Google WorkspaceのDLPとは？役職者・一般社員・営業を守る設定と安全な運用の始め方

「役職者は大切な情報を持っているから、厳しくしたい。でも営業は、外出先から資料を送れないと困る」。会社で情報漏えい対策を考えると、こんな悩みが出てきます。

僕なら、まず「誰を厳しくするか」より、どの情報を、誰に渡してよいかを決めます。一般社員が扱う顧客一覧も、役職者が扱う経営資料も、会社にとって守りたい情報だからです。

Google WorkspaceのDLPは、ファイルやメールなどの内容をルールで確認し、共有や送信を制御する仕組みです。今回は、業務を止めすぎずに導入するための設定例と、管理者・利用者それぞれの動き方を整理します。

この記事でわかること

• DLPと、前回のCAAの役割の違い
• 役職者・一般社員・営業向けのルール設計例
• DriveとGmailで間違えやすい適用範囲
• 少人数での検証、例外対応、導入後の確認方法

先にここだけ： 設定は、組織から権限を与えられた管理者が実施します。本記事の設定例は導入のたたき台です。いきなり全社員をブロックせず、架空の資料と少人数の試験範囲で確認しましょう。2026年10月18日時点のGoogle公式情報を確認しています。

DLPは「持ち出す情報」、CAAは「アクセスする状況」を確認する

DLPはData Loss Preventionの略で、情報の流出を防ぐための対策です。Google Workspaceでは、機密情報を検出する条件と、そのときの操作をデータ保護ルールに設定します。

パークでたとえるなら、CAAは「どんな条件なら入ってよいか」を見る入口、DLPは「その荷物を外に持ち出してよいか」を確かめるチェックポイントです。

CAAで会社のPCだけに絞っても、許可されたPCからの誤送信は別の問題です。DLPを入れても、ファイルの閲覧権限や本人確認が不要になるわけではありません。

まずはDriveとGmailを中心に考えましょう。対象アプリによって検出条件・操作・必要な契約が違います。たとえばEnterprise Standard／Plusは両者の対応エディションですが、すべてのWorkspace契約で同じ機能が使えるわけではありません。Google公式：DriveのDLP・GmailのDLP

SAIちゃん「会社のPCなら何を送ってもいい、ではないんだね。入口の確認と、情報の持ち出し確認を組み合わせると整理しやすそう！」

役職で全部を分けず、全員の基本ルールに業務別の制限を足す

「役員だけ制限し、一般社員は自由」よりも、全員共通の基本ルールを作り、重要な業務へ追加する設計を出発点にします。以下はGoogleの既定設定ではなく、僕なら検討する運用例です。

役職者だから免除する、営業だからすべて警告で通す、という分け方にはしません。 外部へ出してよい情報まで止めないために、資料の種類と提供先を整理します。

Driveは「操作する人」より「ファイルの所有者」に注意

DriveのDLPは、マイドライブではファイル所有者に適用されるポリシー、共有ドライブでは共有ドライブに適用されるポリシーが効きます。共有ドライブでは、共有ドライブ自身が所有者として扱われます。Google公式：Driveの適用範囲

つまり、役職者グループだけに厳しいルールを付けても、その役職者が一般社員所有のファイルを操作したときに、役職者側のルールがそのまま効くとは限りません。

僕なら、機密資料の保管場所を決め、共有ドライブの組織部門とDLPの適用範囲まで確認します。個人のマイドライブへばらばらに置いたまま、肩書きだけで守ろうとしない方が設計しやすくなります。

DLPのグループ設定は、CAAの優先順位をそのまま当てはめない

データ保護ルールでは、範囲に組織部門やグループを含める・除外する指定ができます。同じルールの範囲指定で競合する場合は、グループが優先します。ただし、CAAのように「一番上のグループだけで全部決まる」と考えず、重なるDLPルールも含めて評価します。Google公式：データ保護ルールの範囲

一部のルールから営業を除外しても、別のブロックルールが適用されれば、その制限は残り得ます。「除外を入れたら全部許可」にはならないため、試験ユーザーで確認しましょう。

管理者向け：DriveとGmailを少人数から設定する手順

手順1：守る情報・対象・相談先を決める

まず「外へ出してはいけない情報」を1種類選びます。たとえば、会社が外部提供を禁止している顧客データです。実在する顧客情報を検証へ使わず、架空の資料を用意します。

検証用の組織部門・グループと、試験用の共有ドライブを決めましょう。役職者、一般社員、営業の働き方をそれぞれ代表する利用者を含めると、困る場面を見つけやすくなります。

管理者は、Drive・Gmailなどアプリ別の対応ライセンスとDLPの管理権限を確認します。Gmailを使えない契約もあるため、「DriveのDLPがあるからGmailも同じ」とは扱いません。

手順2：データ保護ルールを作成する

Google管理コンソールの「ルール」→「ルールを作成」→「データ保護」を開きます。既存ルールの管理は「セキュリティ」→「アクセスとデータ管理」→「データの保護」からも確認します。画面名は更新されるため、実行時は公式手順と照合してください。

ルール名には、対象アプリ・情報・段階がわかる名前を付けます。例は「Drive_機密顧客資料_監査」です。対象アプリとイベント、適用する範囲、内容の条件、操作、通知先を確認します。Google公式：ルールの作成

手順3：テンプレートを確認し、検出条件を絞る

定義済みテンプレートや検出項目を使えますが、「日本向けを選べば、すべての個人情報を正しく検出する」とは限りません。守りたい番号・言葉・分類ラベルなどに合う条件を選びます。

数字の並びだけでは誤検出する場合があります。検出の確からしさ、件数、近くにある言葉など、使える条件を確認しましょう。会社の顧客コードのような独自情報は、カスタム検出項目も検討します。短い数字や「社外秘」という1語だけを万能な判定にしないことが大切です。Google公式：Driveのルールと検出項目

手順4：最初は監査だけで、影響を調べる

監査は、止めずに検出の記録を見る段階です。Driveではブロック・警告などの操作を付けない監査用ルール、Gmailでは「監査のみ」を使うなど、アプリの選択肢に合わせます。

ルールを「無効」にしたままでは、監査用の試験になりません。 内容を確認してから、監査用の設定として有効にし、検出がログに出るか確かめます。Google公式：Drive DLPのFAQ・Gmailのアクション

手順5：アプリごとに警告・ブロック・確認待ちを使い分ける

Gmailの「検疫」は、メールをいったん保留して担当者が確認する仕組みです。営業が正当に機密資料を提供する必要があるときの候補ですが、担当者・確認時間・不在時の引き継ぎがないと業務が止まります。

Gmailの受信トリガーでは、公式案内上、使えるアクションは監査のみと分類ラベルの適用です。送信のブロック・警告・検疫とは区別しましょう。複数のGmail DLPルールが一致する場合は、より厳しいアクションが優先されます。Google公式：Gmail DLPの操作

手順6：営業のスマホも含めて、実際の経路で試す

「検出される」「必要な共有ができる」「違反が止まる」をそれぞれ確認します。架空の検証用資料は、次のように分けると整理しやすくなります。

• 機密扱いのテスト資料：社外共有・送信が意図どおり制限されるか。
• 公開済みパンフレット：不要なブロックが起きないか。
• よく似た数字を含む無害な資料：誤検出が多くないか。
• Gmailへ直接添付したファイルと、Driveのリンク：両方で必要なルールが効くか。
• PC・Android・iPhone：実際に使うメールアプリやDriveからの動作を確認。

GmailへDriveリンクを付けても、そのファイル内容がメール添付と同じようにGmail DLPで検査されるとは限りません。Drive側のDLPと共有権限も確認します。端末やアプリで警告の表示方法も変わり得るため、PCだけで試験完了にはしません。Google公式：Drive DLPのFAQ

ルール変更が反映されるまで時間がかかる場合があります。設定直後に1回通っただけで判断せず、反映とスキャンの完了を確認してから、段階的に広げます。

ブロックされた後の相談先と、期限のある例外を用意する

利用者は、別の経路へ逃がさず相談する

警告やブロックが出たら、まず共有相手と資料の内容を見直します。不要な個人情報を外したり、会社が提供用に承認した版へ差し替えたりできる場合があります。

業務上必要な共有なら、表示された案内に従って相談します。個人メール、私用クラウド、別アカウントへ移して制限を避けないようにしましょう。担当者へ伝えるのは、業務目的、宛先、資料の管理場所、必要な期限です。問い合わせに機密本文を丸ごと貼る必要はありません。

管理者は、役職ではなく目的・宛先・期間を審査する

例外は「役員は対象外」ではなく、どの業務の、どの資料を、どの相手へ、いつまで渡すかで考えます。依頼者本人だけで承認を完結させず、会社が決めた確認者へ回しましょう。

Driveには共有先の境界を指定できるデータ保護ルールもありますが、共有条件はDriveのブロック操作に対応する機能です。Gmailなどへ同じ許可設定が自動で広がるわけではありません。取引先ドメインを許可するだけで、その取引先へのあらゆる機密共有を認める設計にならないかも確認します。Google公式：共有境界の設定

期限の管理は、運用台帳などで担当者と見直し日を記録します。例外の設定が自動で失効すると決めつけず、終了時に元へ戻せたか確認しましょう。共有ドライブの構成や所有者の変更も、DLPの適用範囲に関わる変更として扱います。

通知は「誰かが読む」ところまで決める

通知をすべての特権管理者へ送るだけでは、見落としや確認の重複が起きる場合があります。僕なら、一次確認する担当、代わりの担当、重大な検出の連絡先を決めます。

確認頻度や対応時間も、会社の勤務体制に合わせて決めます。たとえば、導入直後は毎営業日、安定後は定期確認にする案です。これはGoogleの指定間隔ではなく、運用設計の一例です。

ログから、誤検出、正当な業務の停止、警告後の続行、例外の放置を見直します。検出の詳細には機密情報が含まれ得るので、ログを見る権限も必要な担当者へ絞りましょう。Google公式：Drive DLPの通知とログ

DLPだけで守り切れる範囲と、別に対策する範囲を分ける

「全社の情報漏えいを防止できた」とは言い切らない

DLPには見逃しや誤検出があります。対象外の形式、暗号化された内容、画像の読み取り精度などに限界があるためです。Gmailではパスワード保護された添付ファイルの内容はスキャン対象外で、そのような添付の制限は別のコンプライアンスルールで検討します。Google公式：Gmailの検査対象外

また、Driveの外部共有ブロックを設定しても、PCのUSBコピーや別サービスへの持ち出し、画面の撮影まで自動で止まると考えないようにしましょう。Google公式：Drive DLPの検出の限界

現在はChrome向けDLPもありますが、Chrome Enterprise Premiumなど別途の契約・管理要件を伴います。この記事のDrive・Gmailの設定だけで、ブラウザ全体の送信や会社の全端末が保護された扱いにはしません。監査へ説明する場合も「対象サービス・情報・操作・対象外」を具体的に示します。Google公式：データ保護ルールとChrome DLP

AIへ資料を渡す前のルールも別に決める

Driveで共有できる資料だからといって、社外の生成AIへ入力してよいとは限りません。個人情報、会社の秘密、未公開資料を外部AIへ渡さず、会社が認めた環境と利用ルールを確認しましょう。

AIに相談するなら、会社名や実データを架空のものへ置き換えて、まずは声でこう伝える案があります。音声を使えない場所では文字でも大丈夫です。

「架空の会社でDLPの導入を考えています。役職者、一般社員、営業の3つの働き方について、守る情報・共有相手・止まったときの相談先を整理してください。実データや実際の設定値は使わず、公式情報で確認する点を挙げてください」

AIの回答は検討用のたたき台です。契約、検出条件、権限、例外の判断は管理者と業務担当者が確認します。

かずまの実践メモ：今日は「守る情報」を1つ選ぼう

僕なら、最初からすべての情報を検出しようとせず、次の3つを紙1枚にまとめます。これは実機導入の体験談ではなく、今回の仕組みを始めるなら、という提案です。

1. 守る情報： 社外へ出してはいけない情報を1種類。
2. 共有する相手： 社内だけか、特定の取引先への提供はあるか。
3. 困ったときの窓口： 誰が、いつ確認してくれるか。

役職者には、例外を自分だけで決めない運用を。一般社員には、止まったときに迷わない案内を。営業には、安心して外へ出せる資料と相談経路を用意します。

今日の一歩は、この3項目を担当者と一度話すことです。準備ができたら、少人数の監査用ルールから始めましょう。情報を守る仕組みは、仕事の流れと一緒に育てていくと運用しやすくなります。

---

確認日：2026年10月18日。 本文の機能・条件はGoogle公式資料を参照しています。契約・管理画面・対応範囲は変わるため、導入時に再確認してください。この記事制作ではGoogle管理コンソールの設定変更や実機検証は行っていません。