Google Workspaceの管理コンソールに、ファイルの「分類ラベル」を使ってアクセスポリシーをファイル単位・ラベル単位で設定できる新機能が加わりました。従来は「このユーザーには全体的に制限をかける」という一律の設定しかできませんでしたが、これからは「機密ラベルが付いたファイルだけ社外へのアクセスを制限する」といった細かい制御が可能になります。この記事では、変更の内容・背景・中小企業での活用イメージを整理します。
これまでのGoogle Driveアクセス管理の限界
Google Workspaceを使っている会社でも、ドライブのアクセス管理はシンプルな運用にとどまっているケースが多いです。アンケートや管理コンソールの設定状況を参照すると、実態はおおむね次の3パターンに分かれます。
| 運用パターン | 概要 | 主な課題 |
|---|---|---|
| 全員共有型 | 社員なら基本的に全ファイルにアクセス可能 | 情報漏洩リスクが高い。退職者対応も手間 |
| 部署フォルダ型 | 部署ごとにフォルダを分けて権限を設定 | フォルダ外に置いたファイルは管理外になりやすい |
| 個別設定型 | ファイルごとに担当者が手動で共有設定 | 担当者の異動・退職で設定が形骸化する |
多くの中小企業は「部署フォルダ型」か「個別設定型」を組み合わせていますが、どちらも共通の弱点があります。それは、「ファイルがフォルダから外れた瞬間に制御が効かなくなる」という点です。たとえば営業担当が「この資料、ちょっとデスクトップに出してから共有先に送ります」と操作した結果、意図せず制限が解除される、といったことが起きやすい構造です。
これまでのAssured Controls（グーグルが提供する、外部アクセスや承認フローを管理する企業向け機能）は、ユーザー単位でポリシーを当てる設計でした。「Aさんには外部共有を禁止する」「Bさんのファイルには承認フローを通す」という形です。これはこれで有効ですが、担当者が変わるたびに設定を見直す必要があり、管理コストがかさみます。
ラベルベースのアクセス制御とは何か
今回追加されたのは、「ファイルに付いているラベルの種類に応じてポリシーを自動適用する」という仕組みです。Google Driveには以前から分類ラベル（Classification Labels）という機能があり、「社外秘」「機密」「一般」などのラベルをファイルに貼り付けることができます。今回の更新で、このラベルをトリガーにしてアクセス管理ポリシーや承認ルールを動かせるようになりました。
具体的には、Google Workspace管理コンソールの「Assured Controls」設定画面で、ラベルごとにルールを作成できます。たとえば次のような設定が可能になります。
- 「社外秘」ラベルが付いたファイル → ドメイン外への共有を禁止
- 「機密」ラベルが付いたファイル → 管理者の承認がないとダウンロード不可
- 「一般」ラベルが付いたファイル → 従来どおりの制限なし
これらのルールはファイルに紐づくため、担当者が変わっても、ファイルがどのフォルダにあっても、ラベルが付いている限りポリシーが機能し続けます。ユーザーを管理する設定ではなく、ファイルを管理する設定に変わる、というのが今回の変更の核心です。
従業員30人規模の会社で、どう使えるか
従業員30人の製造業を例に考えてみます。この会社では、取引先との契約書・見積書・仕様書などをGoogle Driveで管理しています。管理部門の担当者が1人で、各部署のドライブ設定を手作業で管理しているため、常に「どのファイルが外に出ているか分からない」という不安を抱えている状況です。
ラベルベースのポリシーを導入すると、最初にやることはラベルの設計です。会社の文書を大まかに「一般」「取引先限定」「社外秘」の3種類に分類し、それぞれのラベルにポリシーを紐づけます。新しく作成されたファイルに担当者がラベルを貼るだけで、以降の制限が自動的に適用されます。担当者が「この見積書、社外秘ラベルにしておこう」と設定すれば、管理部門が個別に確認しなくても外部共有は自動でブロックされます。
管理部門の担当者1人が月に何時間費やしていた「権限設定の確認・修正作業」が、ラベル設計さえ終われば大幅に減らせる可能性があります。もちろん、ラベルを貼らずに放置されるファイルが出てくるという別の課題も生まれますが、それはラベル未設定ファイルへの一括ポリシーを設けることである程度カバーできます。
Assured Controlsを使うために必要な条件
ここで注意が必要なのは、Assured ControlsはGoogle Workspaceの全プランで使えるわけではないという点です。
現時点での対応状況を整理すると、Assured Controlsが利用できるのはEnterprise系のプラン（Enterprise Standard、Enterprise Plus等）か、Education系の一部プランに限られています。中小企業でよく使われるBusiness StarterやBusiness Standardでは利用できません。
まだAssured Controlsを使えるプランに契約していない場合、まず自社のプランを確認する必要があります。Google Workspace管理コンソール（admin.google.com）にログインし、「請求情報」または「アカウント情報」から現在の契約プランを確認できます。プランのアップグレードが必要な場合は、Google Workspaceの公式サイトか、契約しているリセラーに相談するのが早いです。
なお、分類ラベル機能自体はBusiness系プランでも利用できます。ラベルを付けること自体は今すぐ始められるため、将来的にAssured Controlsを導入する際のラベル設計だけ先に進めておく、という準備の進め方もあります。
ラベル設計で最初にやること
ポリシー設定の前に、ラベルの分類体系をどう作るかが最初の検討事項になります。ラベルが多すぎると担当者が混乱し、「よく分からないから貼らない」という事態になりやすいです。一方で大まかすぎると、ポリシーの粒度が粗くなって意味を失います。
Google Workspaceのプロンプトの書き方ガイドやドキュメント管理の自動化ノウハウでも触れているように、運用が続くかどうかは担当者の負担感で決まります。ラベルは3〜5種類に絞り、全員が迷わず選べる基準を文書化しておくのが現実的です。たとえば「外部の人間に見せていいか」という一問で振り分けられる2層構造から始めると、定着しやすいです。
ラベル設計ができたら、Google Workspace管理コンソールの「ドライブとドキュメント」→「ラベル」の設定画面でラベルを作成し、Assured Controlsのルール設定でそのラベルにポリシーを紐づけます。設定手順自体は管理コンソールのガイドに沿って進められますが、どのラベルにどのポリシーを当てるかの判断は、会社ごとの情報管理方針によって変わります。
ChatGPTなどのAIを使ってラベル設計のたたき台を作る方法については、ChatGPTの使い方ガイドで整理しているような「業務整理をAIに手伝わせる」アプローチも参考になります。自社の文書の種類を箇条書きにしてAIに渡し、「3種類のラベルに整理して」と頼むだけで、議論のたたき台になる分類案が出てきます。
まとめ
この変更が中小企業にとって意味するのは、「アクセス管理を人に対してかけるか、ファイルの性質に対してかけるか」という設計の転換です。担当者が変わっても、ファイルの移動先が変わっても、ラベルが付いている限りポリシーが守られる状態は、1人で情シスを兼務している会社ほど助かる仕組みです。
ただし、導入にはプランの確認と、会社に合ったラベル設計の検討が先に来ます。今のプランでAssured Controlsが使えない場合でも、ラベルの設計だけ進めておくことで、将来の移行をスムーズにできます。まずは管理コンソールにログインして、自社のプランとラベル機能の現状を確認するところから始めてみてください。
ドライブのアクセス管理に課題を感じていて、どこから手をつければいいか判断しにくい場合は、Google Workspace導入支援を行っている専門家への相談も選択肢の一つです。当メディアでもAI活用・ツール導入に関する相談を受け付けています。
