取引先の監査で「この案件に関するやり取りを全部出してください」と言われる日が、いつか来ます。あるいは社内で不正の疑いが出て、特定の担当者のファイルを遡って確認することになる。そのとき、探す側が頼るのは検索です。案件名でファイルを検索して、出てきたものを出す。
ところが、クライアントサイド暗号化（CSE）を入れている環境では、本文だけに書かれた案件名では検索できません。タイトルやメールの件名など、暗号化されていないメタデータにある案件名は検索の手がかりになります。Google 側が中身を読めない状態にするのが CSE なので、検索する仕組みも中身を読めないからです。保持もホールドもエクスポートも問題なく効くのに、探すところだけが従来と違う。 ここを導入前に知らないまま入れると、必要になった日に手が止まります。
CSE を入れるべきかどうかの判断そのものはCSE は中小企業に必要か、過剰かで整理しているので、この記事では「入れると決めた後に、出口をどう設計しておくか」だけを扱います。
効くもの、効かないものをはっきりさせる
まず、よくある誤解を潰しておきます。「暗号化したら Vault の対象外になるのでは」という心配は不要です。
Vault は CSE で暗号化された Drive のファイルも Gmail のメールも、他のデータと同じように保持し、リーガルホールドをかけ、エクスポートできます。保持ポリシーの設計が壊れるわけではありません。
効かないのは検索の中身です。Vault から探せるのは、タイトルやオーナーといったメタデータに限られます。本文に書かれた単語や、スプレッドシートのセルの値では引っかかりません。
| やること | CSE 環境での可否 | 備考 |
|---|---|---|
| 保持ポリシーの適用 | できる | 他のファイルと同じ扱い |
| リーガルホールド | できる | 対象者・対象期間の指定も同様 |
| メタデータでの検索 | できる | タイトル、オーナーなど |
| 本文・セルの中身での検索 | できない | 暗号化されているため |
| エクスポート | できる | 暗号化されたまま出てくる |
最後の行も重要です。Drive の CSE ファイルは .gcse 形式でエクスポートされます。Gmail は形式が異なり、暗号化された内容が S/MIME の添付として扱われるため、mbox / PST それぞれの確認手順が必要です。そのまま弁護士や監査法人に渡しても開けません。 復号する工程が別に必要になります。
検索できないぶんを、名前と置き場所で埋める
中身で探せないなら、外から見える情報で探せるようにしておくしかありません。これは技術の設定ではなく、運用のルールを先に決める話です。
現実的に効くのは次の3つです。
- ファイル名に案件の識別子を入れる。 「見積書_最新版.xlsx」では、あとから案件単位で集められません。案件コードや取引先名を名前に含める規則を作り、テンプレートの段階で入れておきます
- 案件と保管先の対応を台帳に残す。 案件コード、所有者、共有ドライブ、対象ファイルの識別情報を管理します。フォルダ単位の保管ルールは整理に役立ちますが、Vault の検索条件としてそのまま使えるとは限りません。利用できる条件を確認します。
- 暗号化する対象を絞る。 すべてを CSE にする必要はありません。本当に「Google にも中身を見せない」必要があるファイルだけを対象にすれば、残りは従来どおり全文検索できます
3番が一番効きます。CSE の適用範囲を広げるほど、探せない領域が増えます。守るべきものの範囲と、探せなくなる範囲は同じなので、この2つをセットで決めます。「とりあえず全社で有効にする」が一番まずい選択です。
復号できる人を、事前に決めておく
エクスポートした .gcse ファイルは、Google が提供する復号ユーティリティ（client-side decrypter）で開きます。コマンドラインのツールで、実行時に ID プロバイダ（IdP）の認証情報、暗号化ファイルの場所、出力先などをフラグで指定します。S/MIME 証明書で暗号化されたメールも対象になります。
ここで問題になるのは、ツールの使い方ではありません。誰がこれを実行できるのかです。
CSE は鍵を自社側（外部の鍵管理サービスと IdP）で持つ仕組みなので、復号できるかどうかは Google Workspace の管理者権限ではなく、鍵にアクセスできるかどうかで決まります。つまり、
- Vault でエクスポートする権限を持つ人
- 鍵にアクセスして復号を実行できる人
が別人になり得ます。監査対応の当日に「エクスポートはできたが開けない」という状態は、この2つを別々に設計していないと普通に起きます。職務分離を保ちつつ、それぞれの役割に代行者と承認手順を用意します。全員に両方の権限を渡す必要はありません。
退職者のデータも同じ論点です。退職アカウントの扱いを決めるとき、CSE 環境では「アカウントを消したあと、そのファイルを復号できる人は残っているか」まで確認する必要があります。
年に一度、出せることを確かめる
ここまで設計しても、実際に動くかどうかは試すまで分かりません。まずは検証用データで一連の手順を通し、その後は自社の監査計画に合わせて定期的に確認します。
手順は難しくありません。検証用の案件をひとつ選び、Vault でメタデータ検索をかけ、エクスポートし、復号して中身が読めるところまでを通します。かかった時間も記録しておきます。この記録は、監査や訴訟の場面で「何日で出せます」と答えるときの根拠になります。
通してみると、たいてい想定と違うところが出てきます。案件コードが途中からルール変更されていて過去分が拾えない、復号できる担当者がもう社内にいない、といった類です。本番で困る前に見つかれば、どれも直せる問題です。
データを Google Workspace の外に出す経路全般については、エクスポートと退出計画の整理も合わせて確認しておくと、暗号化の有無にかかわらず「出せる状態か」を点検できます。
次にやること
CSE をすでに入れているなら、まず適用範囲を確認してください。対象ユーザー・アプリと、実際に CSE で暗号化されているファイルやメールを確認します。機能を有効にした OU と、暗号化済みのデータ範囲は同じとは限りません。
これから入れるなら、順番を逆にします。先に「探されたときに何をどう出すか」を決めて、それを満たす最小の範囲で暗号化する。 この順序なら、監査の日に慌てずに済みます。
Google Workspace の暗号化・保持ポリシーの設計、監査対応を見据えた権限と担当の割り振りについては、グリームハブの IT・Google Workspace 無料相談で承っています。現在のプランや鍵管理の構成によって取れる選択肢が変わるため、お問い合わせからご相談ください。
