Gmail ユーザーのプライバシー保護とセキュリティ確保
Google Cloud Japan Team
* この記事は米国時間 7 月 3 日に Keyword に投稿されたものの抄訳です。
私たち Google は、お客様がメールにどのようにアクセスし、利用したいかをお選びいただけるように、開発者のアプリケーション（たとえばメール クライアントや旅行プラン作成アプリ、CRM システム等）と Gmail をインテグレートできるようにしています。ただし、Gmail への全面的なアクセスを許可するにあたっては、Gmail とインテグレーション可能なアプリの開発者やアプリ自体の徹底的な検証を継続的に行っています。また、Gmail を利用している企業の管理者と一般ユーザーの双方に対して、データ利用の透明性とデータ管理の手段を提供しています。
Google 以外が提供するアプリケーションにどのような権限を与えたかは、セキュリティ診断にアクセスすることで確認でき、不要なアクセス権限が付与されていれば取り除くことが可能です。G Suite を利用している企業の管理者の場合は、Google 以外が提供するアプリに対して、管理下にあるユーザーのデータへのアクセスを許可するかをホワイトリスト方式で決められます。
お客様のデータの安全確保は私たちにとって最優先事項です。この投稿では、企業および一般のユーザーの両アカウントに対する Google の検査プロセスとユーザーが行える管理方法について説明します。
選択肢の提供と、セキュリティ侵害や詐欺アプリからの保護
Google 以外が提供するアプリをはじめとする活気に満ちたエコシステムは、お客様に様々な選択肢を提供し、メールというサービスからお客様が最大限の成果を引き出す上で有益なものです。ただし、Google 以外が提供するアプリが Gmail のメッセージにアクセスするには、複数のステップからなる審査プロセスが課せられています。審査内容には、開発者の自動審査と手動による審査、アプリの合法性を確認するためのプライバシー ポリシーとホームページの評価、アプリが説明どおりに動作することを確認するためのアプリ内テストが含まれます。Google 以外が提供するアプリが Google の審査に合格するためには、次の 2 大要件を満たす必要があります。
- アプリの正確な説明 : アプリについて正確に説明し、ユーザーのデータをどのように利用するのかを明らかにする必要があります。意図を偽ってはならず、プライバシーに関する明確な情報開示の手段をわかりやすい形で提供しなければなりません。
- 関係のあるデータのみを利用 : アプリは、その機能に必要な最小限のデータへのアクセスだけを求め（それ以上は認められません）、それをどのように使っているかを明確に示さなければなりません。
ユーザー自身によるデータ保護
透明性および管理手段の確保は、常にデータ プライバシーの中心的な原則です。私たちは、そうした原則を自らの製品に確実に反映させるために絶えず努力してきました。
Google 以外が提供するアプリにおいては、それらがデータにアクセスする以前に、必ずそのアプリがアクセスできるデータのタイプとデータの使い方を示す許可画面が表示されます。
アクセスを許可するにあたっては、この画面をしっかり確認することを強くおすすめします。
また、お客様が自身の情報をいつでも管理できるように以前から機能を提供しています。たとえばセキュリティ診断は、データにアクセスできるすべての Google 以外が提供するアプリを表示しています。潜在的に危険なアプリにはフラグが立ち、過去に与えた許可を取り消すことができます。許可の確認と管理は myaccount.google.com のアカウント設定ページでも行えます。
G Suite 管理者向けのツール
G Suite の管理者は、接続できる OAuth アプリのホワイトリストを作成し、 Google 以外が提供するアプリ対し、管理下のユーザーが、アクセスを許可できるデータのスコープを指定することができます。こうすることで、G Suite のユーザーは、所属組織によって検証かつ信頼されているGoogle 以外の OAuth アプリのみにアクセスを認められるようになります。業界最先端のセキュリティと AI 機能を提供する Gmail
Gmail は、スパムやフィッシング メールを 99.9 % シャットアウトし、受信トレイに届かないようにするなど、ワールドクラスのセキュリティ機能を備えています。私たちはこうした機能を提供するためにメールの自動処理を行っていますが、これは業界の標準的なプラクティスであり、作業効率の向上を支援するスマート リプライなどのインテリジェント機能を提供するうえでの基礎にもなっています。私たちが広告表示のためにメールの内容を読み取ったり、機械的な処理を行うことはありません。API アクセス料を外部の開発者から徴収することもありません。Gmail の主要なビジネス モデルは、G Suite の一部として企業に有料サービスを提供することです。確かに一般ユーザー向けの Gmail には広告が表示されますが、これはメールの内容に基づくものではなく、広告のカスタマイズはいつでも変更可能です。
メールの自動処理を理由に、Google が利用者のメールを読んでいるのではないかといった疑問やご指摘をいただくことがあります。Google では、ユーザーからの依頼と同意がある場合、もしくは、バグや不正利用の調査等セキュリティ上のやむを得ない場合を除き、Google のいかなる社員もユーザーの Gmail を読むことはありません。
プライバシーとセキュリティ保護のための取り組みに終わりはありません。私たちは常に、お客様を守るためのより良い方法を探し続けています。最近では、Google アカウントの透明性向上、広告表示設定の強化、悪意のあるアプリからの保護を強化するための新しい OAuth 保護の追加といった方策を講じました。また、保護機能の改善策についても継続的に発表しています。Keyword ブログの “Safety & Security” の最新記事をチェックしてください。プライバシーとセキュリティに関する Google のコミットメントについては privacy.google.com をご覧ください。
- Post by Suzanne Frey, Director, Security, Trust, & Privacy, Google Cloud
