Google Workspace退職者データ保持ポリシー最適化：VaultとCloud Identity連携でコンプライアンス要件を満たす実践設計

Google Workspaceでは、ユーザーアカウントを削除してもVaultの保持ルールが適用済みのデータは独立して保持されます。この記事では、退職者対応のアカウントライフサイクル設計と国内主要法規への対応方法を整理します。

この記事を読んだほうが良い人

• 100名規模のGoogle Workspaceを管理する情シス担当者
• 退職者アカウントの削除タイミングとデータ保持期間の設計に悩んでいる方
• ISMSや労働基準法などのコンプライアンス要件とGoogle Workspaceの機能連携について知りたい方
• Google Vaultの保持ルール設計とCloud Identityのアカウントライフサイクル管理を最適化したい方

アカウント削除とデータ保持の関係を整理する：Vaultの独立性

Google Vault（Google Workspaceのデータ保持・電子情報開示サービス）を適切に利用していれば、ユーザーアカウントを削除しても、Vaultに保持ルールが適用されているデータは保持されます。

Google Vaultは、Google Workspaceのデータ（Gmail、Google Drive、Google Chat、Google Meetの録画など）を、ユーザーアカウントとは独立して保持する機能を提供します。これは、訴訟対応（eDiscovery）や監査、規制遵守のためにデータの長期保存が必要な場合に非常に重要です。

つまり、ユーザーアカウントの削除とVaultによるデータ保持は、別のプロセスとして管理できます。 退職者アカウントの削除前に、必要なデータがVaultの保持ルールの対象になっていることを確認することが、データ消失のリスクを防ぐ鍵となります。

Google Vaultの保持ルールとMatterの設計

Google Vaultを効果的に活用するためには、保持ルールとMatter（案件）の仕組みを理解し、適切に設計することが不可欠です。

保持ルールの種類と設定

Google Vaultには、大きく分けて「デフォルト保持ルール」と「カスタム保持ルール」の2種類があります。

• デフォルト保持ルール:
  • 組織内のすべてのユーザーと、選択したGoogle Workspaceサービスに適用されるベースラインの保持期間です。
  • カスタム保持ルールが適用されないデータに対して適用されます。
  • 例えば、「すべてのGmailデータを7年間保持する」といった設定が可能です。
• カスタム保持ルール:
  • 特定の組織部門、ユーザー、またはサービスに対して、より詳細な条件（例: 特定のキーワードを含むメール、特定の期間）で適用される保持期間です。
  • デフォルト保持ルールよりも優先されます。
  • カスタム保持ルールは、特定の「Matter（案件）」に紐づけることで、訴訟ホールド（Litigation Hold）として機能させることもできます。訴訟ホールドとは、Matter終了まで対象データの削除を阻止する設定です。

保持ルールを設定する際は、対象サービス（Gmail, Driveなど）、対象組織部門やユーザー、保持期間、およびデータの削除条件（保持期間終了後に自動削除するかどうか）を明確に定義します。

Matter（案件）の活用

Matterは、特定の法的案件や内部調査のために、関連するデータを集約して管理するためのコンテナです。Matterを作成し、それに紐づくカスタム保持ルールを設定することで、そのMatterが終了するまで、対象データは強制的に保持されます。

退職者対応においては、例えば特定の役職者や法的リスクが高いと判断される従業員のデータに対し、個別のMatterを作成し、長期の訴訟ホールドを設定するといった運用が適切です。

データのエクスポート

保持期間が終了したデータや、特定の調査のためにVaultからデータを取得したい場合、エクスポート機能を利用します。エクスポートされたデータはGoogle Cloud Storageに保存され、ダウンロードして分析できます。

Vaultの制約と注意点

Vaultを利用する上で、以下の制約を事前に把握しておく必要があります。

• 保持ルール未設定でアカウントを削除するとデータは永久消失します。 アカウント削除前に保持ルールが正しく適用されているかを必ず確認します。
• VaultはBusiness Plus / Enterprise Standard / Enterprise Plusのライセンスに含まれます。 Business Starter / Business Standardでは別途アドオンが必要です。
• データの検索・エクスポートには管理者権限が必要です。 Vaultにアクセスできる管理者を事前に設定しておきます。

コンプライアンス要件とデータ保持期間の対応表

日本の法規制や情報セキュリティマネジメントの観点から、退職者のデータ保持期間をどのように設定すべきか、主要な要件と推奨される期間をまとめました。

コンプライアンス要件	関連データ	法的保持期間/推奨期間	Vaultでの対応
労働基準法	労働者名簿、賃金台帳、雇入れ・解雇・退職に関する書類、災害補償に関する書類など	5年間 (当分の間3年)	退職者を含む従業員全員のGmail、Driveデータを対象に、カスタム保持ルールで5年間設定。
労働安全衛生規則	健康診断個人票	5年間	健康診断結果が添付されたメールやファイルがある場合、これらも対象に含める。
個人情報保護法	個人情報全般	利用目的達成後、遅滞なく消去する努力義務	利用目的が終了し、かつ他の法的保持義務がない個人情報は、Vaultの保持期間終了後に自動削除されるように設定。
ISMS (ISO 27001)	組織の情報全般	法的・規制要求事項、契約上の義務、事業上の要求事項に基づき組織が定める	組織のセキュリティポリシーに基づき、各情報資産の保持期間を定め、Vaultの保持ルールに反映。特に重要な情報には長期のカスタム保持ルールを設定。
税法	経理関連書類	7年間 (欠損金がある場合は10年間)	経理担当者のメールや会計関連ファイルについて、カスタム保持ルールで7年間 (または10年間) 設定。

補足:

• 上記は一般的な情報であり、個別の企業や業界の特性、契約内容によっては異なる要件が適用される場合があります。必ず専門家（弁護士、税理士など）に確認し、自社のポリシーを定めるようにしてください。
• 労働基準法における「当分の間3年」は、法改正により2020年4月1日から5年に延長されましたが、経過措置として当分の間は3年でも良いとされています。しかし、リスクを考慮すると5年間での保持を推奨します。

Cloud Identityと連携したアカウントライフサイクル設計

Google WorkspaceのユーザーアカウントはCloud Identity（GoogleのIDおよびアクセス管理基盤）の上に成り立っており、Google Workspaceとは別に単独製品としても提供されています。退職者アカウントの管理はこのCloud Identityと連携した管理コンソール操作を通じて、体系的なライフサイクルを設計することが重要です。

1. アカウントの停止 (Suspend)

退職の連絡を受けたら、まずGoogle管理コンソールでユーザーアカウントを「停止」します。

• 目的: ユーザーがGoogle Workspaceサービスにログインできないようにし、不正アクセスや情報漏洩のリスクを即座に低減します。
• 効果: アカウントは存在したままなので、GmailやDriveのデータは保持されます。停止後、管理コンソールでライセンス割り当てを手動で解除することで、ライセンスコストを削減できます。Vaultの保持ルールは引き続き適用されます。

2. データの転送とバックアップ

アカウント停止後、必要に応じてデータを転送またはバックアップします。

• Google Driveデータの転送: 退職者のDriveデータを後任者や共有Driveに転送します。Google管理コンソールから簡単に行えます。
• Gmailデータの転送/アーカイブ: GmailはAdminコンソールのデータ転送機能（Driveのような一括移行）に対応していないため、後任者への自動転送設定（新着メールのみ）や、Vaultからの対象期間エクスポート、サードパーティのメールアーカイブサービス利用などを検討します。
• Google Chat履歴: Vaultで保持ルールを設定していれば、Chat履歴も保持されます。

3. アカウントの削除 (Delete)

必要なデータの転送、バックアップ、そしてVaultでの保持ルール設定が完了したことを確認してから、ユーザーアカウントを削除します。

• タイミング: 法的保持期間がVaultで十分にカバーされ、事業上の必要性がなくなったことを確認してから削除します。組織の規模やコンプライアンス要件に応じて、猶予期間は個別に設定します。
• 注意点: アカウントを削除すると、そのアカウントに紐づくGoogle Workspaceのデータ（Gmail、Driveなど）は一定期間後に完全に消去されます。しかし、Vaultで保持ルールが適用されているデータは、アカウントが削除されてもVault内に保持され続けます。 この点を理解しておくことが重要です。

ライフサイクル設計の例

1. 退職日: アカウントを停止し、管理コンソールからライセンスを手動で解除。
2. 退職後1週間以内: Driveデータの後任者への転送、Gmail転送設定など、緊急性の高いデータ処理を完了。
3. 退職後1ヶ月〜3ヶ月: 最終的なデータ転送や確認が完了したことを確認。
4. 退職後3ヶ月経過後: Vaultの保持ルールでデータが適切に保持されていることを確認し、Google Workspaceからアカウントを削除。

このライフサイクルは、組織の規模やコンプライアンス要件、事業上のリスク許容度に応じて調整します。

導入前のチェックリスト

Google Workspaceの退職者データ保持ポリシーを最適化する前に、以下の点を確認しましょう。

• 社内規定の確認: 情報セキュリティポリシー、データ保持ポリシー、退職者対応規定など、既存の社内規定が整備されているか。法的要件（労働基準法、個人情報保護法など）との整合性は取れているか。
• 関係部署との連携: 人事部門、法務部門、監査部門など、関係する部署とデータ保持の要件やフローについて合意形成ができているか。
• Google Vaultのライセンス: Google Vaultを利用するには、適切なGoogle Workspaceエディション（Business Plus、Enterprise Standard/Plusなど）のライセンスが必要です。
• 既存データの棚卸し: どのサービスにどのようなデータが存在し、どれが法的保持の対象となるか、現状を把握しているか。
• テスト環境での検証: 保持ルールやアカウント削除の挙動を、本番環境に適用する前にテスト環境で十分に検証する計画があるか。
• ドキュメント化: 設計した保持ルール、アカウントライフサイクル、緊急時の対応手順などをドキュメント化し、関係者で共有する計画があるか。

まとめ

Google Workspaceにおける退職者アカウントのデータ保持は、単にアカウントを削除するだけでなく、Google Vaultを活用したコンプライアンス要件への対応と、Cloud Identityと連携したアカウントライフサイクルの設計が重要です。

「アカウント削除 ≠ データ消失」というVaultのデータ独立性を理解し、労働基準法やISMSなどの法的・規制要件に基づいた保持ルールをVaultで設定することで、情報漏洩のリスクを低減し、監査対応力を強化できます。情シス担当者としては、人事・法務部門と密に連携し、自社のポリシーに合致した最適なデータ保持設計を構築することが求められます。退職者アカウント管理の設計に役立てていただければ十分です。

コーポレートITのご相談はお気軽に

この記事で書いたような業務改善・自動化の設計から実装まで、DRASENASではコーポレートITの現場に寄り添った支援を行っています。 「まず相談だけ」でも大歓迎です。DRASENAS 公式サイトからお気軽にどうぞ。