【実例解説】Google Workspaceのアクセス権限トラブルから学ぶ企業情報資産管理のリスクと対策

クシム・ネクスグループのGoogle Workspaceアクセス権限問題とは

2025年7月末、上場企業であるクシム（東証スタンダード：2345）とネクスグループ（同：6634）の間で、Google Workspace上の情報資産管理を巡る深刻な紛争が表面化しました。

この事案は、単なる企業間のトラブルを超えて、現代企業が直面するクラウド環境での情報資産管理の重要性を浮き彫りにしています。フォレンジック調査の現場で数多くのクラウドセキュリティ事案を扱ってきた経験から言えることは、このような問題は決して他人事ではないということです。

問題の発端は、クシムが管理していたGoogle Workspaceアカウントの管理権限が、2025年初頭にネクスソフト（現ネクスグループ傘下）へ契約名義変更されたことにあります。

クシム側の主張：

ネクスグループ側の主張：

私がCSIRT（Computer Security Incident Response Team）として関わった事例を振り返ると、このようなクラウドアクセス権限問題は年々増加しています。

某IT企業では、退職した元システム管理者がGoogle Workspaceの管理者権限を保持し続けていたことが判明。その後、元従業員が会社の機密情報にアクセスしていた形跡が発見されました。幸い情報流出は防げましたが、調査には数ヶ月を要し、信頼回復に大きなコストがかかりました。

実は、個人や小規模事業者でも同様のリスクは存在します。例えば：

これらのケースでは、知らぬ間に重要な情報が第三者に見られている可能性があります。

Google Workspaceをはじめとするクラウドサービスでは、定期的にアクセス権限の見直しが必要です。特に以下のタイミングは要注意：

一人の管理者に全権限を集中させることは避け、複数人での管理体制を構築することが重要です。また、管理者の操作ログは必ず保存し、定期的に監査することをお勧めします。

今回のクシム・ネクスグループ事案の教訓として、クラウドサービスの契約名義変更には明確な承認フローが必要です。

多要素認証の導入
Google Workspaceに限らず、全てのクラウドサービスで多要素認証を有効にしましょう。パスワードだけでは不十分です。

定期的なパスワード変更
特に管理者アカウントのパスワードは、3ヶ月に一度は変更することを推奨します。

アクセスログの確認
月に一度は、誰がいつアクセスしたかのログを確認する習慣をつけましょう。

アンチウイルスソフトの導入により、マルウェアやフィッシング攻撃からアカウントを保護できます。特に、クラウドサービスへの認証情報を狙う攻撃が増加している現在、個人レベルでの対策は必須です。

また、リモートワークが普及した現在、VPN を使用することで、安全な通信環境を確保できます。特に、公共のWi-Fiから会社のクラウドサービスにアクセスする際は必須と言えるでしょう。

企業レベルでは、より包括的な対策が必要です。Webサイト脆弱性診断サービスを定期的に実施することで、外部からの攻撃に対する脆弱性を早期に発見・対処できます。

クシム・ネクスグループの事案は、クラウド環境での情報資産管理の複雑さと重要性を示しています。企業の規模に関わらず、適切な管理体制の構築は必須です。

特に重要なのは：

個人や中小企業であっても、基本的な対策を怠ることで重大な情報漏洩事故につながる可能性があります。今回の事案を教訓に、自社のクラウド環境の見直しを行うことをお勧めします。

情報セキュリティは一度設定すれば終わりではありません。継続的な改善と監視が、企業の重要な情報資産を守る鍵となるのです。