの共有をブロックしたい場合は、Driveも対象アプリに加えた別ルールが必要です。

  7. アクションの設定: 「アクション」セクションで、機密情報が検出された場合に実行する動作を決定します。

    • ブロック: 最も厳格な設定です。Formsの回答提出やSitesのコンテンツ公開をブロックします。
    • 警告: ユーザーに警告を表示しますが、ユーザーは内容を確認した上で提出/公開を続行できます。
    • 監査: ログに記録するのみで、ユーザーの操作はブロックされません。最初はテスト段階での利用が適切です。
    • その他、管理者に通知を送信したり、ユーザーにカスタムメッセージを表示したりする設定も可能です。

  8. ルールの保存: 設定内容を確認し、「作成」または「保存」ボタンをクリックしてルールを有効にします。

DLPポリシー設計における注意点と制限事項

FormsとSitesへのDLP適用は強力なセキュリティ対策ですが、運用上の注意点や制限事項を理解しておくことが重要です。

1. 過剰検出 (False Positive) のリスク

DLPポリシーが厳しすぎたり、検出器の精度が低かったりすると、機密情報ではない通常の業務データまでブロックしてしまう「過剰検出」が発生する可能性があります。これにより、ユーザーの業務が滞ったり、情シスへの問い合わせが増加したりして、運用負荷が高まることがあります。

  • 対策: 最初は監査モードでDLPルールをテストし、過剰検出の状況を把握することが重要です。必要に応じて、検出器の正規表現を調整したり、除外設定を追加したりして精度を高めます。

2. 正規表現の精度と辞書管理

カスタムコンテンツ検出器を使用する場合、正規表現の設計は非常に重要です。不適切な正規表現は、検出漏れや過剰検出の原因となります。また、カスタム辞書を利用する場合は、辞書の内容を常に最新の状態に保つ必要があります。

  • 対策: 正規表現のテストツールを活用し、意図したパターンのみを検出できるか十分に検証します。辞書は定期的に見直し、新しい機密情報やプロジェクト名が追加された場合は更新します。

3. 例外設定の検討

特定の部署やユーザーグループ、または特定のフォームやサイトに対してDLPポリシーを適用しない、あるいは異なるポリシーを適用したい場合があります。Google Workspace DLPでは、組織部門やグループ、コンテンツのメタデータなどに基づいて例外を設定することが可能です。

  • 対策: 例外設定を適切に活用し、業務要件とセキュリティ要件のバランスを取ります。例えば、特定の部署が合法的に個人情報を扱う必要がある場合は、その部署のフォームやサイトにはDLPを適用しない、または監査モードのみに設定するといった対応が考えられます。

4. リアルタイム入力ブロックではない

前述の通り、Google Workspace DLPは、ユーザーがFormsに入力している最中やSitesで編集している最中にリアルタイムでブロックする機能ではありません。ブロックが実行されるのは、Formsの「提出時」やSitesの「公開時」など、データが確定されるタイミングです。

  • 対策: ユーザーへのDLPポリシーの周知と教育が重要です。どのような情報が機密情報であり、FormsやSitesで入力・公開してはいけないのかを明確に伝え、DLPはあくまで最終的な防衛線であることを理解してもらう必要があります。

5. 既存のDLPポリシーとの整合性

FormsやSitesにDLPを適用する際は、既存のGmailやDrive、Chat向けのDLPポリシーとの整合性を確認します。特に、Formsの回答スプレッドシートや共有設定のブロックはDrive DLPで別途設定する必要があるため、Forms DLP単体でForms関連の全経路をカバーできると思い込まないよう注意が必要です。データガバナンス全体として一貫したルールが適用されているか、重複や抜け漏れがないかを評価することが重要です。

  • 対策: 定期的にDLPポリシー全体を見直し、組織のセキュリティ要件の変化に合わせて更新します。

まとめ: データ入力ガバナンスの強化は継続的な取り組み

Google FormsとGoogle SitesへのDLPポリシー適用は、Google Workspaceにおけるデータガバナンスを強化する上で非常に重要なステップです。特に、データ収集・入力段階での機密情報ブロックは、見落とされがちなリスクへの対策として効果を発揮します。

ただし、「Forms DLPを入れれば完結」ではありません。フォームファイルの共有や回答スプレッドシートの共有制御はDrive DLPが担うため、両方のルールを設計して初めて経路を塞げます。DLPポリシーは一度設定すれば終わりではなく、過剰検出の調整、正規表現や辞書の更新、例外設定の見直し、そして何よりもユーザーへの継続的な教育が不可欠です。

自社の情報セキュリティレベルを一段引き上げるために、FormsとSitesへのDLP適用を検討し、Drive DLPとの組み合わせも意識しながら、組織全体のデータガバナンスを継続的に強化してください。

コーポレートITのご相談はお気軽に

この記事で書いたような業務改善・自動化の設計から実装まで、DRASENASではコーポレートITの現場に寄り添った支援を行っています。 「まず相談だけ」でも大歓迎です。DRASENAS 公式サイトからお気軽にどうぞ。

CONTACT

御社の IT 部門、ここにあります。

「ITのことはあまりわからない」── そのような状態からで、まったく問題ございません。まずはお気軽にご相談ください。

無料相談を予約する → サービス詳細を見る
一社ずつ、一から。