Peach、ブラウザ起点の脅威に「未然防止」策 Chrome Enterprise Premiumを導入
ブラウザは今や社内のクラウドサービスや生成AIツールへの入り口であり、そこを狙う脅威への備えは他人事ではありません。Peach Aviationが取り組んだ「事後対応から未然防止へ」の転換は、同じ悩みを抱える企業の情シス部門にとって参考になる事例です。
この記事の要点
何が起きたか
関西を拠点とする国内LCCのPeach Aviationは、国内線25、国際線15の路線を運航し、2024年4月からは「愛あるフライトを、すべての人に。」というビジョンを掲げて事業を拡大しています。その裏側でIT部門の負荷となっていたのが、従業員から日々寄せられる「ブラウザ起因の困りごと」への対応でした。トラブルが起きてから動く事後対応が中心となっており、対応の都度、本来業務を圧迫していたといいます。
こうした状況を受けて同社が導入したのが、ブラウザ管理ソリューション「Chrome Enterprise Premium」です。無償版の「Chrome Enterprise Core」でも基本的な一元管理は可能ですが、より高度な制御を求めて有償版の導入に踏み切りました。特に期待を寄せたのは、条件に応じてGoogle Workspaceへのアクセスを制御する「コンテキスト アウェア アクセス」と、社内データの持ち出しを検知する「DLP」の2機能です。
導入に先立ち、同社は約60日間のPoC概念実証を実施しました。想定するシナリオを複数抽出し、「監査」「警告」「制御」の3つのモードで意図どおりの挙動になるかを確認しながら進めたといいます。
背景・解説
Chrome Enterprise Premiumは、Googleが提供する企業向けブラウザ管理サービスの上位プランです。ブラウザのセキュリティポリシーを特定の端末ではなく、従業員個人のGoogleアカウントに紐づけて適用できる点が特徴で、1人が複数の端末を使い分けていても同じルールが適用されます。ユーザーの操作に対しては「監査」「警告」「制御」という3段階のレベルが用意されており、リスクの度合いに応じて対応を選べる仕組みです。
こうした仕組みが求められる背景には、業務で使うクラウドサービスの広がりがあります。日々のSaaS利用に加え、生成AIをはじめとする新しいサービスも急速に普及しており、これらを個別に管理するのではなく、利用の入り口となるブラウザを押さえることで包括的に守る発想が生まれています。Peachが目指した「未然防止」も、この考え方に基づくものです。IT部門が事前にリスクを検知し、トラブルが起きる前に先手を打つことで、社員側も意識せずに安全な環境で働けるようになります。
仕事や業務への影響
情シス担当者が数名しかいない中堅企業ほど、この事例から学べる部分は大きくなります。例えば、従業員300人規模の卸売業で情シス担当が2人だけの会社なら、日々のブラウザ関連の問い合わせ対応だけで1人分の稼働が奪われているケースも珍しくありません。未然防止の仕組みを整えれば、問い合わせそのものを減らし、担当者を他の業務に振り向けられます。
Peachの事例で参考になるのは、いきなり厳格なルールを敷かなかった点です。まず監査モードでログを集め、実際に回避すべき行動が見えてから警告・制御へと絞り込む進め方は、現場の反発を抑えながら導入するうえで実務的な手順です。例えば、経理部門で20人が生成AIツールを日常的に使っている会社であれば、いきなり利用を禁止するのではなく、まず数週間ログを取って利用実態を把握し、そのうえで機密データの貼り付けだけを警告対象にする、という段階を踏むべきです。
導入の目的を「社員の行動を縛るためではなく、リスクを検知して先回りするため」と明確に伝えたことも見逃せません。セキュリティ強化が現場から「監視されている」と受け取られると、かえってシャドーITを招きます。目的の伝え方ひとつで、社員の受け止め方は大きく変わります。
不確かな点・注意
出典には、Chrome Enterprise Premium導入によって問い合わせ件数がどれだけ減ったか、あるいは対応時間がどの程度短縮されたかといった具体的な数値は示されていません。効果の大きさは今回の内容だけでは判断できません。
また、今回紹介されているのはPeach Aviation1社の事例であり、業種や企業規模、既存のIT環境が異なる会社に同じ効果が出るとは限りません。導入コストや運用にかかる工数についても出典には記載がなく、他社が同様の体制を敷けるかどうかは個別に見極める必要があります。PoCの具体的なシナリオ内容や、警告・制御モードへ移行した後の運用実態についても、詳細は明らかになっていません。
出典
この記事のつくり方
国内外の情報源（企業の公式発表や、国内外の報道）を巡回して、新しいニュースの候補を集めます。
AIが、選んだ出典だけをもとに記事を書きます。出典に無い数字・日付・発言は作りません。
20を超える決まりの検査と、別のAIによる出典との照らし合わせを通った記事だけを公開します。通らなかった記事は公開しません。
公開した記事には、運営者が目を通しています。誤りに気づいたときは、訂正するか、公開を取り下げます。