業務の主戦場となったブラウザに潜む「シャドー AI」リスク
クラウドサービスをフル活用した業務スタイルが定着する現在では、あらゆる作業がブラウザ上で行われるようになった。ブラウザは今や業務における「最も重要な作業プラットフォーム」へ進化したと言っても過言ではないだろう。
しかし、その利便性の反面、セキュリティ上のリスクも急速に拡大している。代表的なものが、IT 部門の把握していない AI ツールを従業員が個人の判断で利用する「シャドー AI」だ。入力データの AI 学習利用による意図せぬ情報漏えいなど、従来のネットワーク境界型防御では防ぎきれない新たな課題が顕在化している。
こうした背景から、企業の関心は今、業務の入口であるブラウザそのものを保護・管理する「ブラウザ セキュリティ」へと向いている。複雑化する脅威に対抗するため、エンタープライズ向けブラウザソリューションもまた、日々目覚ましい進化を続けている。
実際に、米調査会社のオムディアの調査によると、ナレッジワーカーが業務時間の過半数（56%）をブラウザ上で費やし、92% の組織が生成 AI ツールの利用を許可しているという。そのうえで、組織を守るためのセキュア ブラウジング ソリューションの導入を後押しする最も重要なユースケースでは、「生成 AI アプリケーションのセキュリティ」が 59% で第 1 位に挙がっているなど、ブラウザを起点とした AI 時代のセキュリティへの関心が急速に高まっていることがうかがえる。
次のセクションでは、まず Chrome Enterprise の基本的な特徴を振り返りつつ、高度化する脅威に対応するために追加された最新機能の全体像へと迫っていく。
ブラウザ起点のセキュリティ対策
先述のように、 現在ではユーザーの利用状況を可視化し、細かな行動まで制御できる「ブラウザ起点のセキュリティ対策」が、複雑化する脅威への効率的な一手として注目を集めている。
その具体的なソリューションが Chrome Enterprise Premium だ。組織で利用される Chrome ブラウザの設定を一括制御し、利用状況を可視化できるソリューションである。ユーザーの端末にエージェント ソフトを導入する必要がなく、使い慣れたブラウザ上でセキュリティを強化できる点が大きな特徴だ。
300 を超えるポリシーの一元管理や拡張機能の統制、組織内の各ブラウザのセキュリティ イベントの可視化などを実現でき、セキュリティ強化に大きく寄与する。
さらに、AI 利用に関する対策をより強化したい企業には、機密情報のコピー ＆ ペーストやアップロード・ダウンロードなどを検知・制御する「データ損失防止（DLP）」機能や、Web サイトへのアクセスを URL カテゴリ単位でブロックできる「URL カテゴリ フィルタリング」、デバイスやユーザーの状況に応じて SaaS や Web アプリへのアクセスを動的に制御する「コンテキスト アウェア アクセス」や「マルウェアのディープスキャン」なども Chrome Enterprise Premium ならではの機能だ。
AI 時代に対応して進化した「5 つの注目機能」
Chrome Enterprise はこの 1 年、AI の安全な活用と管理に向けて機能を大きく強化している。単なる制御にとどまらず、現状の可視化から日々の運用まで、セキュリティを強化しつつ、IT 管理者の負担を減らす方向へと進化しているのが特徴だ。今回は直近追加された 5 つの注目機能を紹介したい。
1. Gen AI & SaaS アプリ レポート
課題
・従業員が業務でどの生成 AI や SaaS を使っているのか、IT 管理者が実態を把握できない
・シャドー AI のリスクがどこに潜んでいるのか、推測に頼らざるを得ない
・数ある対策のうち、何から優先して手を打つべきか判断できない
解決策
Gen AI & SaaS アプリ レポートは、組織や部門内で「どの AI や SaaS が」「どの程度」使われているかを、ユーザー数や訪問数、機密コンテンツの転送イベントといった指標で一元的に可視化できる機能だ。推測ではなく客観的なデータとしてシャドー AI の利用実態を把握できるため、対策の優先順位が明確になる。
さらに Chrome Enterprise Premium では、レポート画面から直接 DLP ルールの作成などの是正措置を取れるようになっている。数回クリックするだけで、リスクのあるアプリへのアクセスやデータ入力のブロック、警告画面を通じた会社承認済み AI ツールへのユーザーの案内が可能になる。
また、Chrome Enterprise の最新のプロファイル レポート機能により、従来のデバイス単位の管理だけでなく、個人所有の端末（BYOD）などで利用される『業務用の管理対象プロファイル』にまでレポートの対象を拡張できる。IT 管理者は管理対象のすべてのプロファイルにわたって、シャドー IT や拡張機能の利用状況を一元的に把握することが可能だ。これにより IT チームは、会社支給端末・私物端末を問わず、業務プロファイルにおける不正またはリスクのあるアクセスを迅速に特定し、組織全体のセキュリティ リスク軽減に役立てられる。
2. 新しい拡張機能のインストール モード
ブラウザセキュリティ対策で盲点になりやすいのが、拡張機能である。Chrome Enterprise では従来から提供していた拡張機能の管理に関して、直近では制御の柔軟性やオプションがより拡充している。
課題
・IT 管理者が導入した後で拡張機能に問題が生じても、ユーザー側ですぐに対応できない
・従来のブロック設定では導入済みの拡張機能を無効化できても、ブラウザからアンインストールして完全に削除することまではできない
・拡張機能にリスクが発覚した際に、複雑な操作なく迅速に対処したい
解決策
こうした拡張機能の課題に対して、Chrome Enterprise では直近、制御の柔軟性とオプションが拡充された。1 つが「強制インストール（ユーザーによる無効化を許可）」である。管理者側で強制導入する拡張機能であっても、ユーザーが必要に応じて一時的に無効化できるため、問題が発生した場合も IT 管理者の対応を待たずに緊急対応が可能になる。もう 1 つが、新たに追加された「ブロックしてアンインストール」オプションだ。IT 管理者がブロックする以前にユーザーが導入していた拡張機能でも、ブラウザから強制的に削除できるようになる。
3. 拡張機能の申請・承認ワークフローの進化
課題
・従業員から申請された拡張機能が信頼できるかどうか、IT 管理者がすぐに判断しづらい
・ユーザーからの申請対応に追われ、IT 管理者の業務負担になっている
解決策
Chrome Enterprise には、従業員がブラウザ上から使いたい拡張機能を申請し、IT 管理者の承認を経て利用できるワークフローが備わっている。ここにサードパーティ評価に基づくリスクスコアを参照しながらワンクリックで承認・却下を判断できる仕組みが新たに追加された。さらに、承認・インストール後にリスクスコアが基準を超えた拡張機能を自動でブロックする機能も、IT 担当者の負荷軽減に有用だ。
加えて、問題のある拡張機能に迅速に対処する「拡張機能の自動ハードニング」も導入された。1 つ目は、ゲームやエンターテインメントなど Chrome ウェブストアのカテゴリ単位で拡張機能をブロックする機能で、新規インストールを防ぐと同時に、既存の拡張機能も組織全体で即座に無効化する。2 つ目は最小バージョンの強制で、既知の脆弱性が修正された場合などに、古いバージョンの拡張機能を安全なバージョンが導入されるまでブロックできる。3 つ目は拡張機能の強制アップデート機能で、管理コンソールから即座に更新コマンドを送信し、従来は数時間かかっていた脆弱性の修復を数分にまで短縮できる（なお、リスクスコアによる自動ブロック、カテゴリ単位のブロック、および拡張機能の強制アップデートは Chrome Enterprise Premium で提供される機能となる）。
4. AI による推奨アクション機能
課題
・日々追加されるブラウザの新機能やポリシー変更を追いきれない
・数ある変更のうち、自組織に関係するものがどれか見極めるのに手間がかかる
・ポリシー設定が正しくできているか自信が持てない
解決策
IT 管理者の業務を支援する機能も追加されている。それが、AI（Gemini）がリリースノートを読み解き、自組織の状況に照らして関連性の高い新機能やポリシー変更をスポットライトとして強調表示し、次に取るべきアクションを提示する機能である。専門知識が十分でない IT 管理者でも、高度なガバナンス体制を迅速かつ安全に構築する上で役立つ機能だ。
5. AI エージェントによるワークフローへの DLP ルール適用
課題
・従業員が未許可の生成 AI ツールに機密データを入力してしまうおそれがある
・一律にブロックするだけでは、従業員を安全な選択肢へ導けない
・AI エージェントが業務を代行する際のデータの扱いを統制できない
解決策
機密データ保護の目的は、リスクのある行動を単にブロックすることではなく、従業員を安全な選択へと導くことにある。先述のように、これに対する解決策として Chrome Enterprise Premium では、機密データをコピー ＆ ペーストしようとした際などに、監査・警告・ブロックを適用できるブラウザ ネイティブな DLP 機能を搭載している。
従業員が未許可のシャドー AI ツールに機密データを入力した際に、Chrome ブラウザがカスタム警告やブロック画面を表示して操作に介入し、企業が承認したツールへと案内する。さらに直近では、この DLP による保護は Gemini in Chrome の自動ブラウジング機能をはじめとする「エージェント型ワークフロー」にも拡張されている。ブラウザ上の AI エージェントが人間に代わって Web フォームへのテキスト入力などの自動操作を行う場面でも、人間の従業員によるコピー ＆ ペーストとまったく同じセキュリティ ガードレールと DLP ポリシーが適用されるということだ。
DLP を始めるなら「9 つのおすすめルール」の活用を
ここまでブラウザ セキュリティ対策と最新機能を紹介したが、一方で「できることが分かったが、多機能ゆえに何から設定すればよいか分からない」という声もあるだろう。
ここでは、Chrome Enterprise の特にデータ保護における役立つ新機能を紹介しよう。例えば生成 AI 利用における情報漏えい対策には Chrome Enterprise Premium の提供する「DLP 機能」が有効であることは前述したが、組織が優先的に設定しておきたい 9 つの「おすすめのテンプレート」が新たに提供されている。まず DLP 機能を利用したい企業はこのテンプレートを活用することで、素早く無理なく重要なところから DLP の運用を開始できるというわけだ。
すぐに使用できる DLP テンプレート
具体的には、「生成 AI サイトへのアクセスを監査」「生成 AI サイトへのアクセスをブロック 」「生成 AI サイトへの貼り付けをブロック」「個人情報（PII）や金融・医療情報の共有を防止」「機密データを含むサイトでの画面 キャプチャを無効化」「外部サイトへのアップロードをブロック」「機密データを含むサイトに透かしを追加」といった、シャドー AI 対策に直結するルールが用意されている。専門知識がなくても、ゼロから設定を組み立てる必要はない。
セキュリティ対策は、強度を上げれば利便性が犠牲になるというイメージを持つ方もいるかもしれない。しかし、現在ではセキュリティ技術の進化によって必ずしもどちらか一方を選ぶものではなくなっている。Chrome Enterprise は、AI の利便性を享受しながら、組織の情報資産を安全に守るための有効な対策だと言えるだろう。
