お問い合わせ
SECURITY NOTE — 033

Google Workspace MDMにおける「オフラインアクセス制御」のベストプラティクス：情シスが情報漏洩を防ぐ設定と運用

PUBLISHED2026.04.26
READ10 分
CATEGORYSECURITY

Google Workspace (GWS) を利用する企業にとって、デバイスがオフライン状態になった際のデータアクセス制御は、情報漏洩リスクを軽減するための重要な課題です。本記事では、GWSの管理機能を用いたオフラインアクセス制御の具体的な設定と運用について解説します。

この記事を読んだほうが良い人

  • 100名規模の企業でGoogle Workspaceを運用する情シス担当者
  • BYOD (Bring Your Own Device) 環境における情報漏洩リスクに懸念がある方
  • デバイス紛失・盗難時のデータセキュリティ対策を強化したい方
  • Google Workspace MDMを導入しているものの、オフライン時のデータ管理に不安を感じている方

Google Workspace MDMとオフラインアクセス制御の重要性

企業で利用されるデバイスは、常にインターネットに接続されているとは限りません。出張先の移動中や通信環境が不安定な場所など、オフライン環境で業務を行う機会は少なくありません。このとき、Google ドライブなどに保存された企業データがオフラインでアクセス可能な状態になっていると、デバイスの紛失や盗難、あるいはBYOD端末の利用終了後に、意図せず情報漏洩に繋がるリスクがあります。

MDM (Mobile Device Management) はデバイスのセキュリティを管理するための重要なツールですが、オフライン時のデータアクセス制御は、その機能の中でも特に注意を払うべきポイントの一つです。オンライン時にいくら厳重なアクセス制御をかけていても、デバイスがオフラインになった途端に情報が持ち出せる状態では、セキュリティホールとなりかねません。

管理コンソールでのオフラインアクセス制御設定手順

Google Workspaceでは、管理コンソールからGoogle ドライブのオフラインアクセスを細かく制御できます。ここでは、組織部門（OU: Organizational Unit）ごとに設定を適用する方法を解説します。

1. Google ドライブのオフラインアクセス設定

この設定は、ユーザーがGoogle ドライブのファイルをオフラインで利用できるかどうかを制御します。

  1. Google 管理コンソールにログインします。
  2. 左側のメニューで「アプリ」>「Google Workspace」>「ドライブとドキュメント」と進みます。
  3. 「機能とアプリケーション」タブをクリックします。
  4. 「オフライン」セクションを探し、鉛筆アイコンをクリックして設定を編集します。
  5. 左側の組織部門リストから、設定を適用したい組織部門を選択します。
    • 例えば、全社に適用する場合は最上位の組織部門を選択します。特定の部署のみオフラインアクセスを禁止したい場合は、その部署の組織部門を選択します。
  6. オフラインアクセスのオプションを選択します。
    • オフラインアクセスを許可する: ユーザーはGoogle ドライブのファイルをオフラインで利用できます。デフォルト設定です。
    • オフラインアクセスを許可しない: ユーザーはGoogle ドライブのファイルをオフラインで利用できません。この設定を適用すると、ユーザーはオフライン時にGoogle ドライブのファイルを開いたり編集したりできなくなります。
  7. 「保存」をクリックして変更を適用します。

この設定は、Google ドライブのウェブインターフェースや、Google ドライブ for desktop アプリケーション、モバイル版Google ドライブアプリなど、Google ドライブに関連するすべてのオフラインアクセスに影響を与えます。

2. デバイス管理ポリシーとの連携

GWS MDMは、デバイスそのものの管理を通じて、間接的にオフライン時のデータセキュリティを高めます。

  • エンドポイント管理: Google 管理コンソールの「デバイス」>「モバイルとエンドポイント」>「設定」では、デバイス承認、ブロック、リモートワイプなどのポリシーを設定できます。
    • リモートワイプ: デバイスが紛失・盗難された場合、管理者はそのデバイスから企業データをリモートで消去できます。これにより、デバイスがオフライン状態であっても、次にオンラインになった際にデータが消去されるよう指示を送信できます。
    • パスコード要件: 強力なパスコードを義務付けることで、デバイスがロックされた状態での不正アクセスを防ぎます。
  • Google Credential Provider for Windows (GCPW): Windowsデバイスを管理している場合、GCPWを導入することで、ユーザーはGoogle Workspaceの認証情報でWindowsにログインできるようになります。これにより、WindowsデバイスにもGoogle Workspaceのセキュリティポリシーを適用し、オフライン環境でのデバイス管理を強化できます。GCPWは、Google Workspace管理コンソールの「デバイス」>「モバイルとエンドポイント」>「設定」>「Windows の設定」から設定できます。

デバイス種別ごとの挙動と注意点

オフラインアクセス制御は、デバイスのOSや利用するアプリケーションによってその挙動が異なります。

  • PC (Windows/macOS/Linux):
    • Google ドライブ for desktop: 管理コンソールでオフラインアクセスを「許可しない」設定にした場合、Google ドライブ for desktop はオフラインでのファイル同期やアクセスを行いません。ユーザーが意図的にオフライン同期設定をオンにしようとしても、ポリシーによって拒否されます。
    • ブラウザ: Google Chromeなどでオフラインアクセスを許可している場合、ユーザーは特定のファイルをオフラインで利用できるよう設定できますが、管理コンソールの設定が優先されます。
  • モバイル (Android/iOS):
    • Google ドライブアプリ: 管理コンソールでオフラインアクセスを「許可しない」設定にした場合、Google ドライブアプリはファイルをオフラインで利用可能な状態に保存しません。ユーザーが個別に「オフラインで利用可能にする」設定を試みても、ポリシーによって無効化されます。
    • MDMによるアプリ管理: モバイルMDMでは、Google ドライブアプリのインストールを必須にしたり、特定のアプリからのデータ共有を制限したりするポリシーを設定できます。これにより、オフラインでのデータ持ち出し経路を限定できます。
  • BYOD端末: BYOD端末は従業員個人の所有物であるため、企業が完全にコントロールすることは難しい側面があります。オフラインアクセス制御を適用する際は、以下の点に注意が必要です。
    • ポリシーの明確化: BYOD利用規約にオフラインアクセス制御のポリシーを明記し、従業員に周知徹底します。
    • データワイプの同意: デバイス紛失時にリモートワイプを行う可能性があることを事前に説明し、従業員の同意を得ておくことが重要です。個人のデータも消去される可能性があるため、慎重な運用が求められます。

オフライン時のデータアクセス制御ポリシー例

情報漏洩リスクを低減するためのオフラインアクセス制御ポリシーの例をいくつか示します。

  • 機密性の高い組織部門へのオフラインアクセス禁止: 経営層や研究開発部門など、特に機密性の高い情報を扱う組織部門に対しては、Google ドライブのオフラインアクセスを完全に禁止します。これにより、これらの部署からの情報持ち出しリスクを最小限に抑えます。
  • BYOD端末への厳格なポリシー適用: BYOD端末を使用するユーザーには、オフラインアクセスを許可しない設定を適用します。また、デバイスのパスコード要件を厳しくし、一定期間オフラインが続いた場合にデバイスロックを強制するなどのポリシーも検討します。
  • 一時的なオフライン許可とログ監視: 特定の業務で一時的にオフラインアクセスが必要な場合は、期間限定でオフラインアクセスを許可する組織部門やグループを設定します。その際、オフラインアクセスの利用状況を定期的に監査ログで監視し、不審な挙動がないか確認します。
  • Google ドライブ for desktop の同期設定: Google ドライブ for desktop を利用している場合、同期するフォルダを制限したり、「ストリーミングファイル」オプションを利用してローカルストレージにファイルを保存しない運用を推奨したりすることで、オフライン時のデータ量を最小限に抑えられます。

運用上の注意点とベストプラクティス

オフラインアクセス制御は設定して終わりではありません。継続的な運用と従業員への教育が不可欠です。

  • 定期的な監査と監視: Google Workspaceの監査ログを利用して、オフラインアクセスの設定状況や、ポリシーに反する挙動がないかを定期的に確認します。特に注目すべき監査ログのカテゴリは以下の3つです。

    • 管理者監査ログ: オフラインアクセス設定を変更した操作者と日時を追跡できます。意図しない設定変更や権限昇格がないかを検知するうえで重要です。
    • ドライブ監査ログ: ファイルのダウンロードや外部共有のイベントを記録します。オフラインアクセスを禁止した組織部門のユーザーが短期間に大量ダウンロードを行っていないか確認するのに役立ちます。特定日時に集中したダウンロードは、退職予定者や情報持ち出しの予兆として確認対象になります。
    • デバイス管理ログ: 管理対象デバイスの登録・解除・ポリシー変更を記録します。管理下から外れたデバイスにオフラインキャッシュが残っていないか、デバイス解除直前の挙動をこのログから確認できます。

    月次でこれらのログをレビューする体制を設けると、異常の早期検知につながります。Google Workspace Business Plus以上のエディションであれば、BigQuery Exportを使って監査ログを長期保管・集計することも選択肢に入ります。

  • 従業員への教育と周知: オフラインアクセス制御の目的と、それが情報セキュリティにどのように貢献するかを従業員に説明します。ポリシー違反が情報漏洩に繋がるリスクがあることを理解してもらい、セキュリティ意識を高めるための教育を継続的に実施します。

  • ユーザーからのフィードバックへの対応: オフラインアクセス制限を展開すると、「出張中にプレゼン資料を確認できなくなる」「フライト中にファイルが開けない」という声が現場から上がることがあります。こうした状況への対応として、以下の方針が現場との摩擦を減らすうえで有効です。

    • 例外申請フローを整備する: 業務上の理由でオフラインアクセスが必要な場合に限り、上長承認と情シスの審査を経て一時的に例外設定を行う仕組みを設けます。例外を属人的な口約束で処理しないことで、管理の一貫性を保てます。
    • 代替手段を案内する: 事前に必要ファイルをダウンロードしておく方法や、Google スライドのオフラインキャッシュ機能の利用を案内することで、ユーザーの業務を止めずにポリシーを維持できます。
    • 段階的展開を行う: いきなり全社に制限をかけると問い合わせが集中します。まず機密性の高い組織部門（経営層・人事・研究開発など）に先行適用し、2〜4週間の運用でFAQを整備してから全社展開する流れが現実的です。パイロット期間中に収集した問い合わせパターンを整理しておくと、展開後の情シス負荷を大幅に下げられます。

  • デバイス紛失・盗難時の緊急対応フロー: 万が一デバイスが紛失または盗難された場合に備え、迅速なリモートワイプやパスワードリセットなどの緊急対応フローを確立しておきます。従業員が紛失を報告する手順も明確にし、対応時間を最小限に抑えることが重要です。

  • Context-Aware Access (CAA) との組み合わせ: Google WorkspaceのContext-Aware Access (CAA) を利用することで、デバイスの場所、IPアドレス、セキュリティ状態などのコンテキストに基づいて、より詳細なアクセス制御ポリシーを適用できます。例えば、「信頼できないネットワークからのアクセスは禁止するが、社内ネットワークからは許可する」といった高度な設定が可能です。MDMとCAAを組み合わせることで、オフラインアクセス制御だけでなく、オンライン時のセキュリティも強化できます。

まとめ

Google Workspace MDMにおけるオフラインアクセス制御は、情報漏洩リスクを軽減するための重要なセキュリティ対策です。Google ドライブのオフラインアクセス設定を組織部門ごとに適切に構成し、デバイス管理ポリシーと連携させることで、オフライン環境でのデータ持ち出しリスクを大幅に低減できます。

情シス担当者は、これらの設定手順を理解し、自社のセキュリティポリシーに合わせた運用を確立することが求められます。特にBYOD環境においては、従業員への明確な周知と同意形成が成功の鍵となります。段階的な展開とユーザーフィードバックへの対応を組み込んだ運用設計にすることで、現場の反発を最小限に抑えながらポリシーを定着させることができます。監査ログの定期レビューと継続的な従業員教育を組み合わせ、変化する脅威に対応できる体制を着実に構築していくことが、企業の情報を守るうえで不可欠です。

コーポレートITのご相談はお気軽に

この記事で書いたような業務改善・自動化の設計から実装まで、DRASENASではコーポレートITの現場に寄り添った支援を行っています。 「まず相談だけ」でも大歓迎です。DRASENAS 公式サイトからお気軽にどうぞ。

CONTACT

御社の IT 部門、ここにあります。

「ITのことはあまりわからない」── そのような状態からで、まったく問題ございません。まずはお気軽にご相談ください。

無料相談を予約する → サービス詳細を見る
一社ずつ、一から。