社内情報セキュリティ強化マニュアル・例文メール（Gmailパスワード流出の確認方法・対策）

社内情報セキュリティ強化マニュアルGmailパスワード流出を確認するための確実な手順と注意点

本マニュアルの目的

この文書は、社内のGoogleアカウント（Gmailを含む）の安全性を確保するために、
「パスワード流出が発生していないかを自分で確認する方法」を明確に示したものです。

Gmailは業務情報のやり取りや社外連絡など、会社全体の通信の中心となっています。
そのため、ひとりのアカウントの流出が全社的な情報漏えいにつながる可能性があります。

本マニュアルでは、社員一人ひとりが自らのアカウントを点検し、
流出を未然に防止できる状態を維持するための正しい手順を説明します。
対象はIT部門だけでなく、すべての職員・派遣社員・契約社員を含みます。

流出確認の重要性

パスワード流出は、自分の過失ではなく外部サービスの不備で発生する場合が多いことが特徴です。
例えば、業務で登録した取引先の会員サイトや、個人で利用しているショッピングサービスなどが
外部攻撃を受け、保存されていた認証情報（メールアドレス・パスワード）が漏洩するケースがあります。

攻撃者は、その情報を使って他のサービスにも同じ組み合わせでログインを試みます。
これを「リスト型攻撃」と呼びます。
つまり、別のサイトの漏洩が自分のGmail侵入につながるというのが現代の特徴です。

したがって、「Gmailを使っているだけだから安心」と考えるのは危険です。
業務で使用するGoogleアカウントは定期的な自己点検が必須です。

Google公式による安全確認手順

Googleパスワードチェックアップの利用

Googleは、パスワードが流出・使い回し・脆弱であるかを自動で診断できる
「パスワードチェックアップ（Googleパスワードマネージャー）」という公式機能を提供しています。

操作手順：

1. 社内端末のブラウザで https://passwords.google.com にアクセスします。
2. 社内用Googleアカウントでログインします。
3. 画面上の「パスワードを確認」ボタンを選択します。
4. 自動診断が行われ、次の3項目が表示されます。
   – 流出しているパスワード
   – 複数サービスで使い回されているパスワード
   – 推測されやすい弱いパスワード

結果が「安全」と表示されれば現時点で問題はありませんが、
一つでも警告が出た場合は、その場でパスワード変更を実施してください。

診断結果の見方と対応

• 「流出」と表示された場合：
  そのパスワードが外部データベース上に確認されています。直ちに変更が必要です。
• 「使い回し」と表示された場合：
  複数サイトで同一パスワードを使用している状態です。各サイトごとに異なるパスワードへ更新してください。
• 「弱い」と表示された場合：
  文字数が短い、または単純な組み合わせ（例：abc123など）です。長く複雑なものへ変更を推奨します。

ダークウェブ上の流出確認

Googleアカウントには、もう一つの安全確認機能として「ダークウェブレポート」があります。
ダークウェブとは、通常の検索エンジンに表示されない匿名性の高い領域で、
漏洩したアカウント情報が売買されることがあります。

手順：

1. Googleアカウント → 「セキュリティ」メニューを開く。
2. 「ダークウェブレポート」をクリックし、「今すぐチェック」を選択。
3. 自分のメールアドレスが流出していないか確認。

Googleが定期的にスキャンし、もし検出された場合は通知が届きます。
通知があった際は、該当するサービスのパスワードを即時変更し、
二段階認証を有効にしておきましょう。

セキュリティ診断とログイン履歴の確認

「流出はない」と診断されても、実際に不正アクセスが行われていないかを確認する必要があります。
これを行うのが「セキュリティ診断」です。

手順：

1. Googleアカウント → 「セキュリティ」 → 「セキュリティ診断」を開く。
2. 「最近のセキュリティ イベント」および「ログインしているデバイス」を確認。
3. 見覚えのない端末や国・地域が表示されている場合、不正アクセスの可能性があります。

その際は、すぐにパスワードを変更し、社内の情報システム部門に報告してください。

外部サイトによる流出チェック（注意喚起）

Google以外にも、メールアドレスの流出を確認できる外部サービス（例：Have I Been Pwned）があります。
ただし、パスワードは絶対に入力しないでください。
メールアドレスだけを入力し、結果のみを確認してください。

信頼できないサイトを利用すると、逆に新たな情報漏えいにつながることがあります。
外部チェックは補助的な手段にとどめ、基本はGoogle公式ツールでの確認を徹底します。

チェック結果後の報告・記録ルール（社内用）

• 自分のアカウントに異常が見つかった場合は、速やかに情報システム部へメール報告。
• 件名例：「【重要】Gmailパスワード流出警告の検出報告」
• 内容には「発見日・確認方法・対応済みかどうか」を明記。
• 流出が疑われる状態で業務メールを送信するのは禁止。

定期点検スケジュール（社内推奨）

よくある誤解と注意点

• 「Googleだから安全」→ ×　攻撃対象はアカウント利用者そのものです。
• 「二段階認証をしているから大丈夫」→ ×　設定を変えられるケースがあります。
• 「流出したけど使われていないなら平気」→ ×　将来悪用されることがあります。

パスワード流出が確認された場合の初動対応手順と社内対応ルール

本章の目的

この文書では、「Googleパスワードチェックアップ」や「ダークウェブレポート」などの診断により、
自分のGmailパスワードが流出している可能性が確認された場合の、最初の24時間以内に行うべき行動を明確に定めます。

流出が確認された後の対応スピードが、被害の大きさを決定します。
行動が遅れれば、第三者による不正ログイン、メール転送設定の改ざん、
さらには業務上の重要情報（取引先、契約情報、顧客データ）への不正アクセスにつながる恐れがあります。

社内では、確認後最優先で下記の手順に沿って対応することを義務とします。

まず行うべき最優先行動（同日中）

流出が判明した時点で、以下の行動を即時実施してください。
目安として、発見から「1時間以内」に着手することを推奨します。

Gmailパスワードの即時変更

Google公式サイトから新しいパスワードを設定します。

1. https://myaccount.google.com/security にアクセス
2. 「Googleへのログイン」→「パスワード」を選択
3. 現在のパスワードを入力後、新しいパスワードを設定

新しいパスワードの条件：

• 10文字以上
• 大文字・小文字・数字・記号を組み合わせる
• 過去に使ったことのあるパスワードは再利用しない
• 家族や業務仲間にも共有しない

Googleパスワードマネージャーを利用すれば、複雑なパスワードを自動生成し安全に保存できます。

同一パスワードを使っている他のサービスも変更

攻撃者は、流出したパスワードを別のサイトでも試します。
Gmailと同じ、あるいは似たパスワードを使っているサービス（例：社内クラウド、SNS、通販サイトなど）は、
すべて即時に変更してください。

社内で共通パスワードを使用していた場合は、情報システム部へ報告し、共有管理を一時停止します。

二段階認証（2FA）の有効化

パスワードが知られてもログインできないように、二段階認証を必ず設定します。

1. Googleアカウント → 「セキュリティ」 → 「2段階認証プロセス」
2. 認証方法を選択：
   – 推奨：Google認証システムアプリ（Authenticator）
   – 次点：パスキー（生体認証）
   – 補助：SMS認証（通信リスクあり）

二段階認証を設定すると、パスワードを盗まれても本人のスマートフォン認証なしではログインできません。

Gmail内の不正設定を確認

不正アクセス後、攻撃者が設定を変更している場合があります。
下記を確認し、不審な設定があれば削除してください。

確認箇所：

• Gmail → 右上の歯車マーク → 「すべての設定を表示」
  1. 「転送とPOP/IMAP」タブ → 見覚えのない転送先がないか
  2. 「フィルタとブロック中のアドレス」タブ → 不審なフィルタがないか
  3. 「アカウントとインポート」 → 不明なアドレスが紐付いていないか

特に注意：
「特定の条件でメールを削除」や「特定アドレスへ自動転送」などの設定は、
攻撃者が自身の痕跡を隠す目的で仕込むケースがあります。

不正アクセスが疑われるデバイスを強制ログアウト

Googleアカウントの「デバイス管理」ページにアクセスし、
自分が使用していない端末・地域からのログイン履歴がないか確認します。

1. https://myaccount.google.com/security-checkup
2. 「ログインしているデバイス」を確認
3. 不審な端末を選び「ログアウト」または「削除」を実行

ログアウトを行うと、その端末で自動的にセッションが切断され、再ログインが必要になります。

社内連絡体制と報告ルール

流出が確認された場合、必ず以下の順序で報告・共有を行います。

直属の上司への報告

口頭またはチャットツールで「パスワード流出確認のため対応中」である旨を報告。

情報システム部（セキュリティ管理課）へメール連絡

件名例：

【重要】Gmailパスワード流出確認の報告（○○部 ○○）

本文記載項目：

• 発見日時
• 流出確認方法（パスワードチェックアップ・ダークウェブレポートなど）
• 現時点の対応状況（パスワード変更済み、二段階認証設定済みなど）
• 不審ログイン履歴の有無

報告後、情報システム部がログ監査を実施し、
必要に応じてGoogle管理コンソール上でアカウント強制ログアウトやアクセス制限を行います。

関連サービスへの影響確認

Gmailと連携している他のGoogleサービス（カレンダー、ドライブ、ドキュメント等）も、
同一アカウントで利用されているため、設定を再確認してください。

特に次の項目に注意が必要です：

• Googleドライブの共有リンクに不明な外部アドレスが追加されていないか
• カレンダーに不審な招待（リンク付きのイベントなど）が登録されていないか
• Google Meetの履歴に不明な会議が作成されていないか

取引先・顧客情報の取り扱いに関する注意

業務上の連絡に使用しているGmailが流出した場合、
第三者が「なりすましメール」を送るリスクがあります。

対策：

1. 該当期間中にメールをやり取りした主要取引先・顧客に「安全確認のためのご連絡」を送付。
2. 社外向けメールテンプレート（情報システム部が用意）を使用。
3. メール本文には個人情報や認証リンクを記載しない。

社員が誤って偽通知に反応してしまった場合の対応

もしも「フィッシングメール」や「偽セキュリティ通知」でパスワードを入力してしまった場合は、
以下の順序で対応します。

1. 直ちにパスワードを変更（Gmail・関連サービスすべて）
2. 入力したサイトのURLを情報システム部へ報告
3. 同一端末で業務データを扱っていた場合、端末のマルウェアスキャンを実施
4. 不正送信の痕跡があれば速やかに上長報告

この手順を徹底することで、被害の拡大を最小限に抑えられます。

よくある誤対応と再発防止策

情報システム部による支援対応

情報システム部では、流出事案が報告された際に以下を実施します。

• Google管理コンソールでのアクセスログ調査
• 不正転送設定の確認・削除
• 影響範囲の特定（共有ドライブ、連携アプリなど）
• 社外通知が必要な場合のテンプレート提供

社員本人からの早期報告が迅速な対応につながります。
疑わしい場合でも、「報告のしすぎ」より「報告が遅い」方が被害を拡大させます。

9. 最終チェックリスト（初動対応完了判定）

このチェックリストを完了した時点で、「初動対応完了」となります。

社内情報セキュリティ強化マニュアル

不正ログインの兆候を把握し、異常を早期に発見するための監視手順

1. 本章の目的

第1回では「流出の確認方法」、第2回では「流出後の初動対応」を扱いました。
今回の第3回は、日常的な監視＝モニタリングの重要性を取り上げます。

サイバー攻撃は「静かに侵入し、長期間潜伏する」のが一般的です。
つまり、パスワードを盗まれてすぐ被害が出るとは限らず、
侵入後に内部情報を観察し、適切なタイミングで悪用されるケースが多発しています。

したがって、「流出を防ぐ」だけでは不十分で、
常に自分のアカウントの状態を監視し、異変を早期に察知することが組織防衛の鍵となります。

 Gmailの「最近のアクティビティ」からアクセス状況を確認

Googleは、すべてのログイン操作を詳細に記録しています。
これを確認することで、第三者の不正アクセスをいち早く発見できます。

手順：

1. パソコンでGmailを開き、受信トレイの一番下までスクロール。
2. 右下にある「詳細（Details）」をクリック。
3. 「最近のアカウント アクティビティ」が表示されます。

ここでは、以下の情報を確認できます：

• アクセスしたIPアドレス
• 端末の種類（パソコン・スマートフォン・POP/IMAPなど）
• アクセス元の地域
• ログイン日時

チェックポイント：

• 普段使用しない地域（例：海外など）からのアクセスがないか
• 深夜など通常勤務外の時間帯にアクセスがないか
• 繰り返し同一IPでの短時間アクセスがないか

不明な履歴を見つけた場合は、直ちにパスワードを変更し、
情報システム部まで報告してください。

 Googleセキュリティ通知の確認方法

Googleは、異常なログインや設定変更を検知した場合に、自動的にセキュリティ通知を送ります。

通知の種類：

• 新しい端末からのログイン通知
• パスワード変更や二段階認証設定の変更通知
• 連携アプリのアクセス許可通知

通知は「メール」または「スマートフォンのプッシュ通知」で届きます。

注意：

近年は、Googleを装った偽通知メールも増えています。
一見正規の通知に見えても、リンク先が「@google.com」「@gmail.com」以外の場合は、
それはフィッシング詐欺の可能性があります。

安全な確認方法：

• メール内のリンクは絶対にクリックしない。
• 必ず自分でブラウザを開き、https://myaccount.google.com/security にアクセスする。
• 通知内容が本物であれば、公式サイト上でも同じ警告が表示されます。

不審なメール送信・転送設定をチェック

不正ログインが発生した場合、攻撃者は自分の痕跡を隠すために「転送設定」や「フィルタ」を追加することがあります。
これにより、自分宛のメールが第三者に自動転送されたり、特定のメールが自動削除されたりします。

確認手順：

1. Gmail → 右上の歯車マーク → 「すべての設定を表示」
2. 「転送とPOP/IMAP」タブで転送先のアドレスを確認
3. 「フィルタとブロック中のアドレス」タブで不審な条件設定がないか確認

特に、以下のような設定がある場合は要注意です。

• 「件名に“請求”が含まれるメールを自動削除」
• 「特定アドレスにすべてのメールを転送」

これらは、内部情報を盗むための典型的な手口です。
発見した場合は削除し、情報システム部へ報告してください。

「マイアクティビティ」で全体の操作履歴を確認

Googleアカウント全体の動きを確認するには、「マイアクティビティ」機能を活用します。

アクセス先：https://myactivity.google.com

ここでは、検索履歴、ログイン動作、アプリ連携などの行動履歴を時系列で確認できます。
見覚えのない操作やアクセスがあれば、アカウント侵入の痕跡である可能性があります。

推奨頻度：

• 月に1回以上の点検を全社員で実施。
• 特に社外出張や在宅勤務が多い社員は、週1回の確認を推奨。

アカウント復旧情報の最新化

不正アクセスを受けた場合、復旧情報が古いと自分のアカウントを取り戻せません。
定期的に復旧用メールアドレスと電話番号を最新化しておくことが重要です。

手順：

1. Googleアカウント → 「個人情報」
2. 「連絡先情報」→「復旧用メール」「復旧用電話番号」
3. 現在使用している連絡先に更新

社用スマートフォンを使用している場合は、業務用番号を登録して構いません。
ただし、私物の番号を使用する場合は情報システム部の承認を得てください。

メールボックスの異常を発見するポイント

不正ログイン後、攻撃者はあなたのメールを操作して痕跡を隠すことがあります。
次の項目を確認してください。

不審な動きを自動で検出する社内推奨設定

情報システム部では、Google Workspace管理コンソール上で以下の設定を推奨しています。

• 新しい地域・デバイスからのログインを自動監視
• 複数回連続でログイン失敗したアカウントをロック
• 不正アプリ連携を自動ブロック

個人の操作範囲では、「セキュリティ診断（Security Checkup）」を月1回実施してください。
URL：https://myaccount.google.com/security-checkup

社員が取るべき日常モニタリング習慣

このサイクルを社員全員で共有し、各自が責任を持って点検を行うことを社内基準とします。

社内情報セキュリティ強化マニュアル

第4回（最終回）　流出被害を未然に防ぐための日常習慣と組織的対策

本章の目的

本章では、これまで学んだ確認・対応・監視を継続して社内文化として定着させることを目的とします。
パスワード管理やセキュリティ診断は、単発のイベントではなく「習慣」です。
そして、個人の努力だけでは不十分であり、組織全体での仕組み化が求められます。

ここでは、社員が自然にセキュリティ行動をとれる環境づくりと、会社として行うべき運用管理を明確にします。

セキュリティを維持するための意識と基本姿勢

現代の情報漏えいは、ウイルス感染やハッキングよりも、人の油断によって起こるケースが圧倒的に多くなっています。
そのため、セキュリティ対策の第一歩は「意識の持続」です。

社内では以下の3つの基本姿勢を常に意識してください。

1. 疑わしいものは開かない
   – 不審なメール、添付、リンクを不用意に開かない。
2. 必要以上の情報を共有しない
   – 他部署や外部への情報提供は最小限に。
3. 異変を感じたら即報告する
   – 「少しおかしい」と思った段階で上司または情報システム部へ連絡。

この3点を全社員の共通認識とすることが、最も効果的な防御になります。

定期的なパスワード棚卸し（見直し）を習慣化

セキュリティ管理の基本は、「定期的な点検」です。
半年に一度、Googleパスワードチェックアップを利用し、危険なパスワードを洗い出してください。

手順

1. https://passwords.google.com にアクセス
2. 「パスワードを確認」を選択
3. 警告の出たサービスのパスワードを変更
4. 同時に、使っていないアカウントを削除

社内ルール

• 半期（6月・12月）に一度、全社員が自己点検を実施。
• 情報システム部が月末に「確認完了アンケート」をイントラで配信。
• 実施率を部門単位で集計し、次期目標に反映。

このように制度として定期点検を運用することで、「やらなければいけない」から「やるのが当たり前」へと行動が変化します。

アカウント復旧体制を常に整備

万が一アカウントがロックされた場合や、不正アクセスで制御不能になった際、
すぐに復旧できる仕組みを整えておくことが重要です。

個人レベルでの備え

• Googleアカウントの「復旧用メールアドレス」「復旧用電話番号」を常に最新に保つ。
• 二段階認証時の「バックアップコード」を印刷し、安全な場所に保管。

組織レベルでの備え

• 情報システム部が「復旧手順マニュアル（g.co/recovery）」を社内ポータルに掲載。
• 社員が自力で復旧できない場合、本人確認のうえ管理者が復旧を代行。

「復旧体制が整っている」こと自体が、従業員にとって安心感につながります。

通知と報告を怠らない体制の構築

Googleは、不審なログインや設定変更を検出すると、メールまたはスマートフォン通知で知らせてくれます。
ただし、通知を見逃したり、偽の警告と混同したりするケースが多発しています。

社内での運用ルール

• 社員は、通知を受け取ったら必ず内容を確認し、5分以内に判断。
• 不明な通知の場合は、メール本文を開かず、ブラウザで公式サイトから確認。
• 少しでも不安がある場合は、情報システム部の相談窓口へスクリーンショットを送付。

これにより、万一のフィッシング詐欺にも冷静に対処できます。

Gmail以外へのバックアップ管理

業務上、重要なメール（契約・発注・取引先とのやり取りなど）は、Gmailだけに保存しておくとリスクが集中します。
不慮のロックアウトや障害に備えて、以下のようなバックアップを推奨します。

• 重要メールをPDF形式で保存し、社内共有ドライブに格納。
• Googleドライブ上の契約書・見積書フォルダは週次でバックアップコピーを作成。
• 個人のGmailではなく、部署単位の共有アドレスを利用。

「重要情報を1か所に集中させない」ことが、被害拡大防止の最も現実的な手段です。

安全なネットワーク環境を選択

セキュリティが最も破られやすいのは、通信経路です。
カフェや空港などの無料Wi-Fiを利用する場合、暗号化されていない通信を悪用される危険があります。

社内標準ルール

• 業務用端末での公衆Wi-Fi接続は禁止。
• 外出先では、社用スマートフォンのテザリングまたは会社支給VPNを使用。
• やむを得ず利用する場合は、機密データの送受信を行わない。

また、VPN（仮想専用通信）を利用することで、通信内容が暗号化され、傍受されにくくなります。

セキュリティ教育と社員意識の維持

システム対策以上に重要なのが、「人の意識を維持すること」です。
どんなに優れたツールを導入しても、使う側が油断すれば意味がありません。

社内教育の実施例

• 年1回の情報セキュリティ研修（eラーニング形式）を全社員必須とする。
• 社内掲示板で「今月のセキュリティ事例」を共有。
• 部署ごとに「セキュリティ担当者（セキュリティリーダー）」を任命。
• 半期に一度、フィッシング訓練メールを社内配信して意識を維持。

教育を形式的に終わらせるのではなく、「自分の行動が組織を守る」という感覚を持つことが重要です。

組織としてのセキュリティ管理体制

組織全体の安全を維持するには、明確な責任と仕組みを設ける必要があります。

こうした責任区分を社内で明確化し、すべての社員が「誰に報告すべきか」を把握しておくことが不可欠です。

継続的な改善サイクル

セキュリティは「完成」することがありません。
脅威は常に変化し、新たな手口が次々に登場します。
そのため、定期的な見直しと改善が欠かせません。

改善サイクル（PDCAモデル）

1. Plan（計画）：年次セキュリティ目標を設定
2. Do（実行）：全社員研修・点検を実施
3. Check（確認）：アンケート・ログ分析で効果測定
4. Act（改善）：新たな対策を導入・ルール改定

このサイクルを毎年繰り返すことで、
企業全体としての情報防衛力を継続的に高めることができます。

最終まとめ

これまでの4回シリーズを通じて、以下の流れを実践できれば、
社内のGoogleアカウント（Gmail）安全性は確実に向上します。

セキュリティ対策は「一人の努力」ではなく、
全社員が共通意識で取り組むチーム防御です。

12. 社内告知文テンプレート（配信用）

件名：Gmailパスワード流出防止マニュアル 完全版（第4回）配信のお知らせ

社員各位

全4回にわたり共有してきた「情報セキュリティ強化マニュアル」は、本日で完結いたします。
第4回では、流出被害を未然に防ぐための日常的な習慣と、組織としての安全管理体制をまとめています。

各自、内容をご確認のうえ、部門内での共有・実践をお願いいたします。

─ 情報システム部 セキュリティ管理課