Google Workspaceの管理者が最初にやるべきセキュリティ設定10選
GWSのセキュリティは初期設定で決まる
Google Workspaceは初期状態でも一定のセキュリティが確保されていますが、企業利用では追加の設定が必要です。特に、管理者が交代したまま初期設定を見直していない環境では、退職者のアカウントが有効なまま残っていたり、外部共有が無制限だったりするケースが珍しくありません。
ここでは管理者が最初に設定すべき10項目を、優先度順に手順とあわせて解説します。すべて管理コンソールから設定でき、追加費用は発生しません。
最優先の3項目（今日中にやる）
1. 2段階認証の全社強制
設定場所： 管理コンソール → セキュリティ → 認証 → 2段階認証プロセス
パスワードだけの認証は、フィッシングで漏れた時点で突破されます。2段階認証を組織全体に適用してください。
段階的に進める場合の順序は、①管理者アカウントに適用 → ②情報システム部門・経営層に適用 → ③全社に適用、です。いきなり全社強制にすると問い合わせが集中するため、適用日を事前に告知し、猶予期間（登録期間）を2週間程度設けるのが実務的です。
なお2026年7月からは、GCPW（Google Credential Provider for Windows）がFIDO2物理セキュリティキーに対応しました。Windows端末のログイン画面でもハードウェアキーによる2段階認証を要求できます。
2. 管理者アカウントの分離
設定場所： 管理コンソール → ディレクトリ → ユーザー
特権管理者の権限を持ったまま日常業務（メール送受信、Web閲覧）をしている状態は危険です。そのアカウントがフィッシングで乗っ取られると、攻撃者がテナント全体を掌握できます。
日常業務用アカウント（一般ユーザー権限）と、管理作業用アカウント（特権管理者）を分けてください。管理用アカウントは、実際に管理作業をするときだけログインします。
あわせて、特権管理者を1名だけにしないことも重要です。その1名が退職・休職・事故に遭った場合、テナントの管理ができなくなります。最低2名は確保し、緊急時用のアカウント情報を金庫等に保管しておく運用が確実です。
3. 外部共有の制限
設定場所： 管理コンソール → アプリ → Google Workspace → ドライブとドキュメント → 共有設定
初期状態では、Driveのファイルを組織外の誰とでも共有できます。「リンクを知っている全員」で共有されたファイルが検索エンジンに拾われる事故は、実際に起きています。
まず組織外との共有を「許可リストに含まれるドメインのみ」に制限し、取引先のドメインを個別に登録する構成にしてください。取引先が多く運用が回らない場合でも、最低限「リンクを知っている全員」を既定にしない設定に変更します。
次に重要な4項目（今週中にやる）
4. パスワードポリシーの設定
設定場所： 管理コンソール → セキュリティ → 認証 → パスワード管理
最小文字数は14文字以上を推奨します。定期変更の強制は、単純なパスワードへの変更を招くため、現在は推奨されていません。長さの確保と、漏洩パスワードの再利用禁止を優先してください。
5. メール認証の設定（SPF / DKIM / DMARC）
設定場所： DNSレコード（ドメイン管理事業者側）と、管理コンソール → アプリ → Gmail → メールの認証
自社ドメインを騙ったなりすましメールを防ぐ設定です。SPF・DKIMを設定した上で、DMARCを p=none（監視のみ）から始め、レポートを確認しながら p=quarantine → p=reject へ段階的に強化します。
いきなり p=reject にすると、社外の配信サービス経由で送っている正規のメールが届かなくなることがあります。必ず監視モードから始めてください。
6. 不審なログインのアラート設定
設定場所： 管理コンソール → レポート → 管理者アラート
不審なログイン、管理者権限の付与、大量のファイルダウンロードなどを検知したときに管理者へ通知する設定です。アラートの宛先を、実際に見るメールアドレスにすることが重要です。誰も見ていない共有メールボックス宛では意味がありません。
7. セッション管理
設定場所： 管理コンソール → セキュリティ → Google Cloud セッション管理
ログイン状態が無期限に維持される設定のままだと、端末を紛失した際のリスクが上がります。業務内容に応じて自動ログアウトまでの時間を設定してください。
推奨の3項目（今月中にやる）
8. モバイルデバイス管理の有効化
設定場所： 管理コンソール → デバイス → モバイルとエンドポイント
私物スマートフォンで会社のメールを見ている場合、紛失時にリモートでアカウント情報を消去できる状態にしておきます。基本的な管理はGWSの標準機能で対応でき、追加ライセンスは不要です。
9. サードパーティアプリのアクセス制御
設定場所： 管理コンソール → セキュリティ → アクセスとデータ管理 → APIの制御
社員が業務効率化のために外部サービスとGoogleアカウントを連携させることがあります。その連携先がDriveの全ファイルにアクセスできる権限を持っているケースもあり、把握できていないと情報の流出経路になります。
まず現在連携されているアプリの一覧を確認し、業務上不要なものを削除してください。その上で、新規の連携を「管理者の承認制」にするか判断します。
10. 監査ログの確認フロー確立
設定場所： 管理コンソール → レポート → 監査と調査
ログは「取得している」だけでは意味がなく、異常が起きたときに誰がどう確認するかを決めておく必要があります。月次でログイン履歴と管理者操作を確認する、といった軽い運用でも、事故時の初動が変わります。
よくあるつまずき
「2段階認証を強制したら業務が止まった」 — 適用前の告知と登録猶予が不足しているケースです。適用日と登録手順を全社に周知し、登録状況をレポートで確認してから強制に切り替えてください。
「外部共有を制限したら取引先とファイルをやり取りできなくなった」 — 許可リスト方式にする場合、事前に取引先ドメインの洗い出しが必要です。移行期間中は例外申請の窓口を用意しておくと混乱が減ります。
「設定したが誰も引き継いでいない」 — 最も多い問題です。設定内容と変更理由をドキュメント化し、管理者交代時に引き継ぐ運用にしてください。
まとめ
- 最優先は①2段階認証の全社強制 ②管理者アカウントの分離 ③外部共有の制限の3つ。この3つで大半のリスクは下がる
- 2段階認証は適用日の告知と2週間程度の登録猶予を設けてから強制に切り替える
- 特権管理者は最低2名確保する。1名体制はその人が不在になった時点で詰む
- DMARCは必ず監視モード（p=none）から始める。いきなり reject にすると正規のメールが止まる
- サードパーティアプリの連携は、現状の一覧確認から着手する
- 設定はドキュメント化して引き継ぐ。引き継がれない設定は、数年後に誰も理由を説明できなくなる
これら10項目は、GWSの管理者が就任した直後に実施すべき設定です。すべてGWS管理コンソールから設定可能で、追加費用は発生しません。
自社の設定が現時点でどうなっているかを棚卸ししたい場合は、情シス365の無料相談でご相談いただけます。GWSのセキュリティ設定代行を含む運用支援は月額12万円〜で提供しています。