「請求データが入ったスプレッドシートを、社員が誤って社外の人と共有していました。幸い相手が気づいて連絡をくれたので事故にはなりませんでしたが、次も運が味方するとは限りません」——社員四十名ほどの会社の総務担当の方から、こういう相談を受けました。ご本人の希望は明快で、「機密が入ったファイルは、システム側で自動的に外部共有を止めてほしい」。
Google Workspace には、まさにその機能があります。DLP（データ損失防止）、管理コンソール上の名前で「データ保護ルール」です。ところが調べていくと、この会社では使えないことが分かりました。契約しているのが Business Standard だったからです。この「あると思ったら手が届かない」は中小企業でかなり頻繁に起きるので、事実関係と現実的な代替手段を整理しておきます。
DLPは「Businessプランには付いていない」
先に結論を書きます。データ保護ルールが標準で使えるのは、Frontline Standard・Plus、Enterprise Standard・Plus、Education Fundamentals・Standard・Plus、Enterprise Essentials Plus といったエディションです。Business Starter / Standard / Plus は、この対象に含まれていません（Google Workspace 管理者 ヘルプ: データ保護ルールの作成）。
中小企業の多くが選ぶのは Business Standard か Business Plus です。つまり「機密を含むファイルの外部共有を自動判定してブロックする」という、いちばん欲しかった一手が、標準の契約範囲の外にあります。
抜け道が一つだけあります。Business エディションのユーザーに Cloud Identity Premium ライセンスを追加すると、ドライブと Chat の DLP が使えるようになります。ただしこれは人数分の有償ライセンスを重ねる形になるので、単純な機能追加ではなくコストの判断です（Cloud Identity の料金）。
DLP が使える環境では、財務情報・健康に関する情報・個人情報といった典型パターンのルールテンプレートが用意されていて、ゼロから条件を組み立てなくても始められます。使えるなら使う価値は高い機能です。だからこそ「使えない」ことを早めに知っておくほうがいい、というのが本題になります。
使えない前提で、何をどこまで守れるか
「DLPがないなら打つ手なし」ではありません。Business プランでも、外部共有の入口そのものを絞る設定は一通り揃っています。DLPが「中身を見て止める」のに対し、こちらは「経路を細くする」考え方です。
| 守り方 | できること | 限界 |
|---|---|---|
| データ保護ルール（DLP） | ファイルの中身を判定して共有をブロック・警告 | Business プランでは標準では使えない |
| 共有設定・許可リスト | 外部共有の可否、共有先ドメインの限定 | 中身は見ない。許可した相手には何でも渡せる |
| 共有ドライブの権限設計 | 置き場所ごとに外部共有の可否を分ける | 個人のマイドライブに置かれた資料は対象外 |
実務でまず効くのは、真ん中の許可リスト（信頼しているドメインとのみ共有を許可する）です。管理コンソールから、共有を許可するドメインを列挙して登録できます。「取引先A社と会計事務所のドメインだけ許可、それ以外は共有不可」という形にすれば、誤って無関係のフリーメール宛に共有する事故はそこで止まります（Google Workspace 管理者 ヘルプ: 信頼しているドメインとのみ外部共有を許可する）。
もう一つが、リンク共有の既定値です。「リンクを知っている全員が閲覧可」が既定のままだと、URL が転送された時点で外に出ます。既定を「制限付き（指定した人のみ）」にしておけば、共有のたびに相手を明示する運びになります。細かい設定手順はGoogle ドライブ共有設定ガイドで扱っているので、そちらを見ながら現状と突き合わせてみてください。
そして置き場所の設計です。機密性の高い資料を個人のマイドライブに置いたままにすると、どんな設定をしても本人の操作次第になります。共有ドライブを「社外共有あり」「社内限定」で分けて作り、後者に置かれた資料は組織単位で外部共有をオフにする。中身で止められないなら、場所で分けるというのが現実解です。
それでも残るリスクを、正直に把握しておく
経路を細くする守り方には、はっきりした限界があります。許可した相手には、何を渡しても止まりません。 取引先A社のドメインを許可した以上、A社宛に原価表を共有しても、システムは何も言わないということです。DLP が担っていた「中身を見る」役割は、ここでは人の注意に戻ります。
だからこそ、設定と同じくらい「気づける状態」を作ることが要ります。ドライブの監査ログで外部共有の発生を定期的に眺める、共有ドライブの管理者を部署ごとに置いて棚卸しを回す、といった地味な運用です。月に一度、直近の外部共有を一覧で見る時間を15分取るだけでも、想定外の共有先に気づく確率は大きく変わります。
加えて、生成AIの利用が広がった分、ファイルの外部共有だけを見ていれば足りる時代でもなくなりました。社内文書を AI に読ませる経路や、会話履歴がどこに残るかも同じ地図の上で考える必要があります。この観点はGemini の会話履歴とVaultでの統制で整理しています。
上位プランに上げるべきかの判断軸
「では Enterprise に上げるべきか」は、機能表の比較では決まりません。判断に効くのは次の二点だと考えています。
一つは、取り扱う情報の性質です。顧客のカード情報・マイナンバー・健康情報・未公開の財務情報を日常的に扱うなら、中身を見て止める仕組みが要る領域です。人の注意力で運用し続ける前提は無理があります。もう一つは、社外共有の頻度と相手の広さです。共有相手が固定の数社なら許可リストで足ります。案件ごとに相手が変わり、月に何十件も外部共有が発生するなら、経路制御だけでは網の目が粗すぎます。
この二つのどちらも当てはまらない会社は、Business プランのまま設定と運用を締めるほうが費用対効果は高い、というのが率直なところです。逆に片方でも当てはまるなら、Cloud Identity Premium の追加と Enterprise Standard への移行を、実際の人数で見積もって比べる段階にあります。プラン選定の考え方そのものはGoogle WorkspaceのGeminiをどのプランで入れるべきかでも触れた通り、機能単体ではなく「自社の業務がどこで詰まるか」から逆算するのが確実です。
次の情シス定例で確かめる一つのこと
まず、自社が契約しているエディションを正確に確認してください。「Google Workspace を使っている」ではなく、Business Standard なのか Plus なのか Enterprise なのか。そのうえで管理コンソールの共有設定を開き、許可リストが空のままになっていないか、リンク共有の既定が「リンクを知っている全員」になっていないかを見る。この二つだけで、多くの会社は今日から一段固くなります。
自社のプランでどこまで守れているのか棚卸ししたい、上位プランに上げるべきかを人数と業務内容から判断したい——そうしたご相談は、グリームハブの IT・Google Workspace 無料相談で承っています。情シス専任のいない体制に合わせて、費用をかけずに効く順番からご提案します。お問い合わせからご相談ください。
