これらのセキュリティのベスト プラクティスは、Google Workspace と Cloud Identity の管理者を対象としています。
管理者は、Google エンドポイント管理の機能と設定を使用して、ユーザーの個人用デバイス（BYOD）と組織の会社所有デバイスの仕事用データを保護できます。その他のセキュリティ機能により、アカウント保護、きめ細かいアクセス制御、データ保護が強化されます。以下のチェックリストを確認して、組織のデバイス セキュリティ目標を満たすように設定されていることを確認します。
すべてのモバイル デバイス
|
|
パスワードを必須にする 管理対象となるモバイル デバイス上のデータを保護するには、ユーザーによるデバイスの画面ロックまたはパスワードの設定を必須にします。詳細管理を適用したデバイスでは、パスワードの種類、強度、最小文字数も設定できます。 |
|
|
紛失したデバイスから企業データをロックまたはワイプする デバイスを紛失した場合や従業員が離職した場合、デバイス上の仕事用データは危険な状態にあります。そのような場合は、デバイスからユーザーの仕事用アカウントをワイプすれば、仕事用データもすべて消去できます。詳細管理を適用したデバイスは、デバイス全体をワイプできます。この機能は、Cloud Identity 無償版ではご利用いただけません。 |
 |
仕事で使用する Android アプリを管理する 仕事に使用する Android アプリをウェブアプリとモバイルアプリのリストに追加して管理対象アプリにすることで、不正アクセスを防止します。管理対象セキュリティ アプリを強制的にインストールしたり、紛失したデバイスまたは盗難があったデバイスから管理対象アプリを削除したりすることができます。ユーザーが仕事用アカウントを削除すると、管理対象アプリはデバイスから自動的に削除されます。 |
詳細管理が適用されているモバイル デバイス
|
|
デバイスの暗号化を必須にする 暗号化を使用すると、デバイスのロックが解除されている場合にのみ読み取れる形式でデータが保存され、デバイスのロックを解除すると、データの暗号化が解除されます。暗号化により、デバイスの紛失や盗難が発生した場合の保護が強化されます。 |
|
|
デバイス制限を適用する Android デバイスと Apple iOS デバイスでユーザーがデータを共有、バックアップする方法を制限できます。たとえば、Android デバイスでの USB ファイル転送や、iOS デバイスでの個人用クラウド ストレージへのバックアップを禁止することができます。また、デバイスやネットワークの一部の設定へのアクセスを制限することも可能です。たとえば、デバイスのカメラをオフにしたり、Android ユーザーが Wi-Fi 設定を変更できないようにしたりできます。 |
|
|
不正使用されたデバイスをブロックする 不正使用の疑いがある Android デバイスや Apple iOS デバイスとの同期をユーザーの仕事用アカウントで停止します。デバイスの制限を解除するプロセスであるジェイルブレイクまたはルート権限取得が行われると、デバイスが不正使用された状態になります。潜在的なセキュリティ上の脅威とみなされます。 |
|
|
ポリシーに準拠していない Android デバイスを自動的にブロックする デバイスが組織のポリシーを遵守していない場合は、そのデバイスによる仕事用データへのアクセスを自動的にブロックし、ユーザーに通知できます。たとえば、管理者がパスワードの最小文字数を 6 文字に設定したにもかかわらず、ユーザーがデバイスのパスワードを 5 文字に変更した場合、パスワード ポリシーを遵守していないため、そのデバイスは非準拠と見なされます。 |
|
Android デバイスでアカウントの自動ワイプを有効にする Android デバイスが指定の日数使用されていない場合、仕事用アカウントのデータと管理対象アプリを自動的に削除します。これにより、データ漏洩のリスクを軽減できます。 |
|
仕事で使用する iOS アプリを管理する 仕事に使用する iOS アプリをウェブアプリとモバイルアプリのリストに追加して管理対象アプリにすることで、不正アクセスを防止します。管理対象アプリは、紛失したデバイスまたは盗難にあったデバイスから削除できます。ユーザーが仕事用アカウントを削除すると、管理対象アプリはデバイスから自動的に削除されます。 |
|
危険な可能性がある Android アプリをブロックする デフォルトでは、Play ストア以外の提供元不明のアプリを Android モバイル デバイスにインストールできないようになっています。アプリは Google Play プロテクトによって自動的にスキャンされ、危険性がある場合はブロックされます。これらの機能は、データ漏洩、アカウントへの不正アクセス、データの引き出し、データ削除、不正なソフトウェアのリスクを軽減できます。すべてのユーザーに対して、[提供元不明のアプリのインストールをブロックする] がオンになっており、[ユーザーが Google Play プロテクトをオフにできるようにする] がオフになっていることを確認します。 |
仕事用データにアクセスするパソコン
|
|
Endpoint Verification を有効にする ノートパソコンやデスクトップ パソコンを Endpoint Verification で管理すると、コンテキストアウェア アクセスを使用して組織のデータを保護し、組織のデータにアクセスするデバイスの詳細情報を取得できます。 |
|
|
パソコン版 Google ドライブによる同期を会社所有のデバイスに制限する パソコン版ドライブを使用すると、Mac パソコンまたは Windows パソコン上でブラウザを使用せずにドライブ ファイルを操作できます。パソコン版ドライブを、デバイス一覧に登録されている会社所有デバイスのみに許可することで、組織のデータの公開を制限することができます。 |
|
|
Windows 用 Google 認証情報プロバイダ（GCPW）を設定する ユーザーは仕事用の Google アカウントを使用して Windows 10 パソコンにログインできるようになります。GCPW は、2 段階認証プロセスとログイン時の本人確認にも対応しています。また、Google のユーザー名とパスワードを再入力しなくても、Google Workspace サービスやその他のシングル サインオン（SSO）アプリにアクセスできます。 |
|
|
会社所有の Windows パソコンでユーザー権限を制限する Windows デバイス管理を使用すると、会社所有の Windows 10 パソコンでユーザーが実行できる操作を制御できます。Windows に対するユーザーの管理者権限レベルの設定や、Windows のセキュリティ、ネットワーク、ハードウェア、ソフトウェアの設定を適用したりすることもできます。 |
全デバイスを対象としたその他のセキュリティ オプション
|
|
ユーザーのアカウントに対する不正アクセスを防ぐ ユーザーが 2 段階認証プロセス（2SV）で Google アカウントにログインするときに、追加の本人確認を必須とします。この確認方法には、物理的なセキュリティ キー、ユーザーのデバイスに組み込まれたセキュリティ キー、テキスト メッセージや電話に音声で届くセキュリティ コードなどがあります。 承認されていない人物がユーザー アカウントにアクセスしようとしている疑いがある場合、その人物に対して追加のセキュリティ保護用の質問や本人確認画面が表示されます。Google エンドポイント管理を使用する場合、管理対象のモバイル デバイス（仕事用アカウントにアクセスするために通常使用するデバイス）でユーザーに本人確認を行ってもらうことができます。追加の本人確認を設定することで、承認されていない人物がユーザー アカウントに不正アクセスする可能性が大幅に低下します。 |
|
|
コンテキストアウェア アクセスを使用して Google アプリへのアクセスを条件付きで許可する ユーザーの ID やリクエストのコンテキスト（国/地域、デバイスのセキュリティ状況、IP アドレス）に基づいて、さまざまなアクセスレベルを設定できます。たとえば、モバイル デバイスが特定の国や地域の外部にある場合、またはデバイスが暗号化とパスワードの要件を満たさない場合は、モバイル デバイスからの Google アプリ（ウェブアプリとモバイルアプリ）へのアクセスをブロックできます。また、契約社員には会社が管理する Chromebook でのみ Google ウェブアプリへのアクセスを許可することも可能です。 |
|
|
Google Workspace のデータにアクセスできるアプリを制御する 組織で管理するモバイルアプリを設定します。アプリのアクセス制御を使用して、アプリがアクセスできるサービスを指定することもできます。これにより、ユーザーが悪意のあるアプリに誘導されて、仕事用データへのアクセスを誤って許可してしまうのを防げます。アプリのアクセス制御はあらゆるデバイスに有効で、BYOD デバイスと会社所有デバイスの両方で未承認のアプリによるアクセスをブロックします。 |
|
|
Google ドライブ、Google ドキュメント、Google スプレッドシート、Google スライド、Gmail でセンシティブ データを特定する データ損失防止（DLP）ポリシーを設定して、政府機関発行の個人 ID などのセンシティブ データを保護します。これらのポリシーでは多くの一般的なデータタイプを検出可能で、さらにカスタム コンテンツ検出項目を作成してビジネス固有のニーズを満たすこともできます。DLP は、ソースとアプリケーション レベルでデータを保護するもので、デバイスやアクセス方法全体に適用されます。 |
Google、Google Workspace、および関連するマークとロゴは、Google LLC の商標です。その他すべての企業名および商品名は関連各社の商標です。