セキュリティ研修：Google 高度な保護機能プログラム
セキュリティ研修「Google 高度な保護機能プログラム」の内容を、記事として読みやすくまとめました。テーマは「パスワードが盗まれても、乗っ取らせない。」Googleが提供する最も強いアカウント保護で、無料で誰でも登録できます。全員が必須というわけではありませんが、「どんな仕組みか」「自分は対象か」を判断できるようになるのがこの記事のゴールです。
1. なぜ今、必要なのか
パスワードも、SMSの確認コードも、だまし取られれば突破される
標的型攻撃：不特定多数ではなく「あなた」を狙い、取引先や上司を装ったメールで、本物そっくりのログイン画面へ誘導します。
通常の2段階認証の弱点：偽サイトにパスワードと確認コードを入力させられると、攻撃者がそのまま本物のサイトでログインできてしまいます。
SMSや認証アプリの6桁コードは「人が入力するもの」なので、偽サイトに入力させられれば盗まれます。これがフィッシングの怖さです。
フィッシングはこうして起きる
① 攻撃者が、本物そっくりの偽メールを送る
② あなたが偽サイト（例：g00gle-login.com）にパスワードと確認コードを入力する
③ 入力した情報が、すぐに攻撃者へ渡る
④ 攻撃者が、あなたになりすまして本物のGoogleにログインする
偽サイトのアドレスは「g00gle」のように1文字だけ違うなど、見た目では気づきにくいものです。6桁コードも、数十秒以内なら同じように使われてしまいます。
2. 高度な保護機能プログラムとは
標的型攻撃のリスクが高い人のために、Googleが用意した最高レベルのアカウント保護です。便利さを少し手放す代わりに、乗っ取りへの守りを最大化します。
2017年10月 提供開始：その後Chrome保護やパスキー対応などで拡充
無料：費用がかかるのは、物理的なセキュリティキーを買う場合のみ
誰でも登録可：想定対象は経営者、ジャーナリスト、選挙関係者、活動家など
不要になればいつでも解除できます。会社で言えば、経営層や振込・機密情報を扱う人がまさに“狙われやすい人”に当たります。
登録すると、何が変わるのか（4つの守り）
① ログインはパスキー／キー必須：パスワードが漏れても、本人のスマホやセキュリティキーがなければログインできない
② 外部アプリの接続を制限：Googleのアプリと確認済みのアプリ以外は、Gmailやドライブのデータにアクセスできない
③ 危険なメール・ファイルを遮断：Gmailの検査を強化。Chromeでは危険なダウンロードに警告を出し、場合によってはブロック
④ アカウント復元を厳格に：「パスワードを忘れた」を装った乗っ取りを防ぐため、本人確認を厳しくする
①が中心です。②〜④は「別の入口」をふさぐ対策です。Chromeの保護は、Chromeに同じアカウントでログイン・同期している場合に効きます。
パスキーは、偽サイトでは働かない
本物のサイト（google.com）：スマホの鍵が反応 → ログイン成功
偽サイト（g00gle-login.com）：鍵が反応しない → 何も渡さない
パスキーは「どのサイト用の鍵か」を覚えていて、アドレスが1文字でも違えば動きません。だまされても、盗まれるものがないのが強みです。人の目はだませても、パスキーやセキュリティキーはだませません。
全体像：誰が、何から、どう守るか
中心にあるのは、高度な保護機能をオンにした「あなたのGoogleアカウント」です。
パスキー／キー：本人だけが持つ鍵。ログインに必須
攻撃者：盗んだパスワードだけでは入れない
Workspace管理者：会社アカウントの場合、登録を許可し復旧を支援
Gmail・Chrome：危険なメールやダウンロードを遮断
未確認の外部アプリ：Googleデータへの接続を制限
スマホ本体：Android 16 以降の別設定で守る（アカウントの登録とは独立）
通常の2段階認証との違い
ログイン方法：通常はパスワード＋SMS・認証アプリなど ／ 高度な保護機能はパスキーまたはセキュリティキー必須
フィッシング：通常はコードをだまし取られると突破される ／ 高度な保護機能は偽サイトでは認証が成立しない
外部アプリ：通常は自由に連携できる ／ 高度な保護機能は確認済みのアプリのみ
アカウント復元：通常は比較的かんたん ／ 高度な保護機能は厳格（時間がかかる）
使い勝手：通常は手軽 ／ 高度な保護機能は制限があり、やや不便
ポイントは「安全性と便利さのトレードオフ」。だからこそ、狙われやすい人から優先して使うのが現実的です。
3. 登録の準備・手順・注意点
必要なもの
認証手段の組み合わせ（いずれか）：
パスキーまたはセキュリティキーを2つ
パスキー1つ＋セキュリティキー1つ
パスキーかキー1つ＋再設定用の電話番号・メール
パスキーが使える環境：
PC：Windows 10／macOS Ventura／ChromeOS 109 以降
スマホ：iOS 16／Android 9 以降
物理キー：FIDO2 対応のもの（例：Titan セキュリティ キー）
2024年7月から、物理キーを買わなくても、スマホのパスキー（指紋・顔・PIN）だけで登録できるようになりました。ただし紛失に備え、2つ目の手段か再設定用の連絡先は必ず用意してください。
4ステップで登録できる
1. 準備する：端末のOSを更新し、再設定用の電話番号・メールを最新にする
2. 登録ページへ：「Google 高度な保護機能プログラム」の公式ページで登録を開始
3. 鍵を登録：パスキーかセキュリティキーを選び、指紋・顔・PINで本人確認
4. 再ログイン：ほかの端末やアプリはログアウトされるので、順に入り直す
登録直後はメールソフトなどで再ログインが必要になるので、時間に余裕がある時に行ってください。
実際の設定 STEP 0：まずパスキーを作っておく
1. ブラウザで myaccount.google.com を開く
2. 左のメニューで「セキュリティ」を選ぶ
3. 「パスキーとセキュリティキー」→「パスキーを作成」
4. 指紋・顔・PINで本人確認して完了
同じ画面で再設定用の電話番号・メールも最新にしておきましょう。スマホでは「Googleアプリ」や「設定 › Google › Googleアカウントの管理」からも同じ画面に行けます（画面の表記は変わることがあります）。
STEP 1：登録ページを開いて「始める」
1. PCのブラウザで google.com/advancedprotection を開く
2. 「始める」をクリック（英語表示では「Get started」）
3. 登録したいGoogleアカウントでログイン
4. プログラムの説明を読み、「次へ」
注意：検索広告や偽サイトに注意。アドレスが google.com か必ず確認しましょう。登録作業はPCで行うのがおすすめです。
STEP 2：鍵（パスキー／キー）を選んで登録
1. 登録方法で「パスキー」か「セキュリティキー」を選ぶ
2. パスキー：スマホやPCの画面ロック（指紋・顔・PIN）で確認
3. セキュリティキー：USBやNFCで接続し、キーに触れる
4. 予備の鍵か、再設定用の連絡先を追加
鍵が1つだけの場合は、紛失に備えて再設定用の電話番号・メールの登録が必要です。
STEP 3：内容を確認して「登録」
1. 登録後に変わること（アプリの制限など）を確認
2. 「登録」をクリック
3. ほかの端末・アプリは自動でログアウトされる
4. スマホ・PC・メールアプリで、鍵を使って再ログイン
登録の直前に制限事項の一覧が表示されます。業務に必要な外部ツールがないか確認し、会議の直前などは避けましょう。
STEP 4：登録できたか確認する／解除する
確認のしかた：myaccount.google.com の「セキュリティ」に、高度な保護機能に登録済みと表示されればOK
解除するとき：高度な保護機能の項目から「登録を解除」→パスワードで確認。通常の2段階認証に戻る
パスキーやキーが2つ以上登録されているか、再設定用の連絡先が正しいかもあわせて確認しましょう。
管理者向け：Google Workspace で社員に使わせる
1. 組織全体で2段階認証を許可しておく
2. 管理コンソール（admin.google.com）で「セキュリティ」→「認証」→「高度な保護機能プログラム」
3. 対象の組織部門でユーザーの登録を許可
4. 対象者に登録期限と「登録後は全端末で再ログイン」を通知
Googleは、特権管理者、請求・経理部門、経営幹部などを優先対象として挙げています。外部アプリの許可リストも事前に設定しておくと混乱が減ります。鍵をすべて失った社員の復旧には管理者の対応が必要になります。
登録前に知っておくべきこと
一部のアプリが使えなくなる：未確認の外部アプリやメールソフトは、Googleのデータに接続できなくなる
Androidはストア外アプリ不可：確認済みのストア以外からのアプリのインストールが制限される
紛失時の復元に時間がかかる：本人確認が厳しく、数日かかることも。予備の鍵を必ず用意し、安全な場所に保管
解除はいつでもできる：不要になれば解除でき、通常の2段階認証に戻る
最大のリスクは「自分も締め出される」こと。業務で使っている外部連携ツールが使えなくならないか、事前に確認してください。
4. 似た機能の整理と、社内で誰が使うべきか
名前は似ていても、守る対象が違う
高度な保護機能プログラム（この記事のテーマ）：守る対象はGoogleアカウント。Gmail・ドライブ・連絡先などのデータを保護し、PC、iPhone、Androidなど、どの端末からのアクセスにも適用される
高度な保護機能（Android 16 以降の端末設定）：守る対象はスマホ本体。設定アプリから一括で有効化し、ストア外アプリのブロック、2G・WEP接続の遮断、ロック中のUSBデータ遮断など（機能は機種により異なる）
狙われやすい人は、両方を組み合わせるとより強固になります。
誰が登録すべきか
登録を強く推奨：経営者・役員、経理・振込担当、管理者権限を持つIT担当、広報・公式SNS担当
検討を推奨：取引先の機密情報、個人情報、設計図面などを日常的に扱う人
全員：最低限、2段階認証を有効にする。可能ならパスキーでのログインに切り替える
Google Workspace の場合は、管理者が対象ユーザーに高度な保護機能を設定・強制できます。個人で登録するより管理コンソールから設定するほうが、鍵の紛失時の対応も含めて運用しやすくなります。
理解度チェック
Q1：パスワードが漏れても、なぜ乗っ取りを防げるのでしょうか？
Q2：登録の前に準備しておくべきことを2つ挙げてください。
Q3：Android 16 の「高度な保護機能」とは何が違うでしょうか？
解答例：
A1：ログインにパスキーやセキュリティキーが必須で、本人の端末・キーがないと入れないから。また、それらは本物のサイトにしか反応しないため、偽サイトでだまし取れない
A2：予備の鍵（2つ目のパスキー・キー）または再設定用の電話番号・メールを用意する／端末のOSを最新にする／業務で使う外部アプリが使えなくならないか確認する
A3：プログラムはGoogleアカウントを守り、どの端末にも適用。Android 16の機能はスマホ本体を守る端末設定
まとめ：今日から、ここだけは実行する
1. 自分の設定を確認：Googleアカウントのセキュリティ画面で、2段階認証とパスキーの状況を見る
2. 対象者は登録を検討：経営層・経理・管理者など狙われやすい人から、高度な保護機能を導入する
3. 予備の鍵を用意：鍵は2つ以上。再設定用の連絡先も最新にして、締め出しを防ぐ
安全性と便利さはトレードオフ。守りの強さは「立場」に合わせて選ぶ。
参考資料：Google公式「高度な保護機能プログラム」ページ、Google Workspace Updates ブログ（2019年8月、企業向け高度な保護機能）、各種報道（2024年7月のパスキー単体登録対応、2025年のAndroid 16 高度な保護機能）。内容は2026年11月時点の公開情報に基づきます。最新の仕様は公式ページで確認してください。
コメント