カナダのデータ セキュリティ要件に沿った Google Workspace セキュリティ ガイダンスを公開

※この投稿は米国時間 2023 年 2 月 15 日に、Google Cloud blog に投稿されたものの抄訳です。

オフィス同士の連携が強まるなか、Google は Google Workspace をはじめとする信頼性の高いクラウド サービスを提供することで、共同作業が容易な職場環境の整備に世界中で貢献してきました。カナダ政府（GC）では、政府機関によるクラウド サービスの使用に関して一定の基準を定めています。今回新たにリリースした Google Workspace セキュリティ ガイダンスは、このような GC の基準を守りつつ、Google Workspace ツールを導入するための手順を示すことで、政府機関がコンプライアンスを達成できるようにすることを目的としています。このガイダンスによって、カナダの組織がセキュリティに妥協することなく共同作業できるようになります。

Google Workspace セキュリティ ガイダンスは、CIS ベンチマークに沿って基本的なセキュリティ管理の方法を示すものです。具体的には、ベスト プラクティスや実装方法を紹介し、カナダの公共機関の各部門が Google Workspace を安全に導入し、データ保護を確立できるように支援します。組織においてリモートワーク環境の導入、管理、保護を効果的に行うためには、データのセキュリティ、プライバシー、所在地、主権が重要な支柱となります。組織の各部門がクラウドデータに関する厳格な基準を満たし、データ自体とその処理方法を常時、完全に管理するために、Google Workspace セキュリティ ガイダンスをお役立ていただけます。なお、関連する Google Workspace サービスを提供する目的以外で、Google がお客様のデータを使用することはありません。

Google Cloud のセキュリティへの取り組み

カナダの公共機関に求められるプライバシーとコンプライアンスの要件は、進化し続けています。最近では、ブリティッシュ コロンビア州政府の Bill 22 に変更が加えられ、一定のセキュリティ対策を実施してデータが保護されると保証されている場合に限り、政府機関がカナダ国外にあるクラウド ソリューションにデータを保存できるようになりました。Google Cloud は、こうしたコンプライアンス基準の変化に対応し、さまざまな地域に広がるお客様のニーズを満たすよう努めています。また、コンプライアンス基準だけでなく、情報セキュリティのリスク管理や報告義務などの各種要件を満たす安全なソリューションを提供すべく、継続的に取り組んでいます。

セキュリティ ガイダンスを実装する

Google Workspace のセキュリティ ガイダンスは、こちらの GitHub リポジトリで公開されています。カナダの大小さまざまな規模の公共機関は、このガイダンスに従うことで、安心して Google Workspace を導入することができます。また、管理者は Google Workspace 管理コンソールを使って、組織内のユーザーのリソースやセキュリティ設定、Google サービスを 1 か所で管理できます。セキュリティ ガイダンスのドキュメントには、Google Workspace に含まれるセキュリティ ツールを利用する場面や使い方などの推奨事項が記載されています。

セキュリティ センター

​Google Workspace セキュリティ センターでは、セキュリティに関する詳細情報や分析情報のほか、ご利用の Google Workspace ツールに関する情報を視覚的に把握して管理できます。その中の [セキュリティの状況] ページには、セキュリティ ガイダンスに記載されたセキュリティ管理の実装に関する情報が提供されています。セキュリティ管理者は、[セキュリティの状況] ページに示されている推奨事項を組織のセキュリティ設定と比較することで、適切なアプローチを取れているかチェックしたり、セキュリティやプライバシーの問題に適宜対処したりできます。

クライアントサイド暗号化

公共機関では、機密データの扱いや、セキュリティ基準への対応の遅れ、データのサイロ化など、さまざまな問題を解決しなければならず、データの管理、保護やプライバシーに関する要件は、大きな課題となって立ちはだかっています。そうした状況において、データ主権とコンプライアンスに関する要件を満たすために役立つのがクライアントサイド暗号化（CSE）です。Google Cloud では、保存時でも転送中でもデータはすべてデフォルトで暗号化され、たとえ不正使用を試みようとしても、読み取ることができないようになっています。デフォルト モードでは Google がお客様に代わって暗号鍵を管理しますが、公共機関のお客様は、厳しいセキュリティ要件を満たすためにより高いレベルのコントロールが必要になります。Google Workspace の CSE を利用すれば、各部門が暗号鍵を直接管理して、Google を含む任意の機関や人物が、鍵なしで顧客データを解読できないようにすることが可能です。

ゼロトラストのアプローチ

Google Workspace はゼロトラストのアプローチに基づいているため、ご利用になるコラボレーション ツールでもゼロトラストの要件が満たされます。Google Workspace に実装されているゼロトラストは、「特権ネットワークの排除」、「ユーザーとデバイスへのフォーカス」、「認証の継続的適用」の 3 原則に従っています。さらに、フィッシング、マルウェア、ランサムウェアなどのサイバー攻撃を阻止するための最新の保護対策を常時適用し、どこからでも安心して共同作業を行えるようにしています。ゼロトラストをさらに推し進めてセキュリティ対策を強化したい場合は、BeyondCorp Enterprise をご利用いただけます。これにより、Google Workspace アプリだけでなく、Google Cloud や​他のクラウド、オンプレミスでホストされている組織リソースも保護できます。

カナダにおける取り組み

Google Cloud はデータのプライバシーとセキュリティを引き続き最重要課題と捉え、カナダ政府に高品質のツールを提供できるよう取り組んでいます。クラウド環境を対象とした Google Cloud のセキュリティ ガイダンスや Protected B ランディング ゾーンの提供は、カナダのセキュリティ要件の変化に即した Google ツールをご利用いただけるようにするための手段の一例です。さらに、カナダ政府とのクラウド フレームワーク合意に基づいた Google Workspace の提供も実施しています。

Google Workspace セキュリティ ガイダンスの一覧は、GitHub リポジトリでご確認ください。