そもそも「クライアントサイド暗号化」って何をしてくれるのか
Google Workspaceを会社で使っている場合、GmailやGoogleドライブのデータはGoogleのサーバー上に保管されています。通常の状態では、Googleがそのデータを管理する暗号化キーを持っているため、万が一Googleのサーバー側で何かが起きたとき、あるいは内部の権限を持つ誰かがアクセスしようとしたとき、データは理論上「見える状態」にあります。クライアントサイド暗号化（CSE: Client-side Encryption）は、この構造を変えるための機能です。CSEを有効にすると、データはGoogleのサーバーに届く前に、あなたの会社が管理する暗号化キーによって既に暗号化されています。つまり、Googleはデータを保管していても、その中身を読むことができない状態になります。
これは「Googleを信用していない」という話ではなく、情報管理の責任を自社内で完結させたい、あるいは特定の業界規制や取引先との契約上、そうした体制が求められている、という場面で意味を持つ仕組みです。医療・法律・行政関連の仕事を請け負っている会社や、機密性の高い製造データを扱う企業であれば、CSEのような追加的なデータ保護は「あったほうがいい」ではなく「求められる」水準になってきています。
これまでの設定が「ハードルになっていた」という現実
機能としては以前から存在していたCSEですが、実態として中小企業ではほとんど使われてきませんでした。理由は明確で、設定が複雑すぎたからです。従来のCSEを導入するには、外部の鍵管理サービス（KMSプロバイダー）と別途契約し、そのシステムとGoogle Workspaceを連携させる技術的な作業が必要でした。専任のシステム担当者がいる大企業ならともかく、情シスを1人か2人で回している会社、あるいは総務担当が兼務でITも見ているような会社にとって、この設定は現実的に手が届かないものでした。「機能があることは知っているが、設定できる人間がいない」という状態が続いていたわけです。
管理コンソールから数クリックで完結するようになった
2026年10月、GoogleはこのCSEの設定フローを大幅に簡素化する新しいオプションを公開しました。具体的には、Cloud HSM Keys（Googleのクラウド上で管理される暗号化キー）とGoogle Identity（認証基盤）を組み合わせることで、これまで外部ベンダーとの連携が必要だった手順の大部分が自動化されました。管理者はGoogle WorkspaceのAdminコンソール（管理画面）から操作するだけで、数クリックの手順でCSEを有効化できます。
「管理コンソールから数クリック」というのは誇張ではなく、Googleが説明している通り「数分で運用開始できる」レベルの話になっています。外部サービスとの契約や、APIの設定作業、専門エンジニアへの依頼といったステップが不要になったことは、中小企業にとってかなり実質的な変化です。
ChatGPTの使い方ガイドでも触れているように、AIやクラウドツールを業務に取り込む際の最大の壁はしばしば「初期設定」にあります。機能の価値は分かっていても、最初の一歩が重すぎると結果的に何も導入できないまま終わる。今回のCSEの変更は、まさにその壁を取り除く方向の動きです。
CSEがある場合とない場合のリスク差を具体的に見てみる
セキュリティの話は抽象的になりがちなので、実際の業務シーンで何が変わるのかを整理してみます。
| シナリオ | CSEなし（通常のWorkspace） | CSEあり |
|---|---|---|
| Googleのサーバーが第三者に侵害された場合 | ファイルやメール内容が漏洩するリスクがある | 暗号化済みのため内容は読めない |
| 退職者が不正にデータを持ち出した場合 | ダウンロードしたファイルがそのまま読める状態 | 会社が暗号化キーを失効させればファイルは読めなくなる |
| 政府機関などから開示要求があった場合 | Googleが対応を迫られる可能性がある | Googleはキーを持っていないため自社判断で対応できる |
| 情シス担当者が全員退職した場合 | Workspace自体の管理権限問題のみ | 鍵管理の引き継ぎも必要になる |
特に「退職者のデータ持ち出し」は中小企業でも頻繁に起きるリスクです。従業員20〜30人規模の会社で、営業担当が取引先リストや提案資料をGoogleドライブからダウンロードして退職するケースは珍しくありません。CSEが有効な状態で暗号化キーを管理していれば、退職時にキーのアクセス権を失効させることで、既にダウンロードされたファイルすら読めない状態にできます。これは通常の「アカウント無効化」だけでは実現できない保護です。
実際に試すために確認しておくこと
新しい簡単設定オプションはGoogle WorkspaceのAdminコンソールから利用できます。ただし、CSE自体はすべてのプランで使えるわけではありません。現時点ではBusiness Standard以上、またはEnterprise系のプランが対象です。Business Starterプランのみを利用している会社は、まずプランの確認が必要です。
設定の流れとしては、AdminコンソールのセキュリティメニューからCSEの項目を探し、新しい「Simple setup」オプションを選択する形になります。Cloud HSM KeysとGoogle Identityの組み合わせは自動で設定されるため、外部ツールのアカウントを別途用意する必要はありません。具体的な画面の手順はGoogleの公式ヘルプセンターで公開されており、英語ですが手順画像が充実しているため、IT専任担当者でなくてもある程度追うことができます。
社内でプロンプトの書き方を整備する取り組みと同じように、セキュリティ設定も「一度やれば終わり」ではなく、設定した後に誰がキーを管理するのか、退職時のフローをどうするのか、という運用ルールを決めておくことが実際には重要になります。CSEを有効にした直後から、鍵管理の責任は自社に移ります。そこだけは「簡単になった」の外にある話なので、担当者を決めてから有効化するのが現実的です。
まとめ
CSEはこれまで「大企業が使うもの」として事実上棚上げされてきた機能でした。設定の手間がそのまま導入の壁になっていたからです。今回の変更でその壁が低くなったことは、特に機密性の高い業務を扱う中小企業にとって選択肢が一つ増えたことを意味します。ただし、暗号化キーの管理は自社責任になるという点は変わっていません。「設定は簡単になったが、その後の運用体制を誰が持つか」を決めることが、CSE導入を実際に機能させるための分かれ目になります。自社の情報管理ポリシーと照らし合わせて、試してみる価値があるかどうかを判断するきっかけにしてみてください。
CSEを含むGoogle Workspaceのセキュリティ設定について、自社に合った運用体制をどう作るか迷う場合は、社外の専門家へ相談することも一つの選択肢です。
