※本稿は、2026年8月30日時点で公開されているGoogleおよびMicrosoftの公式資料に基づいています。管理画面の名称、利用できる機能、必要な管理者権限は、契約プランや今後の仕様変更によって異なる場合があります。
Webサービスを利用するとき、「Googleでログイン」や「Microsoftでログイン」というボタンを見かけることが増えました。
新しいパスワードを作らずに済み、ログイン方法をまとめられるため、利用者にとって便利な仕組みです。
しかし、業務用のGoogle WorkspaceやMicrosoft 365のアカウントで、社員が自由に外部サービスと連携している場合、会社が把握していないアプリから、メール、ファイル、予定表などへアクセスできる状態になっている可能性があります。
問題は、「Googleでログイン」や「Microsoftでログイン」という仕組みそのものが危険なのではありません。
確認すべきなのは、どのアプリに、誰が、どのデータへのアクセスを許可したのかです。
2026年8月20日、Google Threat Intelligence Groupは、正規の認証フローやOAuthを悪用する標的型攻撃について公表しました。報告された事例では、標的が正規のGoogle OAuthログイン画面へ誘導された後、攻撃者が管理するクラウドプロジェクトへ認証情報を渡してしまう可能性がある仕組みや、正規のMicrosoft OAuth URLを利用した活動が確認されています。対象は主に政府、学術、防衛関連などの特定分野であり、全ての企業へ同じ攻撃が広がっていると断定できるものではありません。しかし、正規のログイン画面が表示されたことだけでは、連携先のアプリまで安全だと判断できないことを示しています。
今回は、Google WorkspaceとMicrosoft 365を利用する中小企業が、外部の連携アプリをどのように確認し、不要な権限を整理すればよいかを解説します。
「ログイン」と「データへのアクセス許可」は分けて考える
「Googleでログイン」を選んだからといって、全てのアプリがGmailやGoogleドライブを読めるわけではありません。
Google Workspaceでは、未設定の外部アプリについて、Googleアカウントの氏名、メールアドレス、プロフィール画像という、ログインに必要な基本情報だけを利用できるように制限する設定があります。一方で、アプリが必要とする機能によっては、Gmail、Googleドライブ、Googleカレンダーなどに対する追加の権限を要求する場合があります。
Microsoftの認証でも、OpenID Connectを用いたログインでは、利用者を識別するためのopenid、メールアドレスを取得するemail、氏名などのプロフィール情報を取得するprofileといったスコープがあります。これとは別に、メール、ファイル、予定表などへアクセスする権限を要求することができます。
整理すると、外部アプリとの関係には、主に次の段階があります。
| 段階 | 内容 | 確認すること |
|---|---|---|
| 本人確認 | GoogleまたはMicrosoftのアカウントで利用者を確認する | 氏名、メールアドレス、プロフィール情報だけか |
| 利用者に代わるアクセス | 利用者が操作できるメールやファイルへアプリがアクセスする | 読み取り、作成、変更、削除の範囲 |
| 組織全体へのアクセス | 管理者が組織全体を対象に権限を許可する | 全社員や共有データへ影響しないか |
| 継続的なアクセス | 利用者が操作していない間も一定期間アクセスする | トークン、有効期間、終了時の失効方法 |
Microsoftでは、利用者がサインインした状態で、その利用者に代わってデータへアクセスするものを「委任されたアクセス許可」と呼びます。原則として、アプリは利用者本人がアクセスできる範囲を超えてアクセスすることはできません。
これとは別に、利用者がサインインしていなくてもアプリ自体が動作する「アプリケーションのアクセス許可」があります。後者は、バックグラウンド処理やシステム間連携などで利用され、組織全体へ影響する可能性があるため、管理者による慎重な確認が必要です。
パスワードを変更するだけでは確認が終わらない
OAuthでは、外部アプリへGoogleやMicrosoftのパスワードを直接渡さずに、許可された範囲のデータへアクセスさせることができます。パスワードを外部サービスへ入力しない点は、OAuthを利用する利点の一つです。
一方で、利用者が不審なアプリへアクセスを許可すると、攻撃者がパスワードそのものを入手していなくても、付与された権限を利用できる可能性があります。
Microsoftは、このように利用者をだまして悪意あるクラウドアプリへ権限を与えさせる手口を「同意フィッシング」と説明しています。正規のMicrosoft認証基盤上に同意画面が表示されるため、利用者が安心して許可してしまう可能性があります。
また、Microsoftが悪意あるアプリを無効化した場合でも、既に発行されているアクセストークンは有効期限まで利用できる場合があると説明されています。したがって、不審な連携が見つかった場合は、パスワード変更だけで対応を終えず、アプリの権限、トークン、アクセス履歴も確認する必要があります。
まず、現在連携されているアプリを一覧にする
いきなり全ての外部アプリを禁止すると、業務で利用しているサービスまで停止する可能性があります。
最初に必要なのは、現在の利用状況を把握することです。
連携アプリ台帳には、少なくとも次の項目を記録します。
| 管理項目 | 記録する内容 |
|---|---|
| アプリ名 | 管理画面に表示される名称 |
| アプリID | OAuthクライアントID、アプリケーションIDなど |
| 提供会社 | 開発会社、販売会社、運営会社 |
| 利用目的 | 名刺管理、勤怠管理、生成AI、電子契約など |
| 利用者 | 利用している社員、部署、人数 |
| 連携先 | Gmail、Googleドライブ、Outlook、OneDriveなど |
| 許可された権限 | 読み取り、送信、作成、変更、削除など |
| 承認者 | 利用を許可した責任者 |
| 業務責任者 | 利用継続の必要性を説明できる人 |
| 利用開始日 | 最初に許可した日 |
| 最終確認日 | 直近で必要性を確認した日 |
| 契約終了日 | 有期契約や試用期間がある場合 |
| 停止方法 | 権限取消し、アカウント削除、データ出力方法 |
| 判定 | 継続、権限制限、要確認、停止 |
パスワードやアクセストークンそのものを、一般的な台帳へ記載してはいけません。
台帳には保管場所や管理責任者を記載し、秘密情報はパスワード管理システムなど、適切な管理場所へ保存します。
Google Workspaceで連携アプリを確認する
Google Workspaceでは、管理コンソールの次の場所から、外部アプリのアクセス状況を確認できます。
セキュリティ → アクセスとデータ管理 → APIの制御 → アプリアクセス制御
公式資料では、主に次のアプリを確認できます。
- 管理者がアクセス方法を設定済みのアプリ
- 実際にGoogleデータへアクセスしたアプリ
- 利用者からアクセス申請を受けているアプリ
アプリの一覧では、アプリ名、種類、アプリID、確認済みの状態、利用者数、要求しているGoogleサービス、OAuthスコープなどを確認できます。CSV形式で一覧をダウンロードすることもできます。なお、アプリを許可してから管理画面へ情報が反映されるまで、通常24～48時間程度かかる場合があります。
Google Workspaceでは、アプリに対して次のアクセス設定を行えます。
| 設定 | 概要 |
|---|---|
| 信頼できる | 制限対象を含むGoogleサービスへアクセスできる |
| 特定のGoogleデータ | 管理者が指定したスコープだけを要求できる |
| 制限付き | 制限されていないGoogleサービスだけへアクセスできる |
| ブロック | Googleデータへアクセスできない |
「信頼できる」という設定は、そのアプリが将来にわたって絶対に安全だという意味ではありません。
Googleの説明では、信頼できるアプリは、制限対象を含むGoogle Workspaceサービスへアクセスできる設定です。必要以上に「信頼できる」を選ぶのではなく、可能な場合は「特定のGoogleデータ」を使用し、利用目的に必要な範囲へ限定することが重要です。
Googleの確認済み表示だけで判断しない
Googleの管理画面には、アプリがGoogleの確認プロセスを受けているかどうかが表示されます。
確認済みアプリは、Googleが一定のポリシーに適合しているかを確認したアプリです。ただし、Googleは、よく知られたアプリであっても必ずしも確認済みではないことがあると説明しています。反対に、確認済みであることだけを理由に、自社の全てのデータへのアクセスを許可してよいとは限りません。
次の二つは分けて判断してください。
- アプリの提供者が確認できるか
- 要求している権限が、自社の利用目的に合っているか
例えば、会議の日程調整だけを行うアプリが、Gmailの送信、メール設定の変更、Googleドライブ全体の読み書きまで要求している場合は、必要性を提供会社へ確認すべきです。
Googleは、Gmailの読み取り・送信・変更や、Googleドライブの広範な読み取り・変更などを、高リスクのOAuthスコープとして管理できるようにしています。
未設定の外部アプリをどこまで認めるか
Google Workspaceでは、管理者がまだ確認していない外部アプリについて、次のような方針を選択できます。
- 全ての外部アプリへのGoogleログインを認める
- 氏名、メールアドレス、プロフィール画像など、基本情報だけを要求するアプリに限って認める
- 管理者が設定するまで、外部アプリへのGoogleログインを認めない
また、契約プランなどの条件を満たす場合、利用者がブロックされたアプリの利用を管理者へ申請する仕組みも利用できます。
中小企業では、全てを禁止すると、現場が個人アカウントで外部サービスを利用し始める可能性があります。
そのため、実務上は次の方法が考えられます。
- 基本的なログイン情報だけを求めるアプリは一定条件で認める
- メール、ファイル、予定表へアクセスするアプリは申請制にする
- 高リスクな権限は管理者または責任者が個別に確認する
- 申請方法と回答期限を明確にする
- 承認済みアプリを社内で公開する
これはGoogleが定めた一律の運用ではなく、利便性と安全性を両立させるための実務上の一例です。
Google WorkspaceのOAuthログも確認する
Google Workspaceでは、OAuthログイベントから、外部アプリに関するイベントを検索できます。
管理コンソールでは、次の場所から確認します。
レポート → 監査と調査 → OAuthログイベント
利用できる機能や必要な管理者権限は契約プランによって異なります。Googleの公式資料では、OAuthログイベントの保持期間は6か月とされています。長期間の調査に備える必要がある場合は、自社の契約プラン、ログ保存要件、外部出力の必要性を確認してください。
アプリの一覧だけでなく、次のような情報も確認します。
- いつ許可されたか
- どの利用者が許可したか
- どのアプリに関するイベントか
- 権限が追加または取り消されていないか
- 管理者が把握していない利用がないか
Microsoft Entra IDで連携アプリを確認する
Microsoft 365で外部アプリを利用すると、そのアプリはMicrosoft Entra IDの「エンタープライズアプリケーション」として登録されることがあります。
アプリへ付与された権限は、Microsoft Entra管理センターの次の場所から確認できます。
Entra ID → エンタープライズアプリケーション → すべてのアプリケーション → 対象アプリ → アクセス許可
管理者が組織全体に許可した権限は「管理者の同意」、個別の利用者が許可した権限は「ユーザーの同意」で確認します。
Microsoftの公式資料では、管理者の同意によって付与された権限は管理画面から取り消せます。一方、ユーザーの同意を管理画面から直接取り消すことはできず、Microsoft GraphまたはPowerShellを使用する必要があるとされています。作業には、Cloud Application Administratorなどの適切な管理者権限が必要です。
管理画面でアプリ名だけを確認するのではなく、次の項目まで開いて確認します。
- アプリケーションID
- 発行元
- 利用者・グループ
- 管理者が付与した権限
- 利用者が個別に付与した権限
- 委任されたアクセス許可
- アプリケーションのアクセス許可
- サインインや監査ログ
- 業務上の責任者
Microsoftでは利用者の同意範囲を設定できる
Microsoft Entra IDでは、利用者が外部アプリへどこまで自分で同意できるかを設定できます。
管理画面では、次の場所から設定します。
Entra ID → エンタープライズアプリケーション → 同意とアクセス許可 → ユーザーの同意設定
Microsoftは、悪意あるアプリへ利用者がだまされて権限を付与するリスクを減らすため、確認済みの発行元が公開したアプリに限定し、管理者が低影響と分類した権限だけを利用者が許可できる設定を推奨しています。
ただし、「確認済みの発行元」であることは、利用目的や要求権限まで自社に適していることを保証するものではありません。
Microsoftも、確認済みの発行元であっても、同意画面でアプリが要求する権限と利用目的が合っているかを確認することが重要だと説明しています。
利用申請を管理者へ回す仕組みを作る
利用者による自由な同意を制限する場合は、業務上必要なアプリを申請できる仕組みも必要です。
Microsoft Entra IDには、利用者が自分では同意できないアプリについて、管理者へ承認を申請する「管理者の同意ワークフロー」があります。
申請を受けた管理者は、次の情報を確認できます。
- アプリが要求している権限
- アプリの詳細
- 申請した利用者
- 利用者が記載した申請理由
申請に対しては、承認、拒否、ブロックなどの対応ができます。ただし、承認方法によっては組織内の全利用者がアプリを利用できる状態になるため、利用者割当てなどの制限も合わせて確認する必要があります。
申請画面を用意するだけでは不十分です。
社内では、次の事項も決めておきます。
| 項目 | 決める内容 |
|---|---|
| 申請者 | 利用者本人、部署責任者など |
| 必要な情報 | アプリ名、提供会社、利用目的、対象データ |
| 確認者 | IT担当、個人情報保護担当、部署責任者 |
| 承認者 | 経営者、情報セキュリティ責任者など |
| 回答期限 | 通常申請、緊急申請の期限 |
| 有効期間 | 無期限にするか、期間限定にするか |
| 再確認 | 半年後、1年後、契約更新時など |
| 終了処理 | 権限取消し、データ出力、アカウント削除 |
権限の棚卸しで確認する八つの項目
ここからは、公式資料を踏まえた実務上の確認方法です。
アプリごとに、次の八つを確認してください。
1．現在も業務で使っているか
「以前、試しに使った」「前任者が使っていた」というアプリが残っていないか確認します。
利用していないアプリへ権限を残す理由はありません。
2．提供会社を確認できるか
アプリ名だけでなく、提供会社、公式サイト、問い合わせ先、プライバシーポリシーを確認します。
有名なサービスと似た名称だけで判断してはいけません。
3．利用目的を説明できるか
「便利だから」ではなく、どの業務に必要かを一文で説明できるようにします。
例として、次のように記載します。
営業担当者の日程調整のため、本人の予定表の空き時間を参照する。
4．要求権限が目的に合っているか
予定表の確認だけに利用するアプリが、メール送信やファイル削除の権限まで要求していないか確認します。
機能に対して権限が広すぎる場合は、提供会社へ理由を確認します。
5．対象者が広すぎないか
全社員が必要なのか、営業部門だけでよいのか、特定の担当者だけでよいのかを確認します。
組織全体への許可を、必要な部署や利用者へ絞れる場合があります。
6．個人情報や機密情報を扱うか
アプリがアクセスするメールやファイルに、顧客情報、採用情報、契約、技術情報などが含まれていないか確認します。
情報の重要度が高いほど、契約内容、保存場所、再委託先、事故時の連絡条件も確認する必要があります。
7．終了方法を確認しているか
利用を停止するときに、権限を取り消すだけでよいのか、外部サービス側のアカウント削除やデータ削除も必要なのかを確認します。
GoogleやMicrosoft側の権限を取り消しても、既に外部サービスへ保存されたデータが自動的に削除されるとは限りません。
8．最後に確認した日を記録しているか
「承認済み」とだけ記録すると、何年も見直されない可能性があります。
承認日、最終確認日、次回確認日を記録してください。
アプリを停止するときは、業務影響を先に確認する
不要なアプリが見つかっても、直ちにブロックすると業務処理が止まる場合があります。
例えば、次のような処理です。
- 会計システムへの請求データ取込み
- 電子契約サービスからの文書保存
- 顧客管理システムとメールの同期
- 勤怠管理と予定表の連携
- バックアップサービスへのデータ転送
- 自動化サービスによる通知やファイル作成
通常の棚卸しでは、次の順序で停止します。
- 利用者と業務責任者を確認する
- 停止した場合の影響を確認する
- 必要なデータを出力する
- 代替手段を準備する
- 権限を制限または取り消す
- 外部サービス側の連携を解除する
- 不要なアカウントとデータを削除する
- 作業結果を記録する
ただし、悪意あるアプリや情報漏えいが疑われる場合は、通常の変更手続よりも被害拡大の防止を優先します。
不審なアプリへ許可してしまったときの初動
社員から「よく分からないアプリに許可してしまった」と連絡を受けた場合は、本人を責めるよりも、早く報告されたことを重視してください。
初動の例は次のとおりです。
| 順序 | 対応 |
|---|---|
| 1 | アプリ名、画面、許可した日時、利用者を記録する |
| 2 | 要求された権限を確認する |
| 3 | 同じアプリを利用している他の社員を確認する |
| 4 | アプリをブロックし、付与した権限を取り消す |
| 5 | 必要に応じてトークンやセッションを無効化する |
| 6 | アプリによるアクセス履歴を調査する |
| 7 | メール、ファイル、予定表などへの影響を確認する |
| 8 | 個人情報や取引先情報への影響を評価する |
| 9 | 対応内容と判断理由を記録する |
Microsoftは、不審なアプリが見つかった場合、要求された委任・アプリケーション権限、アプリの活動、利用を許可した利用者のサインイン活動を調査し、アプリと同意済み権限を監査するよう案内しています。
Microsoft Entra IDでは、管理者が付与した権限の取消しに加え、Microsoft GraphやPowerShellを使用した権限取消しの手順が公開されています。実施には適切な管理者権限と、作業内容に関する理解が必要です。
自社で判断できない場合は、Microsoft 365やGoogle Workspaceの保守事業者、情報セキュリティ専門家へ早めに相談してください。
社内ルールの記載例
社内規程やクラウドサービス利用手順には、次のように記載できます。
従業員は、会社が管理するGoogleアカウントまたはMicrosoftアカウントを使用して、会社が承認していない外部アプリへ業務データへのアクセス権限を付与してはならない。
メール、ファイル、予定表、連絡先その他の業務データへアクセスする外部アプリを利用する場合は、利用目的、提供事業者、要求される権限、利用者、利用期間を記載し、事前に管理責任者の承認を受ける。
管理者は、承認済みアプリ、利用者、付与した権限および最終確認日を台帳で管理する。
利用目的が終了した場合、または提供事業者、要求権限、利用条件に重要な変更があった場合は、利用を再確認し、不要な権限を取り消す。
不審なアプリへ権限を付与した可能性がある場合、従業員は自己判断で画面や履歴を削除せず、速やかに管理責任者へ報告する。
これは法令やGoogle、Microsoftが指定した統一文面ではなく、実務上のひな型です。自社の体制、契約、利用サービスに合わせて修正してください。
棚卸しは年1回だけでよいか
全てのアプリを毎月詳しく確認することは、中小企業には負担が大きい場合があります。
実務上は、アプリの権限に応じて確認頻度を分ける方法が考えられます。
| 区分 | 例 | 確認頻度の例 |
|---|---|---|
| 重要 | メール、全ファイル、組織情報へ広くアクセスする | 毎月または四半期ごと |
| 通常 | 特定の予定表、選択したファイルだけへアクセスする | 半年ごと |
| 低影響 | 氏名、メールアドレスなど、ログイン用の基本情報だけ | 年1回 |
| 一時利用 | 試用、調査、短期プロジェクト | 終了時に即時確認 |
この頻度は公的な統一基準ではありません。
アプリが扱う情報の重要度、利用人数、権限の広さ、契約条件、事故発生時の影響に応じて決めてください。
また、定期確認を待たずに見直すべき出来事もあります。
- アプリの提供会社が変わった
- プライバシーポリシーが変更された
- アプリが新しい権限を要求した
- 利用部署や利用人数が増えた
- 担当者が退職、異動した
- 契約を終了した
- アプリに関する事故や注意喚起が公表された
- 自社で不審なアクセスが確認された
経営者が確認したい五つの質問
経営者がOAuthの技術仕様を全て理解する必要はありません。
まず、担当者へ次の五つを確認してください。
- 業務用Google・Microsoftアカウントと連携している外部アプリを一覧にできるか
- 各アプリが、メール、ファイル、予定表のどこまでアクセスできるか分かるか
- 利用目的と承認者が不明なアプリが残っていないか
- 新しいアプリの利用を管理者へ申請する方法があるか
- 不審なアプリが見つかったとき、権限とトークンを取り消し、ログを確認できるか
この五つに答えられなければ、会社のデータへ接続する入口の一部を、社員一人ひとりの判断に任せている可能性があります。
まとめ
「Googleでログイン」「Microsoftでログイン」は、パスワードを外部サービスごとに作成せず、認証をまとめられる便利な仕組みです。
しかし、ログイン時に外部アプリへ何を許可したかを確認しなければ、会社が把握していないアプリから、メール、ファイル、予定表などへアクセスできる状態が残る可能性があります。
重要なのは、全ての外部アプリを禁止することではありません。
次の順序で整理してください。
- 現在連携されているアプリを一覧にする
- 利用者、利用目的、提供会社を確認する
- 要求されている権限を確認する
- 必要以上に広い権限を制限する
- 不要なアプリの権限を取り消す
- 新規利用を申請制にする
- 定期的に利用状況を見直す
最初から全アプリを詳細に調査する必要はありません。
まずは、Google WorkspaceまたはMicrosoft Entra IDの管理画面を開き、利用者数の多いアプリと、メールやファイルへ広くアクセスするアプリを五つ選んでください。
その五つについて、次の一文へ答えられるか確認します。
このアプリは、誰が、何の業務に利用し、会社のどのデータへアクセスできるのか。
答えられないアプリがあれば、そこから棚卸しを始めてください。
ライトハウスコンサルタントでは、専任の情報システム担当者がいない中小企業を対象に、Google Workspace、Microsoft 365、外部SaaS、アカウント、連携アプリ、権限の棚卸しを支援しています。管理画面に多数のアプリが表示され、どれを残せばよいか分からない場合は、利用目的、データの重要度、権限の範囲から優先順位を整理することが重要です。
