社員が経費精算のPDFを作るために「PDF変換」の拡張機能を入れる。営業が海外サイトを読むために翻訳拡張を入れる。誰かが「AIがページを要約してくれる」拡張を入れて、便利だと隣の席に勧める。どれも悪意はなく、むしろ仕事を早くしようとした結果です。
問題は、これらの拡張機能の多くが「アクセスしたすべてのウェブサイト上のデータの読み取りと変更」という権限を要求することです。社内の基幹システムの画面も、Google ドライブで開いた見積書も、拡張機能から見えている。そしてその拡張機能が、来週のアップデートで何をするようになるかは、入れた本人にも分かりません。
Chrome 拡張は所有者が変わることがあります。ユーザー数を集めた拡張が買収され、次の更新でデータ収集コードが混ざる——という事例が繰り返し起きています。利用者から見れば、ある日いきなり挙動が変わるわけではなく、バッジも通知もないまま静かに更新されます。
「入れるな」で止まらない理由
拡張機能の禁止を通達で済ませようとすると、まず守られません。理由は単純で、業務上ほんとうに必要な拡張が存在するからです。ブラウザだけで完結する業務が増えている以上、一律禁止は業務を止めます。
そして、通達方式には決定的な弱点があります。今どのPCに何が入っているかを、管理者が知る手段がない。「入れないでください」と伝えたところで、既に入っているものは残り続けます。
Chrome Enterprise Core は、この可視化の部分を埋めます。Google Workspace の管理コンソールから登録でき、追加料金はかかりません。Windows・Mac・Linux・iOS・Android で動く Chrome を、ひとつの管理コンソールから扱えます。すでに Google Workspace を使っている会社であれば、契約を増やさずに始められる、という点がここでは重要です。
アカウントの管理と、ブラウザの管理は別物
ここで混乱しやすいのが、既にやっている管理との関係です。Google Workspace の管理コンソールでアカウントを管理していれば、ブラウザも管理下にあるように見えます。しかし実際には別のレイヤです。
| 管理する対象 | 何を制御するか | 例 |
|---|---|---|
| アカウント（Google Workspace） | 誰がどのサービスに入れるか | 2段階認証の強制、外部共有の可否 |
| ブラウザ（Chrome Enterprise Core） | ブラウザ自体の挙動と拡張機能 | 拡張の許可・ブロック、同期の制御 |
| 端末（エンドポイント管理） | 端末そのものの状態 | 画面ロック必須、リモートワイプ |
社用アカウントでログインしていないブラウザ、あるいは私物PCにインストールされた Chrome は、アカウント側の設定だけでは触れません。この隙間を埋めるのがブラウザ管理です。端末そのものの管理まで含めた設計はGoogle Workspace のエンドポイント管理とBYOD、アクセス条件を絞る方向はコンテキストアウェア アクセスによる条件付きアクセスで扱っています。
可視化してから、締める
順序としては、制御より先に一覧を取ります。何が入っているかを見ないまま許可リストを作ると、業務で使われている拡張を落とします。
第1段階：登録と可視化。管理コンソールでブラウザの登録トークンを発行し、社内のPCに Chrome を登録します。登録が済むと、どの端末にどの拡張機能が入っているかが管理コンソールの一覧に出てきます。ここでは何も制限しません。数週間ためると、実態が見えます。
第2段階：明らかな危険物だけブロックする。一覧を見ると、たいてい誰も使っていない拡張、提供元が不明な拡張、機能が重複している拡張が出てきます。まずはこのブロックリストだけ作る。影響範囲が小さいので、業務が止まりません。
第3段階：権限で切る。拡張機能は、要求する権限やアクセスできるサイトで管理できます。「すべてのサイトのデータを読み取る」拡張だけを対象にすれば、対象は絞られます。全面許可リストへ行く前の中間段階として現実的です。
第4段階：許可リストへ切り替える。会社が認めた拡張機能以外はインストールできない状態にします。ここまで来ると、必要な拡張は管理者側から全員へ自動配布する運用に変わります。現場が自分で入れられない代わりに、申請すれば入るという形にしないと、シャドーITが別の場所（私物端末や個人アカウント）へ逃げます。
第4段階まで一気に進めようとして頓挫する会社が多いのですが、第2段階で止めても、放置していた状態からは大きく前進します。全部やるか何もしないか、の二択にしないことが続けるコツです。
見落としやすい3つのずれ
1つめは、私物端末の Chrome です。ブラウザ登録は端末側での作業が要るため、私物PCには入りません。BYOD を許している場合は、ブラウザ管理ではなくアクセス側の制御（社用アカウントで開けるサービスを絞る）で対処することになります。
2つめは、Chrome 以外のブラウザです。Edge や Safari を業務で使っている社員がいれば、そこは Chrome Enterprise Core の管理外です。「Chrome を締めたら Edge に移った」では意味がないので、業務で使うブラウザを Chrome に寄せる方針とセットにする必要があります。
3つめは、拡張機能と Google Workspace 側の連携アプリの混同です。ドライブやメールにアクセスする外部アプリは、拡張機能とは別に「セキュリティ → アクセスとデータ管理 → API の制御」で管理します。ブラウザ側を締めても、OAuth で認可されたアプリは影響を受けません。両方見ないと片手落ちになります。
次にやること
まず、管理コンソールで Chrome Enterprise Core を有効にして、登録トークンを発行するところまでやってみてください。ここまでは無料で、何も制限しないので、社内への影響がありません。
そのうえで、まず数台——情シスや管理部門の端末——を登録して、拡張機能の一覧がどう見えるかを確認する。この画面を経営層に見せられると、全社展開の合意が取りやすくなります。言葉で「拡張機能が危ない」と説明するより、実際に入っているものの一覧を出すほうが早いからです。
社内の端末構成に合わせた展開の進め方や、Google Workspace 側の設定との組み合わせを相談したい場合は、グリームハブのIT・Google Workspace 無料相談で承っています。端末台数や BYOD の有無で適切な順序が変わるため、個別にご相談ください。お問い合わせからどうぞ。
Sources
- Chrome Enterprise Core — Chrome Enterprise and Education ヘルプ
- アプリや拡張機能を許可またはブロックする — Chrome Enterprise and Education ヘルプ
- 無料のChrome Enterprise Coreで実現するChromeブラウザのセキュリティ強化と生産性向上ガイド — ソフトバンク クラウドテクノロジーブログ
- Chrome拡張機能の脅威に立ち向かう！Chrome Enterprise CoreによるAllow list管理の実践 — Zenn
- Google Workspace のデータにアクセスできるサードパーティ製アプリと内部アプリを制御する — Google Workspace 管理者 ヘルプ
