クラウドサービスでコラボレーション基盤を提供する Google Workspace（旧 G Suite）は、様々なコラボレーションサービスにより組織の生産性向上やコスト削減、場所に依存しない働き方などを実現します。こうしたメリットがある一方、クラウドサービスであることからどこでも利用できるため、ユーザーのログイン管理の徹底はセキュリティ対策上の入り口として非常に重要です。昨今では成りすましやサイバー攻撃による不正ログインなども活発化しているうえ、一度不正にログインされてしまうと、その権限の範囲内では「正当な」アクセスになってしまいます。
本稿では初めて Google Workspace（旧 G Suite）を導入する組織や、導入後にユーザーのログイン管理に悩んでいる組織の管理者の方を対象に、そのポイントをご紹介します。
ポイント①他社サービスと同じIDとパスワードは使用させない
標準的な Google Workspace（旧 G Suite）の環境では、ユーザーのログインはIDとパスワードで行います。
Google Workspace（旧 G Suite）に限らずクラウドサービスにおいて危険なのが複数のサービスで同じIDとパスワードを使いまわすことです。サービスごとに異なるIDとパスワードを覚えるのは面倒かもしれません。しかし、パスワードリスト攻撃によって不正ログインやアカウント乗っ取りに遭う可能性が大いにあります。
パスワードリスト攻撃とは他社サービスで不正に取得したIDとパスワード情報を使って別のサービスに不正ログインするというサイバー攻撃です。
Google が運用する Google Workspace（旧 G Suite）はセキュリティが堅牢なため、Google Workspace（旧 G Suite）がサイバー攻撃被害に遭わなくても他社サービスから漏れたIDとパスワード情報を使いまわしていれば、Google Workspace（旧 G Suite）へ不正ログインが発生する可能性があります。昨年には大手ガス会社が提供するサービスで10万件の不正ログインが試みられ、17件のアカウントが侵入されています。
こうしたリスクを回避するために、Google Workspace（旧 G Suite）で使用するIDとパスワードは必ず他社サービスとは違うものを設定するよう徹底しましょう。
また、Google Chrome を利用していると、その拡張機能である「パスワードアラート」を使用することで、複数のサイトでユーザーが同じパスワードを使用していると警告が出ます。さらに、フィッシング詐欺のようにユーザーが気づかないまま別のサイトに誘導されている場合にも同様に警告が出るので、単なるパスワードの使いまわし防止以上の効果を期待することができます。このように、Google Workspace（旧 G Suite）と Chrome の組み合わせは非常にセキュリティレベルが高いと言えるでしょう。
ポイント②管理者がパスワードの文字数を設定する
Google Workspace（旧 G Suite）の管理コンソールにはユーザーがログイン時に必要なパスワードの文字数を設定する機能が備わっています。管理者アカウントでGoogle Workspace（旧 G Suite）にログインしたらダッシュボードからセキュリティ≫基本設定の順にアクセスし、パスワードの安全度にてパスワードの最小文字数と最大文字数を設定します。
文字数は8文字～100文字の間で設定でき、長いほどセキュリティが堅牢になるでしょう。ただ、必ずしもパスワード文字数が長ければ高いセキュリティが確保されるわけではありません。たとえばパスワードが数字だけで設定されているものなら、解析に多くの時間はかからず不正ログインが発生する可能性があります。また、長すぎるとユーザーが覚えきれなくなり、紙にメモしてしまうなどの別のリスクを生んでしまう温床になる場合もあります。
そこで、パスワード文字数の設定に加えてユーザーごとにパスワードの安全度を確認しましょう。管理コンソールのダッシュボードからセキュリティ≫パスワードの監視にアクセスするとユーザーごとにパスワードの安全度を示すグラフが表示されます。安全度についてはユーザーが設定するパスワード文字数の長さ、要件、その時点で判明している一般的なパスワードの脆弱性によって変化します。
パスワードの安全度が低いユーザーに対しては警告し、早急にパスワードを変更するよう要求しましょう。
ポイント③2段階認証を有効にする
パスワードリスト攻撃やその他のサイバー攻撃による不正ログインを回避するために、パスワードの使い回しを禁止したり文字数を制限しても不正ログインの被害にあるリスクは捨てきれません。そこでGoogle Workspace（旧 G Suite）に備わっている2段階認証機能を有効にしてセキュリティをより強化しましょう。
2段階認証に必要なものはワンタイムパスワードを発行するためのスマートフォンです。AndroidまたはiPhoneに専用アプリをインストールして、ログインの度に発行されるコードを入力します。若干の手間は生じますが不正ログインに可能性を大きく低減できます。
2段階認証を有効にするためには管理者アカウントで管理コンソールにログインし、ダッシュボードにてセキュリティ≫基本設定の順にアクセスして2段階認証プロセスにあるユーザーが 2 段階認証プロセスを有効にできるようにするチャックボックスをオンにします。ただしこの設定だけですべてのユーザーに対して2段階認証が有効になったわけではありません。
各ユーザーが2段階認証を有効にするためには Google Workspace（旧 G Suite）アカウントにログインした状態で「2段階認証ページ」にアクセスして開始をクリックします。その後は表示される手順に従って設定を完了させましょう。
旧 G Suite Business と Enterprise の2つのプランでセキュリティキーを使用した2段階認証を設定できます。セキュリティキーを使用する場合は最新バージョンの Chrome がインストールされたパソコンと、USBポートに差し込み可能でFIDO Universal 2nd Factor(U2F)に準拠したセキュリティキーを用意しましょう。
[RELATED_POSTS]
ポイント④セキュリティキーの使用を強制する
旧 G Suite Enterpriseでのみ提供される機能ですが、セキュリティキーの使用を強制する管理機能が提供されています。セキュリティキーの使用を確実なものにすればログインに関するセキュリティは大幅にアップするでしょう。
方法はまず管理コンソールのダッシュボードからセキュリティ≫基本設定にアクセスします。詳細設定をクリックし認証欄にある使用できる 2 段階認証プロセス方式の選択から2段階認証に使用する方法でセキュリティキーを選択します。これでセキュリティキーを使用したログインを強制できます。
セキュリティキーでのログインを強制する場合は、あらかじめユーザーに設定の意図や手順を説明して理解を得ておくことが大切です。ユーザーからすれば少なからずログインに手間がかかるため、Google Workspace（旧 G Suite）自体への反感を生み出し、Google Workspace（旧 G Suite）のメリットが減ってしまうことにもなりかねません。
ポイント⑤ログイン監査ログを確認する
ログイン自体のセキュリティを高める対策に加え、ログインのログを定期的に監査することも重要です。たとえば失敗が多い場合には不正なアクセスが試みられている可能性があります。また短時間で物理的に離れた場所からログインされている場合には、不正アクセスが成功している可能性もあります。
Google Workspace（旧 G Suite）のログイン監査ログでは、このような不審なログは赤い警告で表示されます。さらにログデータをエクスポートし、Excel等で分析することも可能です。
特に注意するべきログインの条件（ユーザーやIPアドレスなど）でのログインが発生したときに、管理者にメールで警告することもできます。さらに、不審なログインアクティビティに関するメールアラートを有効にすると、普段とは異なる場所からのログインの試みなど、不審なログインを検出した際に管理者はアラートのメールを受信することができます。通常はユーザーが本人確認をしなかった場合だけに送信されるため、不要なアラートを減らします。
このように、ログイン自体の強度を上げることとともに、常に監視し、監査することはセキュリティを守るうえで非常に重要なポイントです。Google Workspace（旧 G Suite） では、この点でも多くの機能を提供しています。
ポイント⑥サードパーティソリューションを組み合わせる
そのほかにも、Google Workspace（旧 G Suite）の標準機能ではなく、サードパーティーのソリューションを組み合わせることも必要に応じて検討しましょう。
たとえば、ユーザー認証だけでなく、デバイス認証も組み合わせ、管理されている端末からのみログインできるようにしたり、特定のネットワークからだけログインできるようにするなどの対策を取ることも可能です。
このような制限はセキュリティを高めることには貢献します。しかし、あまり制限をかけてしまうと、場所にとらわれずに安全に仕事ができる環境を提供する Google Workspace（旧 G Suite）のメリットを減らすことにもなりかねません。
本当に必要な要件は何か、セキュリティと利便性のバランスを取ることが重要です。
ログイン管理を徹底して Google Workspace（旧 G Suite）をよりセキュアに運用しよう
以上が Google Workspace（旧 G Suite）におけるログイン管理のポイントです。
サイバー攻撃は日々高度化しているので、いつどこで情報漏えいなどのセキュリティ事件が発生するか分かりません。そのような状況の中、ログインに関する管理はセキュリティを守るうえでの大切な入口です。しかしながら、セキュリティに対する要件は組織ごとに異なります。利便性とセキュリティをどのように両立するのかはすべての組織にとって常に大きな課題です。
DSKでは多くのお客様を支援してきた経験と、サードパーティーソリューションパートナーとの連携により、お客様に合わせた最適なご提案をいたします。ぜひご相談ください。
