Google WorkspaceでSCS評価制度★3に対応する｜標準機能で満たせる範囲と不足する領域
SCS評価制度の全体像については SCS評価制度 対策ガイド もあわせてご覧ください。Microsoft 365 と並べた領域別マッピングは「SCS評価制度★3をM365・GWSで実装する｜設定マッピング一覧」に、本記事はGoogle Workspace環境に絞った管理コンソールの設定手順・証跡の取り方・実装ロードマップをまとめています。
Google Workspace を使っている企業からSCS評価制度★3の相談を受けると、Microsoft 365 の場合とは事情が少し異なります。
ID・認証、データ共有の制御、ログの取得については、GWSは標準機能でかなりの部分をカバーできます。一方で、端末側の対策には明確な穴があります。この違いを理解しないまま「クラウドを使っているから大丈夫」と考えると、評価の段階で不足が発覚します。
この記事では、★3の要求事項をGoogle Workspaceの管理コンソール上の具体的な設定にマッピングし、標準機能で対応できる範囲と、別途手当てが必要な領域を切り分けます。
★3の要求事項は26項目、細分化した評価基準は81件という構成で公表されています（NIST CSF 2.0の6機能をベースに、7つの大分類で整理されたもの）。項目数や評価基準は制度の成案化に伴い更新される可能性があるため、最新の内容は必ずIPAの制度サイトで公開されている要求事項・評価基準（Excel）をご確認ください。要求事項の全文は当サイトの★3 要求事項・評価基準 一覧でも読めます。
前提：エディションによって対応範囲が変わる
まず管理コンソールの「お支払い > サブスクリプション」で、契約中のエディションを確認してください。★3対応の可否は、おおむね次のように分かれます。
| エディション | ★3の技術要件への対応度 |
|---|---|
| Business Starter | 大きく不足。Vaultも高度なエンドポイント管理も使えない |
| Business Standard | 同上。ストレージと会議機能は増えるがセキュリティ機能は Starter と同等 |
| Business Plus | Vault と高度なエンドポイント管理（Windowsデバイス管理を含む）が加わり、実用的な水準に到達 |
| Enterprise Standard | DLP、コンテキストアウェアアクセス、セキュリティ調査ツール、BigQueryログエクスポートが加わる |
| Enterprise Plus | 上記に加えてより高度な情報保護と分析が可能 |
★3を目指すなら Business Plus が実質的な最低ラインです。Business Standard 以下の環境では、証跡の保全（Vault）とデバイス管理の両方が不足し、対応が難しくなります。
Enterprise 系でしか使えない機能（DLP、コンテキストアウェアアクセス、セキュリティ状況ページなど）は、★3の段階では設定と運用ルールで代替できる部分が多くあります。★4を視野に入れる場合は Enterprise Standard 以上を検討する、という段階的な考え方で問題ありません。
なお、各機能がどのエディションで提供されるかはGoogle側で変更されることがあります。導入判断の際は管理コンソールの表示と公式ヘルプで最新の状態を確認してください。
領域別の実装マッピング
管理コンソール上の設定箇所とあわせて整理します。括弧内は要求事項・評価基準の番号です。
ID・認証の管理（4-1）
2段階認証プロセスの強制（4-1-3）
評価基準4-1-3-2は、重要な機密情報を取り扱うクラウドサービスについて、ユーザおよび管理者が常に多要素認証を使うことを求めています。管理者だけでは足りません。認証要素は知識情報・所有情報・生体情報・その他の情報から2種類以上（4-1-3-3）、パスワードは8文字以上（4-1-3-4）です。
「セキュリティ > 認証 > 2段階認証プロセス」で、組織部門（OU）ごとに強制を設定します。設定のポイントは3つです。
- 適用方法を「オン（強制）」にする
- 認証方法から SMS を除外し、認証アプリまたはセキュリティキー／パスキーに限定する
- 新規ユーザーの登録猶予期間を短く設定する
スーパー管理者にはセキュリティキーまたはパスキーを必須にしてください。 ここが弱いと、他をどれだけ固めても意味がなくなります。
端末側のロック制御（4-1-4）
見落とされがちですが、★3はPCのログオンとスマートデバイスのロック解除についても要求しています。10回以上の失敗でロックする（または試行間隔を延ばす）設定と、6文字以上のパスワードまたはPINです。エンドポイント管理の画面ロックポリシーで適用でき、設定画面がそのまま証跡になります。
管理者権限の最小化（4-1-2）
「アカウント > 管理者ロール」で、割り当て状況を確認します。スーパー管理者は必要最小限（2〜3名）に絞り、日常的な管理作業は事前定義ロールや委任ロールで対応します。
緊急用アカウントの用意
2段階認証の設定変更やOUの誤操作で管理者が締め出される事故を防ぐため、緊急時にアクセスできるスーパー管理者アカウントを1つ確保し、認証情報を厳重に保管してください。
アクセス権の管理ルールと棚卸（4-1-7）
評価基準4-1-7-1が求めているのは、①発行・変更・削除が申請承認制であること ②範囲を必要最小限にすること ③棚卸について定めていること ④申請書または台帳を管理していること、の4点です。ツールの有無ではなく、ルールと台帳が問われます。
アクセス制御の強化（Enterprise系）
「セキュリティ > アクセスとデータ管理 > コンテキストアウェア アクセス」で、IPアドレス、デバイスの状態、地域に基づくアクセス制御を設定できます。Business Plus 以下では利用できないため、その場合は2段階認証の強制と、後述するデバイス管理での担保が代替手段になります。
退職者アカウントの処理（4-1-1-4）
アクセス権が不要になった場合の速やかな削除・無効化が求められます。アカウントの停止、データ移行ツールによる引き継ぎ、Vault での保持、ライセンス解除という手順を文書化します。「ユーザー > データの移行」機能でドライブとメールの移管ができ、退職者の扱いはアーカイブユーザー（AU）ライセンスの活用も選択肢です。実施日と実施者を記録する台帳を必ず用意してください。
端末の管理（3-1、4-4）
エンドポイント管理の有効化（3-1-1）
★3は業務で使う情報機器・OS・ソフトウェアの把握を要求しています。「デバイス > モバイルとエンドポイント > 設定」で管理レベルを設定します。Business Plus 以上では高度な管理が利用でき、Windows デバイス管理も有効化できます（既定はオフなので、明示的に有効化が必要です）。
- 業務で使う端末を管理対象として登録する
- 画面ロック、暗号化、パスワード要件をポリシーとして適用する
- 紛失時のリモートワイプを有効にする
登録された端末は「デバイス > エンドポイント」で一覧化され、そのまま資産台帳の実体として使えます。手作業のExcel台帳は陳腐化が宿命なので、ここは早期に着手する価値があります。
Chromeブラウザの管理
Chrome Enterprise Core（無償）を使うと、ブラウザのバージョン、拡張機能、セーフブラウジングの設定を一元管理できます。拡張機能の許可リスト運用は、実効性の高い割に低コストな対策です。4-4-4-2の更新対象には会社支給PCのブラウザも含まれるため、バージョンを把握できる状態にしておくと証跡としても効きます。
データ保護と共有制御（3-1-4、4-3-4）
機密情報の管理（3-1-4）
評価基準3-1-4-3は、重要な機密情報について、情報ごとの管理者名・部署名・保管場所・保管期限・開示先・連絡先を把握する仕組みを求めています。技術設定ではなく台帳の話です。スプレッドシートで作り、共有ドライブで版管理すればそのまま証跡になります。
外部共有の制御
「アプリ > Google Workspace > ドライブとドキュメント > 共有設定」で、組織外への共有を制御します。確認すべきポイントは次のとおりです。
- 組織外との共有を「オフ」または「許可されたドメインのみ」に絞れないか
- リンク共有のデフォルトを「制限付き」にする
- 「リンクを知っている全員」での共有に警告を出す
- 共有ドライブの作成権限と、外部メンバー追加の可否
多くの環境で、ここが初期設定のまま緩く開いています。 まず現状を確認してください。
Gmailのセキュリティ設定
「アプリ > Gmail > 安全性」で、添付ファイル、リンク、なりすましに対する保護をすべて有効化します。あわせて、SPF・DKIM・DMARC の設定状況を確認してください。DMARC が未設定の企業は今も多く、これは要求事項への対応としても、取引先への説明材料としても効きます。
DLP（Enterprise系）
「セキュリティ > アクセスとデータ管理 > データ保護」で、機密情報を含むファイルの共有を検知・ブロックするルールを作成できます。Business Plus 以下では利用できないため、共有設定の制限と教育で代替する方針になります。
Vault による保持（Business Plus 以上）
メールとドライブの保持ルールを設定し、削除されても一定期間データが残る状態にします。ただしこれはバックアップではありません（後述）。
ログと監視（5-1）
監査ログの確認
「レポート > 監査と調査」から、ログイン、管理者操作、ドライブ、Gmail などのログを確認できます。GWSでは監査ログの記録が既定で有効なので、M365のように「有効化を忘れていて記録がない」という事故は起きません。 ここはGWSの明確な利点です。
保持期間はログ種別ごとに異なり、主要なものは概ね6ヶ月です。なお、★3にログの保管期間そのものの要求はありません（ファイアウォール・プロキシ・認証サーバのログを各6か月保管する要求は★4）。将来★4を目指す場合は、次のいずれかを早めに検討してください。
- BigQuery へのエクスポート（Enterprise Standard 以上）
- 定期的なCSVエクスポートと保管
- ログ管理製品への転送
アラートの設定
「セキュリティ > アラートセンター」で、不審なログイン、大量のファイル共有、管理者権限の変更などに対する通知ルールを設定します。全エディションで利用でき、コストをかけずに監視体制の実体を作れます。
定期確認の運用（5-1-1-2）
評価基準が求めているのは、ログとアラートを分析し、担当者または管理者が不審な事象を発見した際にインシデント該当性を判断することです。取得しているだけでは満たせません。月次で何を確認し、誰が記録を残すかを手順書に落としてください。最低限、次の4点を推奨します。
- 失敗したログインの傾向と、不審な地域からのアクセス
- 管理者ロールの変更履歴
- 外部共有された機密性の高いファイルの有無
- アラートセンターに上がった事象の対応状況
組織・ルール面（1-x、2-x、4-2）
技術で解決できない領域です。★3は7つの大分類のうち「ガバナンスの整備」「取引先管理」が丸ごとここに属し、要求事項の相当部分が文書と運用です。
たとえば体制の要求（1-2-1）は、統括役員と担当部署の役割・責任を規程や職務分掌表に明記し、連絡先リストを整備し、年1回以上その体制を点検して記録を残すことまで求めています。教育・訓練（4-2-2）も、新規受入時かつ年1回以上、資料配布に加えてeラーニングまたは集合教育を実施し、実施内容・方法・時期・受講状況を記録・保管し、さらに年1回以上その内容を点検する構成です。
GWSを使っている場合、共有ドライブを規程類の管理場所として使い、版管理と閲覧権限をそのまま統制の証跡にする運用が有効です。承認プロセスは Google フォームと承認機能で記録化できます。文書一式のひな型は「SCS評価制度★3 文書化テンプレート集」を参照してください。
GWSの弱点：端末対策をどう埋めるか
ここがこの記事で最も重要な部分です。
Google Workspace には、エンドポイントのマルウェア対策機能もEDRも含まれていません。 Microsoft 365 の Business Premium が Defender for Business を同梱しているのとは対照的です。
★3の評価基準は、①ネットワークに接続しているすべてのPCとサーバへのマルウェア対策ソフト導入（4-4-5-1） ②端末ごとにスキャン範囲と頻度を定めて実行すること（4-4-5-2） ③パターンファイルをベンダー推奨に従って更新すること（4-4-5-3）を求めています。GWS単体ではこれを満たせないため、別途の手当てが必須です。
必要になるもの
マルウェア対策・EDR
Windows端末であれば、OS標準のMicrosoft Defenderウイルス対策が動いています。ただし要求されるのは「動いていること」ではなく、スキャン範囲・頻度が定められ、検知状況を確認でき、対応記録が残る状態です。
選択肢は次のとおりです。
- サードパーティのEDR製品を導入する
- Chromebook中心の環境に寄せる（ChromeOSは設計上マルウェア対策製品を必要としません）
- 端末管理製品（RMM）と組み合わせて、ウイルス対策の状態を集中監視する
Chromebookを主力端末にしている企業は、この要求に対して有利な立場にあります。 OS設計とGWSのエンドポイント管理で説明が完結するためです。
OS更新（パッチ）の管理
ここは期限が明記されている、数少ない要求事項です。評価基準4-4-4-2は、ベンダーが「重大」「高リスク」とする脆弱性やCVSS基本値7.0以上の脆弱性を修正するアップデートについて、リリースから14日以内の適用を求めています。対象は会社支給PCのOS・ブラウザ・Officeソフト、サーバのOS・ミドルウェア、スマートデバイスのOS・アプリ、そしてインターネット境界のネットワーク機器のOS・ファームウェアです。
GWSのエンドポイント管理では、WindowsやmacOSのOS更新をこの期限で統制することはできません。更新状況の把握と適用管理には、RMM製品や資産管理ツールが必要になります。ChromeOSであれば管理コンソールから更新チャネルとバージョンを管理できるため、この点でも有利です。
バックアップ（4-3-4）
Vaultの保持ルールとゴミ箱は、バックアップではありません。
要求事項4-3-4は、①取得対象・取得頻度・保管期間を定めたバックアップ ②重要な機密情報についての遠隔地バックアップ ③バックアップ対象ごとのリストア手順書の整備、を求めています。
Vault は削除されたデータを保持し、eDiscoveryのために検索・書き出しをする機能です。ランサムウェアによる大量の上書き、管理者権限を持つアカウントの悪用、設定ミスによる一括削除といったシナリオに対して、確実な復旧手段としては設計されていません。
サードパーティのバックアップサービスの導入を検討してください。復旧手順書と、復旧テストを実施した記録まで含めて対応する必要があります（考え方は3-2-1ルールの解説を参照）。
ネットワーク境界の防護（4-5-1）
要求事項4-5-1は、ネットワークを適切に分離し、境界部分を防護することを求めています。これはGWSの外側、オフィスネットワーク側の話です。
ただし必ずしも機器の新規購入を意味しません。既存ルーターのファイアウォール機能で要件を満たせているケースは多く、その場合に必要なのは設定内容の確認と記録です。また検知の評価基準5-1-1-1は「境界又は端末において」リアルタイム検知・遮断の仕組みを導入することとしているため、端末側のEDRで成立させる余地があります。GWS環境では端末側の手当てが必要になるので、そのEDR選定と境界の議論はセットで検討するのが効率的です。
従業員教育（4-2-2）
GWSには訓練シミュレーション機能がありません。ただし4-2-2-1が求めているのは「eラーニング又は集合教育による教育・訓練」なので、外部の教育サービス、IPAが公開する無料教材、社内勉強会のいずれでも要求は満たせます。実施記録と受講状況の管理まで残すことが条件です。
評価で求められる証跡の取り方
★3は自己評価に専門家の確認が加わる方式です。確認する側は運用実態を示す資料を見ます。GWS環境で取得しやすいものを挙げます。
管理コンソールの設定画面 2段階認証の適用状況、共有設定、Gmailの安全性設定、エンドポイント管理ポリシー、画面ロック要件。取得日が分かる形で保存してください。
エクスポートできる一覧
- ユーザー一覧（管理コンソールからCSV出力）
- 2段階認証の登録状況レポート（「レポート > ユーザーレポート > セキュリティ」）
- 管理者ロールの割り当て状況
- エンドポイントのデバイス一覧（3-1-1の資産台帳として使えます）
2段階認証の登録状況レポートは、特に説明力の高い証跡です。 「全員が2段階認証を使っている」ことを数字で示せます。
運用の記録 月次のログ確認記録、入退社時の処理記録、教育の実施記録と受講者名簿、アクセス権の棚卸記録、体制の年次点検記録、インシデント対応記録。これらは自動生成されないため、台帳を作って運用してください。★3の評価基準が「記録し、保管すること」「点検すること」を繰り返し求めているのは、まさにこの部分です。
セキュリティの状況ページ（Enterprise系） 推奨設定に対する現在の適合状況が一覧できます。Business Plus では利用できませんが、Enterprise Standard 以上を契約しているなら、改善の推移を記録しておくと継続的な取り組みの説明材料になります。
取得方法の詳細は「SCS評価制度★3 証跡・監査ログ実装ガイド」で扱っています。
90日での実装ロードマップ
第1〜2週：現状把握
- エディションとライセンス割り当ての確認
- 2段階認証の登録率をレポートで確認
- 管理者ロールの棚卸し
- 外部共有設定の現状確認（多くの場合ここに問題があります）
- 端末側の対策状況（ウイルス対策の管理有無、OS更新の管理有無）を確認
第3〜6週：ID周りの実装
- 緊急用スーパー管理者アカウントの確保
- 2段階認証の強制展開（OU単位で段階的に）
- スーパー管理者のセキュリティキー／パスキー化
- 管理者権限の見直し
- 入退社手順書の作成
2段階認証の強制は、周知期間を含めて余裕を持って進めてください。 猶予期間の設定を活用し、登録率をモニタリングしながら展開します。
第7〜10週：データと端末
- 外部共有設定の見直しと適用
- Gmailの安全性設定の有効化、DMARC設定
- Vault保持ルールの設定
- エンドポイント管理への端末登録とポリシー適用（Windowsデバイス管理の有効化を含む）
- 端末側の不足（EDR・パッチ管理・バックアップ）の手当て方針を決定
第11〜13週：運用と文書
- アラートセンターのルール設定
- 月次ログ確認手順の策定と初回実施
- 規程類の整備、機密情報台帳の作成
- 従業員教育の実施と受講記録の作成
- バックアップ設計とリストア手順書の整備
- 証跡の整理と自己評価シートへの記入
技術設定そのものは短期間で終わります。時間がかかるのは、端末側の不足をどう埋めるかの意思決定と、規程整備・運用の定着です。 ★3・★4の申請受付開始は2027年3月頃の予定なので、2026年内に技術実装を終え、年明けに文書と証跡を仕上げるスケジュールが余裕を持てます。
よくある落とし穴
2段階認証の強制でユーザーがロックアウトされる 猶予期間を設けずに強制すると、登録前のユーザーがログインできなくなります。猶予期間を設定し、登録率を見ながら段階的に締める進め方にしてください。
外部共有設定をOU単位で緩めたまま忘れる 特定部署だけ外部共有を許可した設定が残り、全社の統制が説明できなくなるケースがあります。OUごとの設定差分を一覧化し、例外の理由を文書化してください。
「クラウドだから端末対策は不要」という誤解 最も多い落とし穴です。4-4-5-1は「すべてのパソコン及びサーバ」への対策を求めており、GWSがカバーしていない領域であることを前提に計画を立てる必要があります。クラウド移行が進んでいても、オンプレのファイルサーバーが1台残っているケースは多く、そこが抜けがちです。
Windowsデバイス管理を有効化していない Business Plus で使えるにもかかわらず、既定でオフのため気づかれていないことがあります。資産台帳と画面ロック要件を一気に前進させられるので、まず有効化を確認してください。
Vaultをバックアップだと思っている 保持と復旧は別の機能です。4-3-4は遠隔地バックアップとリストア手順書まで求めているため、Vaultだけでは不十分と判断される可能性があります。
Business Standard のまま対応しようとする Vaultと高度なエンドポイント管理が使えないため、対応が難航します。Business Plus への変更は、個別に製品を買い足すより安く済むケースがほとんどです。
まとめ
Google Workspace 環境における★3対応の要点は3つです。
- ID・共有制御・ログの取得は、標準機能で高い水準まで対応できる
- 端末のマルウェア対策、パッチ管理、バックアップはGWS外で手当てが必要
- Business Plus が実質的な最低ラインで、Enterprise系の機能は運用ルールで代替可能
まず管理コンソールで現状を確認してください。2段階認証の登録率と外部共有の設定を見るだけで、着手すべき優先順位はかなり明確になります。
自社の現在地を短時間で把握したい場合は、無料で公開している★3セルフチェックツールをご利用ください。登録不要で、その場で結果と対応ロードマップを確認できます。管理コンソールの現状確認から設定実装、証跡整備までのご相談は無料相談から承っています。
参考リンク：