一人ひとりに、
社員から「Google から『不審なログインをブロックしました』とメールが来ました。大丈夫ですか」と聞かれた。管理者として確かめたいが、管理コンソールのメニューは多く、どこを見ればよいか迷う。1人で情報システムを担当している会社では、こうした確認が月に何度も、ほかの仕事の合間に入ってきます。
この記事では、Google Workspace の管理者が、不審なログインやログインまわりの変化を確かめる手順と、日ごろから見ておきたい記録を説明します。
管理コンソールで確かめる場所
アラート
Google Workspace では、通常とは異なる場所からのログインなど、いつものパターンに沿わないログインを「不審なログイン」として検知し、管理者にアラートで知らせる仕組みがあります。
- 管理者のアカウントで Google 管理コンソールにログインします。
- メニューから「セキュリティ」→「アラート センター」を開きます。
- 不審なログインに関するアラートを開き、対象のユーザー、日時、内容を確かめます。
ログインのログイベント
アラートの前後に何があったかは、ログインの記録で確かめます。
- メニューから「レポート」→「監査と調査」→「ログインのログイベント」を開きます。
- 期間と、対象のユーザーを指定して検索します。
- ログインの成功・失敗、不審と判定されたログイン、2段階認証の設定の変更などの記録を確かめます。
確かめるときの順番
- 対象のユーザーが本人の操作だったかを確かめます。出張先や新しい端末からのログインは、不審と判定されることがあります。
- 本人の操作でない場合は、パスワードの再設定と、ログイン中のセッションの終了を行います。
- 同じ期間に、2段階認証の無効化やパスワードの変更がないかを確かめます。
- 同じ時期に、ドライブの共有の変更やメールの転送の設定など、ほかの操作がないかを確かめます。
つまずきやすいところ
- アラート、ログインの記録、管理者の操作の記録、ドライブの記録が別の画面に分かれています。1件の確認で何画面も行き来します。
- 何も起きていない月は、確かめる習慣が途切れがちです。問題が起きてから、過去の記録を遡ることになります。
- 調べた結果を残す場所が決まっていないと、前回との違いが分かりません。
Workspace Assist なら、5種類の記録を1つの画面で
Workspace Assist の管理画面では、期間を選んで「Googleから取得」を押すと、ログイン・管理者の操作・ドライブ・外部アプリ・Google グループの5種類の記録を読み込みます。
- ログインの記録では、Google が不審と判定したログイン、ログインの失敗、2段階認証の無効化、パスワードの変更を確かめられます。
- サービス、操作した人、言葉で絞り込めます。ログインの記録と、同じ時期のドライブの記録を、同じ画面で見比べられます。
- 取得した記録は、「先に確認すること」「確認対象」に整理して、点検レポートとして Google ドキュメントに残せます。
表示するのは、取得した期間の記録です。画面を閉じている間に見張り続ける機能ではないので、毎月など決まった時期に取得して確かめる使い方になります。取得できる記録の範囲は、Google Workspace のエディション・権限・設定によって異なります。記録は管理者のブラウザから Google に直接つないで読み込み、UTNOA のサーバーには送らない作りです。
日ごろからしておくこと
- 社員全員に2段階認証を使ってもらい、無効化された記録がないかを毎月確かめます。
- 管理者のアカウントは、ふだんの仕事用と分けます。
- 確かめた結果を毎月同じ形で残します(→Google Workspace のセキュリティの点検を、毎月続ける方法)。