Google Workspaceの初期セキュリティ設定｜導入直後にやるべき安全対策

Google Workspaceの導入を進め、社員用のアカウントや問い合わせ窓口などの「受け皿」が整ったら、いよいよ実際の業務で利用を始める段階になります。

しかし、メールの配送先を切り替えるためにMXレコードを設定する前、あるいは本格的に利用を開始するタイミングで、忘れずに確認しておきたいのが「初期のセキュリティ設定」です。

「セキュリティを厳しくしすぎて、社員がログインできなくなったら困る」

「専任のIT担当者がいないので、どこまで設定すればよいのか分からない」

このように感じる中小企業の担当者も多いのではないでしょうか。

Google Workspaceのセキュリティ設定は、最初からすべてを完璧にする必要はありません。

まずは組織全体を管理できる「管理者アカウント」をしっかり守り、その後、一般ユーザー（社員）へ段階的に設定を広げていくことが重要です。

この記事では、Google Workspaceの利用開始前に最低限確認しておきたいセキュリティ設定と、社員へ無理なく展開するための進め方を解説します。

結論からいうと、Google Workspaceの初期セキュリティ設定では、まずスーパー管理者を保護し、その後に一般ユーザーへ段階的に対策を広げることが重要です。

特に管理者アカウントの2段階認証、パスワード設定、復旧手段、管理専用アカウントの分離は、できるだけ利用開始前に確認しておきましょう。

なぜGoogle Workspaceの利用開始前にセキュリティ設定が必要なのか

Google Workspaceでは、Gmailだけでなく、Googleドライブ、カレンダー、各種管理機能など、業務で利用するさまざまな情報をクラウド上で管理します。

インターネット環境があれば場所を問わず利用できるのは大きなメリットですが、その分、アカウントが不正利用されないようにするための設定も重要になります。

初期設定の遅れが招く不正アクセスと情報漏洩リスク

セキュリティ対策を後回しにすると、たとえば次のようなリスクがあります。

• 第三者によるアカウントの乗っ取り
  推測しやすいパスワードや、ほかのサービスと同じパスワードを利用していると、第三者にログインされる可能性があります。
• 社内データへの不正アクセス
  アカウントが侵害されると、権限の範囲によってはメールやファイルなどの業務情報へアクセスされる可能性があります。
• なりすましメールの送信
  社員のアカウントを不正利用され、取引先などへ本人を装ったメールを送信される可能性もあります。

特に注意したいのが、組織全体を管理できる「スーパー管理者」のアカウントです。

最初からすべてを厳しくする必要はない

セキュリティ対策というと、「すべてのユーザーへ一度に厳しい制限を設定しなければならない」と考えてしまうかもしれません。

しかし、十分な周知をせずに認証ルールを変更すると、社員がログインできなくなり、業務に影響する可能性があります。

そのため、導入初期は次の順番で進めると分かりやすくなります。

1. スーパー管理者を保護する
2. パスワードや復旧方法を確認する
3. 一般ユーザーへ2段階認証を案内する
4. 必要に応じて全社で強制する
5. テストアカウントで動作を確認する

「すべてを一度に設定する」のではなく、重要度の高いところから順番に整えていきましょう。

最優先でスーパー管理者（特権管理者）を保護する

Google Workspaceのセキュリティ設定で最優先したいのが、スーパー管理者（特権管理者）の保護です。

スーパー管理者が侵害されると影響が大きい

スーパー管理者は、Google Workspaceの組織全体に対して非常に広い管理権限を持っています。

たとえば、次のような操作が可能です。

• ユーザーの追加・削除
• 管理者権限の設定
• セキュリティ設定の変更
• ライセンスやサービスの管理
• ユーザーアカウントの復旧対応

そのため、一般ユーザーのアカウントよりも優先して対策する必要があります。

Googleも管理者への2段階認証を必須化している

Googleでは現在、Google Workspaceなどの管理者アカウントに対して、2段階認証（2-Step Verification：2SV）の必須化を段階的に進めています。

適用時期は組織や利用しているサービスなどによって異なるため、管理コンソールに表示される通知を確認してください。

Google側から強制される時期を待つのではなく、導入時点で管理者自身が2段階認証を設定しておくことをおすすめします。

2段階認証は「利用許可→管理者登録→社員展開」の順に進める

Google Workspaceでは、「管理者本人が2段階認証を設定する操作」と「組織として2段階認証を利用できるようにする操作」は別になっています。

ここを混同しないことが重要です。

ステップ1：管理コンソールで2段階認証を利用できるようにする

まず、スーパー管理者でGoogle管理コンソールへログインします。

設定場所は、基本的に次のとおりです。

Google管理コンソール → セキュリティ → 認証 → 2段階認証プロセス

ここで「ユーザーが2段階認証プロセスを有効にできる」状態にします。

この時点では、いきなり全社員へ強制する必要はありません。

まずは利用できる状態にして、管理者自身の登録を進めます。

ステップ2：管理者本人が2段階認証を登録する

次に、管理者自身のGoogleアカウント設定から2段階認証を登録します。

管理者本人が設定する場所はGoogle管理コンソールではなく、Googleアカウント側です。

スマートフォンや認証アプリ、セキュリティキー、パスキーなど、自社の運用に適した認証方法を登録します。

ステップ3：一般ユーザーへ登録方法を案内する

管理者自身の設定が完了したら、一般ユーザーにも2段階認証の利用を案内します。

すぐに強制するのではなく、

• なぜ設定するのか
• どの認証方法を利用するのか
• いつまでに登録するのか
• スマートフォンを紛失した場合はどうするのか

といった点をあらかじめ周知しておくと、導入時の混乱を減らせます。

ステップ4：必要に応じて強制適用する

登録状況を確認し、運用上問題がないと判断できたら、必要に応じて2段階認証を強制します。

一般ユーザーへの強制適用は、Google Workspace利用開始前の絶対条件ではありません。

一方で、管理者や重要な業務情報を扱うユーザーについては、優先して2段階認証を適用することをおすすめします。

社員への設定案内、強制までの進め方、機種変更時の対応は、「Google Workspaceの2段階認証の運用方法」で詳しく解説しています。

Google Workspaceで利用できる主な2段階認証方式

Google Workspaceでは複数の認証方式を利用できます。

それぞれ利便性やセキュリティの特徴が異なるため、自社の利用環境に合わせて選択しましょう。

Googleプロンプト

スマートフォンに「ログインしようとしていますか？」といった確認通知を表示し、本人が承認する方式です。

メリット

• 操作が分かりやすい
• 数字を毎回入力する必要がない
• スマートフォンを利用している社員へ展開しやすい

注意点

仕事用Googleアカウントでログインしたスマートフォンが必要です。

中小企業で初めて2段階認証を導入する場合にも比較的利用しやすい方式です。

認証アプリ（Google Authenticatorなど）

認証アプリに表示される、一定時間ごとに変わる確認コードを入力する方式です。

メリット

• インターネット接続がなくてもコードを生成できる
• SMSを利用しなくても認証できる

注意点

毎回アプリを開き、表示されたコードを入力する必要があります。

SMS・音声通話

登録した電話番号にSMSや音声通話で確認コードを受け取り、ログイン画面へ入力する方式です。

メリット

• 専用アプリを導入しなくても利用できる
• 導入方法を理解しやすい

注意点

SMSなどで受け取った確認コードをフィッシングサイトへ入力してしまうリスクがあります。

より強いセキュリティが必要なアカウントでは、ほかの方式も検討しましょう。

セキュリティキー

USBやNFCなどを利用する物理的な認証デバイスです。

メリット

• フィッシングに強い
• 管理者や重要なアカウントの保護に向いている

注意点

物理キーの購入・管理が必要です。

管理者向けに利用する場合は、紛失や故障に備えて予備のキーを用意することも検討してください。

パスキー

スマートフォンやパソコンの指紋認証、顔認証、画面ロックなどを利用して本人確認を行う方式です。

メリット

• フィッシングに強い
• 対応端末では認証操作が簡単
• パスワードを入力せずログインする方法としても利用できる

注意点

端末やOSがパスキーに対応している必要があります。

また、パスキーを2段階認証の確認手段として利用する場合と、パスワード入力そのものを省略する「パスワードレスサインイン」として利用する場合では設定が異なります。

初期導入時は、無理に全社員へ同じ方式を指定せず、管理者や重要ユーザーから強い認証方式を検討すると進めやすいでしょう。

バックアップコードは「通常の認証方法」ではない

バックアップコードは、スマートフォンの紛失などによって普段利用している2段階認証が使えなくなった場合に備える緊急用の認証手段です。

日常的に利用するものではなく、安全な場所に保管しておきましょう。

一般ユーザーへの2段階認証は段階的に導入する

一般ユーザーへ2段階認証を展開する場合、突然「明日から全員必須です」と変更するのはおすすめできません。

事前に登録期間を設けて進めると、ログインできない社員が発生するリスクを減らせます。

社内展開の基本的な流れ

1. 事前に社員へ周知する
2. 社員自身に2段階認証を登録してもらう
3. 管理者が登録状況を確認する
4. 未登録者を個別にフォローする
5. 必要に応じて強制適用する

社員へ配布する案内には、画面キャプチャを使った簡単な登録手順を用意しておくと分かりやすくなります。

新規ユーザーには登録猶予期間を設定できる

組織で2段階認証を強制する場合、新しく追加されたユーザーには「新しいユーザーの登録期間」を設定できます。

現在のGoogle Workspaceでは、1日から6か月の範囲で設定できます。

この期間中は、新規ユーザーがパスワードのみでログインし、2段階認証を登録するための時間を確保できます。

たとえば新入社員へアカウントを発行する場合に、初回ログイン直後から2段階認証が原因でログインできなくなるトラブルを防ぎやすくなります。

パスワードポリシーも利用開始前に確認する

2段階認証だけでなく、パスワードについても初期段階で確認しておきましょう。

パスワードの長さを設定する

Google Workspaceの管理コンソールでは、ユーザーが利用するパスワードについて、最小・最大文字数を設定できます。

設定できる範囲は8文字から100文字です。

Googleでは長いパスワードを推奨しており、12文字以上を安全なパスワード作成の目安として案内しています。

そのため、会社のルールとしても12文字以上など、十分な長さを基準として検討するとよいでしょう。

ただし、社員が覚えられないほど複雑なパスワードを強制し、メモや使い回しが増えてしまっては本末転倒です。

文字数と運用しやすさのバランスを考えて設定してください。

「安全なパスワードを適用する」設定も確認する

Google Workspaceには、弱いパスワードの利用を制限するための「安全なパスワードを適用する」設定があります。

単純に、

「大文字を1文字」

「数字を1文字」

「記号を1文字」

といった文字種を管理者が個別に指定する方式ではありません。

Googleによるパスワード強度の判定と、文字数の設定を組み合わせて利用します。

初期パスワードはそのまま使わせない

管理者がユーザーを作成するときに設定する初期パスワードは、そのまま継続して利用させないようにしましょう。

ユーザー作成時やパスワード再設定時には、

「次回ログイン時にパスワードの変更を求める」

設定を利用します。

社員が初回ログインしたときに、自分だけが知っているパスワードへ変更する運用にしておくことが重要です。

管理者アカウントの復旧方法も準備しておく

セキュリティを強化しても、管理者自身がログインできなくなってしまっては管理作業ができません。

そのため、「守る設定」と同時に「復旧するための準備」も必要です。

再設定用メールアドレス・電話番号を確認する

管理者アカウントでは、利用可能な再設定用メールアドレスや電話番号などの復旧情報を最新の状態にしておきましょう。

ただし、スーパー管理者については、組織のセルフリカバリ設定や状況によって、これらの情報だけで必ず復旧できるとは限りません。

複数の復旧方法を用意しておくことが重要です。

スーパー管理者は複数用意する

Googleでは、スーパー管理者を1人だけにしない運用を推奨しています。

信頼できる担当者ごとにスーパー管理者アカウントを用意しておけば、1人がログインできなくなった場合でも、別のスーパー管理者が復旧対応を行えます。

予備の認証手段を安全に保管する

管理者については、次のようなバックアップ手段も検討しましょう。

• 予備のセキュリティキー
• バックアップコード
• 別のスーパー管理者による復旧対応
• Googleが案内する管理者アカウントの復旧手順

なお、管理者が「全社員のバックアップコードを一括して保管する」といった運用はおすすめしません。

大量のバックアップコードをまとめて保管すると、その保管場所自体が重要なセキュリティリスクになります。

各ユーザーの端末紛失時の対応やバックアップコード管理など、継続的な2段階認証の運用については別の記事で詳しく解説します。

スーパー管理者アカウントを日常業務に使わない

管理者アカウントを強く保護するだけでなく、「どのように使うか」も重要です。

特にスーパー管理者は、日常のメールやWebブラウジングなどに利用しないようにします。

管理者アカウントを共有しない

たとえば、

admin@example.com

という1つの管理者アカウントを複数人で共有する運用は避けましょう。

管理者ごとに個別のアカウントを作成します。

これにより、管理コンソールの監査ログでも「誰が操作したのか」を確認しやすくなります。

スーパー管理者は2名以上を目安にする

担当者が1人だけの場合、その人が退職・休職したり、アカウントへログインできなくなったりすると、組織全体の管理に支障が出る可能性があります。

スーパー管理者は、信頼できる担当者を複数用意しておきましょう。

管理専用アカウントと日常業務用アカウントを分ける

たとえば総務担当の高橋さんの場合、次のように分けます。

日常業務用

m.takahashi@example.com

管理作業用

admin-m.takahashi@example.com

普段のメールやカレンダーなどは日常業務用アカウントを利用し、Google Workspaceの重要な管理作業をするときだけ管理専用アカウントへ切り替えます。

管理者アカウントが外部のメールやWebサイトに触れる機会を減らすことで、アカウント侵害のリスクを抑えられます。

なお、スーパー管理者以外の管理者権限をどのように分けるかについては、別の記事で詳しく解説します。

特権管理者を日常運用に使い続けないための設計は、「Google Workspaceの管理者権限の分け方」で確認できます。

設定後は必ずログイン確認を行う

セキュリティ設定を変更したら、設定画面を保存して終わりではありません。

実際にログインして、意図した設定になっているか確認しましょう。

管理者アカウントで確認する

管理者アカウントから一度ログアウトし、再度ログインします。

次の点を確認してください。

• 2段階認証が正常に要求されるか
• 登録したスマートフォンや認証方法でログインできるか
• 予備の認証方法が準備されているか
• 管理コンソールへ正常にアクセスできるか

管理者自身がログアウトする前に、別のスーパー管理者や復旧方法を準備しておくと安心です。

テスト用の一般ユーザーで確認する

可能であれば、検証用の一般ユーザーアカウントを1つ作成して確認しましょう。

確認したいポイントは次のとおりです。

• 初回ログインできるか
• 初期パスワードの変更が要求されるか
• ユーザー自身が新しいパスワードへ変更できるか
• パスワードポリシーが想定どおり適用されるか
• 2段階認証の登録画面が表示されるか
• 強制設定をしている場合、想定したタイミングで適用されるか

本番で社員へ展開する前に1アカウントで確認しておくだけでも、設定ミスによるトラブルを減らせます。

【筆者経験】セキュリティ設定は「強さ」だけでなく「展開方法」が重要

筆者が認証基盤の構築やシステム運用、リリースプロセスの改善に関わってきた中でも、利用者へ直接影響するセキュリティ設定を変更するときは、対象者・手順・確認方法を事前に整理することを重視してきました。

セキュリティを強固にしても、社員へ操作方法が伝わっていなければ、ログインできない、設定が完了しない、といったトラブルにつながります。

特に認証方式を変更するときは、

「誰に」

「いつから」

「何を設定してもらうのか」

「設定できない場合は誰に問い合わせるのか」

を事前に決めておくことが重要です。

Google Workspaceでも、いきなり全社員へ強制するのではなく、まず管理者で設定を確認し、社員へ手順を周知し、登録状況を確認してから必要に応じて強制する流れにすると、導入時の混乱を抑えやすくなります。

まとめ｜Google Workspace利用開始前のセキュリティチェックリスト

Google Workspaceの初期セキュリティ設定では、最初からすべてのユーザーへ厳しい制限を設定する必要はありません。

重要なのは、組織全体への影響が大きいところから順番に守ることです。

まずはスーパー管理者を保護し、その後、一般ユーザーへ段階的にセキュリティ設定を展開していきましょう。

最後に、Google Workspaceの本格利用を開始する前に確認しておきたい項目をまとめます。

利用開始前のセキュリティチェックリスト

• スーパー管理者に2段階認証を設定した
• スーパー管理者を複数人で共有していない
• 複数のスーパー管理者を用意した
• 管理専用アカウントと日常業務用アカウントを分けた
• 管理者の復旧方法・予備の認証手段を確認した
• パスワードの最小文字数や強度設定を確認した
• 初期パスワードを初回ログイン時に変更する運用にした
• 一般ユーザーへ2段階認証を導入する方針を決めた
• 全社で強制する場合は事前周知と登録期間を設けた
• 新規ユーザーの登録猶予期間を必要に応じて設定した
• テスト用アカウントでログイン確認を実施した

ここまで確認できていれば、Google Workspaceを実際の業務で利用し始めるための基本的なセキュリティ対策は整っています。

導入後は、社員の追加・退職者アカウントの対応、管理者権限の分担、2段階認証の復旧方法など、日々の運用ルールも整備していきましょう。

次に確認しておきたいこと

Google Workspaceを運用していくと、すべての担当者へスーパー管理者権限を付与するのではなく、「ユーザー管理だけ」「グループ管理だけ」といった形で権限を分ける必要が出てきます。

次は、Google Workspaceの管理者権限を安全に分ける方法について確認していきましょう。

初期設定後の日常ルールは、「Google Workspaceのメール・ファイル管理方法」で整理しています。

導入工程全体に戻って確認したい場合は、「Google Workspaceの導入手順」をご覧ください。

出典・参考情報

• Google Workspace 管理者ヘルプ「Security best practices for administrator accounts」
• Google Workspace 管理者ヘルプ「About 2SV enforcement for admins」
• Google Workspace 管理者ヘルプ「Deploy 2-Step Verification」
• Google Workspace 管理者ヘルプ「Avoid account lockouts when 2-Step Verification is enforced by your organization」
• Google Workspace 管理者ヘルプ「Recover an account protected by 2-Step Verification」
• Google Workspace 管理者ヘルプ「Enforce and monitor password requirements for users」
• Google Workspace 管理者ヘルプ「Create a strong password & a more secure account」