Google ドライブ と第三者認証＆監査（ISMS、プライバシーマーク）後編

情報セキュリティを考える中で、情報セキュリティの第三者認証（ISMSやプライバシーマーク）取得を切り離して考えることは出来なくなってきています。

本ブログの前編では、クラウドを利用しながら新たに第三者認証取得を行い、安全性も高めていくための注意事項について紹介しました。

こちらの「後編」では、DriveChecker を使うことで、第三者認証を取得する際にどの様なメリットがあるか、またリスク管理にどの様に役立つかを紹介していきます。

前編はこちら

法人利用におけるGoogleドライブの「重要な情報資産」について

前編では、当社が第三者認証としてISMSを選択したところまでを紹介しました。審査時には主に以下の項目を中心に監査されることは前回記載した通りです。

つまり、Googleドライブをご利用されている場合、運用上「重要な情報資産」となるものを社内にて定義し、管理していく必要があるということとなります。

なお、ここでピンと来られた方はすごいです。

Googleドライブの情報を、なんと重要な情報資産の定義から除外するだけで、何も対策する必要が無くなります。

※注意：第三者機関による認証審査の際に、なぜ自社利用でのGoogleドライブは重要な情報資産に該当しないかという点を回答出来ることが条件となります

そもそもGoogleドライブに重要な情報資産を置いていないのであれば、何も悩む必要がありませんので、このブログを読む方はそんな方法を取りませんよね？

自社の情報全体を把握され、如何にリスクを管理（許容）しながら、事業進行していくかということに着目され、第三者認証を選択されたはずです。

そのため、検討のうえでやはりGoogleドライブに置かれたファイルは「重要な情報資産」という前提で本ブログを進行していきます。

(ISMS) Googleドライブでの情報資産を整理

当社で着目した重要な情報資産となる対象は下記の様に抽出しました。

個人情報：
お取引先様情報、社員情報、面接応募者情報、退職者情報 ①

個人情報の対象となる情報はあるものの、対象数は多くはありませんでした。

情報資産：
契約書②、お客様提供データ③、メールデータ④、提案資料&お客様環境の情報⑤

こちらの情報の比率は大きく、万一の漏洩時には大きなインパクトがあり、備える必要があると認識出来ました。

ここで、Googleそのものの機能では、上記課題についてどんなセキュリティ対策が出来ているのかを見ていきましょう。

（上記については、別途個別の設定が必要な場合がありますので、ベンダー様などにご相談いただけたらスムーズかと存じます）

いかがでしょうか。
Google標準機能でも意外と対策が出来ていると感じるかと思います。

それでは課題が無いのか？と疑問に感じるはずですので、課題についても考えていきます。

重要な情報資産を管理するためのアクセス履歴や共有状況については、一見「D. レポート機能」で管理可能ですが、何せ直近180日以外の情報を見ることは出来ず、これはどの契約プランでも実は一緒だったりします（Google社には内緒ですよ）。

ということは、ISMS上で課題となる点が少し判ってきたと思います。

Googleドライブを利用していてISMSで課題となる点とは

ISMS取得を検討する中で課題となる点を整理してみました

1. ファイルへのアクセス履歴は？
2. 社内の誰が社外にどんなファイルを共有しているか？
3. 退職者のファイル状況はどうなっているか？
4. ヒューマンエラーへの対策は？

これらを管理するという意味では、Google標準機能では少し不足が出てきます。

1つずつ解説していきます。

「1」のアクセス履歴は、詳細な履歴を確認したい場合、標準機能では不足です。追加費用で Google Vault という機能があり、当社でも使っています。Vault では詳細なアクセス履歴や操作ログを追えるため事故発生後に管理するには有効な機能となります。

「2」の誰がどんなファイルを共有しているかについては、標準機能で1つずつファイルを表示し共有状況を把握することは出来ますが、一覧性がありません。前段でご紹介した「D. レポート機能」においても、残念ながら一覧性がありませんので日々の共有状況を把握し、事故防止に向けて是正していくことには適していません。

「3」は退職者アカウントに直接ログインして1つずつ確認するか、全ファイルを指定ユーザーに転送するという方法もあります。それらが困難であれば退職者アカウントを即時削除するしかありません。

「4」については意外にも Googleドライブを利用しない という設定以外にヒューマンエラーを防ぐ機能がありません。
（実は「ユーザーが外部共有をしようとしたときに警告を出す」ということは出来ますが、あくまで警告のため、ここでは機能が無いと記載しました）

セキュリティ課題解決のための DriveChecker

当社ではGoogle製品を創業以前から16年以上使っており、また Google Workspace（旧名称 G Suite）を販売、導入コンサルティングをしてきた実績もございますので、ISMS審査の前に前段の「2」、「3」、「4」の課題については把握しておりました。

確かに標準機能でもリスク許容という意味で対策をしないことも判断としては可能ですが、ここまで書いてきた通り、漏洩や事故などが起きた場合の経営インパクトが相当大きいため、対策が必要でした。

そこで当社は Google Workspace（旧名称 G Suite）や、インフラ（AWS、GCP）にも精通していることから、課題解決のためのシステム作りが出来るのでは？と考えるに至りました。

この様な経緯があり、ISMS認証初回審査での「年間実施項目管理表」には 上記対策を実現できるシステムを自社開発する とスケジュール。構想から開発完了まで約1年間を経て「DriveChecker」が完成しました。

開発にはあくまでセキュリティを高めながらも、運用に管理者の手間が増えないことを主眼におきました。

最後となりますが、DriveChecker で実現出来たことと、Google標準機能で対応した際の状況について記載いたします。

DrvieChecker が “あるとき” と “ないとき”

DriveChecker では、部署管理機能を用いて、部署と部署管理者を設定し、役割分担のうえで権限管理が可能です。

大きな会社であれば、専門部署に人員を抱えていたりするため対応可能かも知れませんが、そんな恵まれた会社ばかりでは無いことを想定しました。

リリース後この機能は、情報システム部の 1 担当者さんだけに負担を掛ける状況を解消できたとのことで大変喜ばれています。

いかがでしたでしょうか？

皆様が上手に手間少なくセキュリティ対策を行えることを祈って、
本ブログの終わりとしたいと思います。

ありがとうございました。