こんにちは、ともしゅうです。CloudNativeで情シスの運用支援をしています。
今回は Google Workspace のプラン選びについて、セキュリティ観点からアプローチしてまとめていきたいと思います。すでに導入済みの方も、ご自身の環境に合っているのか見直す機会としてぜひご活用ください！
エグゼクティブサマリー
- Google Workspace のセキュリティ機能は、機能ごとの追加課金ではなくエディション（プラン）で一括して決まるのが基本です。同じ Google Workspace でも、Business Starter なのか Enterprise Plus なのかで、管理コンソールにそもそも出てこない機能があります。
- とくに Business 系プランでは、CAA（コンテキストアウェアアクセス）・DLP・セキュリティセンター一式・監査ログの外部エクスポートといった、検知・制御・調査まで踏み込む機能がまとまって対象外です（執筆時点）。「設定しようとしたらメニューが無い」の多くはここに起因します。
- 一方で、上位を買えば安心とも限りません。CSE（クライアントサイド暗号化）は Enterprise Plus 必須で、Enterprise Standard でも使えないといった、上位プラン内のさらなる段差があります。
- だからこそ、プランは価格や容量だけでなく、自社のセキュリティ要件から逆算して選ぶ／見直すのが事故を防ぐ近道です。本記事では、その逆算の手順を5ステップで示します。
1. まず自社のプランで使えるかを疑う
Google Workspace（以下 GWS）のセキュリティ設定をご支援していると、「DLP で情報の持ち出しを止めたい」「生成AIの利用を制御したい」といったご相談をいただきます。そして検討を進めると、たいていどこかで「これは、いまの契約プランで実現できるのか」を確認することになります。エディションによって使える機能が変わるので、要件によっては上位プランへの変更が前提になることもあります。
GWS のセキュリティ機能は、機能ごとにライセンスを買い足す形ではなく、エディション（プラン）単位でまとめて付いてくる／付いてこないのが基本です。これは分かりやすい反面、落とし穴にもなります。製品ページや記事でこうしたセキュリティ機能が紹介されていても、それが自社のプランに含まれているとは限らないからです。
ポイントは、GWS にその機能があるかではなく、自社のエディションにその機能があるかで考えることです。本記事では、とくにエディションで差が出やすい機能群を「高度なセキュリティ機能」と呼びます。具体的には、文脈ベースのアクセス制御、情報漏えい対策（DLP）、横断的な調査・監視のような、検知・制御・調査まで踏み込む機能です。プランを選ぶ・見直すときは、この高度なセキュリティ機能が自社プランに含まれるかを最初に疑うと、判断を誤りにくくなります。
なお、以降で挙げる機能×対応エディションは執筆時点で公式ヘルプを確認した内容です。対応エディションは見直されることがあるため、契約判断の前には必ず各機能ページの最新情報を確認してください（確認方法は5章で説明します）。
2. Business と Enterprise の境界を、要件カテゴリで押さえる
最初の、そして最大の分岐点が Business 系（Starter / Standard / Plus）か、Enterprise 系か です。Business 系では、先ほどの高度なセキュリティ機能がまとまって対象外になります。執筆時点で公式の対応エディション記述から確認できる、Business で対象外の機能を、やりたいことを起点に並べると境界が見えやすくなります。
| やりたいこと（要件） | 対応する機能 | Business 系での可否 |
|---|---|---|
| 端末・場所・IP などの文脈に応じてアクセスを制御したい | コンテキストアウェアアクセス（CAA） | ✕ |
| 機密データの持ち出しを検知・警告・ブロックしたい | DLP（Drive / Gmail / Chat） | ✕ |
| Drive の外部共有をルールベースで細かく制御したい | Trust rules | ✕ |
| 組織全体のセキュリティ状態を横断的に調査・監視したい | セキュリティセンター（ダッシュボード・調査ツール・ヘルスチェック） | ✕ |
| 監査ログを外部に出して SIEM 等で監視したい | ログエクスポート（BigQuery / Google Security Operations） | ✕ |
| 機微な管理操作に2人目の承認を求めたい | Multi-party approval | ✕ |
| Google 側から自社データへのアクセスを可視化したい | Access Transparency | ✕ |
※いずれも執筆時点。対象ログやエクスポート先ごとに対応エディションが異なるものもあるため、最終判断は各機能の公式ページで確認してください（確認方法は5章）。
Business 系でも使えるセキュリティ機能はあります。ただし同じ Business 系でも Starter / Standard / Plus で差があるため、Business なら全部使えるとは考えないのが安全です。たとえば Vault は Business Plus が境界で、Starter / Standard では対象外です。分類ラベルや Enhanced Safe Browsing、基本的なモバイル管理（MDM） なども Business 系で使えますが、対応プランは機能ごとに異なります。
つまり Business 系は、標準的な迷惑メール／マルウェア対策や、共有・端末管理といった基本設定まではできるが、文脈ベースのアクセス制御・DLP・横断的な調査監視は守備範囲外、と捉えると、選定・見直しの軸が立てやすくなります。
3. Enterprise の中の段差を確認する
「では Enterprise にすれば全部入りか」というと、ここにもう一段の段差があります。Enterprise の中でも Standard と Plus で差がある、あるいは特定機能だけ上位限定、というケースです。執筆時点で確認できる代表例を並べます。
| 機能 | Enterprise Standard | Enterprise Plus |
|---|---|---|
| CSE（クライアントサイド暗号化） | ✕ | ○ |
| 推奨アクション（Recommended actions） | ✕ | ○ |
| Data regions の高度設定（OU・グループ単位の地域指定 等） | ✕ | ○ |
| Access Transparency | ✕ | ○ |
セキュリティセンター自体は Enterprise Standard でも使える一方で、推奨アクションは Plus 限定、という入れ子もあります。「暗号化したいから Enterprise にした」つもりが Standard だと CSE に届かない、という典型的なズレもここで起きます。
とはいえ、迷ったら Plus にしておけという話ではありません。Enterprise という言葉の安心感だけで Standard を選ぶと、肝心の機能が一段上にあった、という事故が起こり得ます。
4. 要件から必要エディションを逆算する
ここまでをふまえると、プラン選定・見直しは上位を漠然と目指すのではなく、要件 → 必要エディションで逆算するのが現実的です。よくある要件を起点に、確認アクションまで添えて整理すると次のようになります。
| やりたいこと（要件） | 必要になりやすいライン | 次の確認アクション |
|---|---|---|
| メール・ファイルの基本保護＋端末管理（MDM） | Business 系でも可 | 分類ラベル・Enhanced Safe Browsing・MDM の対応プランを自社エディションで確認 |
| 文脈ベースのアクセス制御（CAA）をかけたい | Enterprise 系（Business 不可） | CAA の Supported editions を確認 |
| 情報持ち出しを検知・ブロックしたい（DLP） | Enterprise 系（Business 不可） | Drive / Gmail / Chat の DLP をそれぞれ確認 |
| ログを SIEM / BigQuery に出して監視したい | Enterprise 系（Business 不可） | BigQuery / Security Operations エクスポートの対象ログを確認 |
| クライアントサイド暗号化（CSE）を使いたい | Enterprise Plus（Standard 不可） | CSE が Enterprise Plus 前提であることを確認 |
| 複数SaaS横断のDLP・ID統制・脅威検知まで | GWS 単体では完結しない | GWS 内で解くか、別レイヤー（専用SaaS）で解くかを切り分け |
注意したいのは、Enterprise 系の中でも Standard で足りるか Plus が必要かが機能ごとに分かれる点です（例：CSE は Plus 必須）。要件に挙げた機能について、Standard / Plus のどちらまで必要かを公式の Supported editions で確認してください。
そして最後の行は、エディションを上げても解けない問題です。GWS のプランを上げても、保護対象が GWS の中に閉じている点は変わりません。複数 SaaS をまたいだ統一的なアクセス制御やエンドポイントの実害検知などを求めるなら、それは GWS のプラン選びではなく、CASB/SSE・IDaaS・EDR/XDR といった別レイヤーの検討になります。
5. 公式「Supported editions」で最終確認する
最後に、ご自身で確認するときの実務的なコツです。GWS の各機能のヘルプ記事には、冒頭に 「Supported editions for this feature:（この機能の対応エディション）」 というブロックが置かれていることが多く、そこに対応プランが列挙されています。プラン選定・見直しでは、ここを一次情報として当たるのが確実です。
ただし、いくつか注意があります。
- 対応エディションは変わります。 Google は機能の提供範囲を随時見直すため、以前は対象外だったものが今は対象になる、またはその逆が起こります。古い記事やまとめ表を鵜呑みにせず、判断のタイミングで公式の最新記述を確認してください（本記事の内容も2026年7月時点のものです）。
- 「Supported editions」ブロックが無い機能もあります。 その場合、対応プランを断定するのは危険です。本記事でも、対応エディションの公式記述が確認できなかった機能（高度なフィッシング対策の一部など）は、あえて具体的な可否を書いていません。分からないものは「要確認」のままにしておくのが安全です。
- 実効設定で評価する。 GWS は組織部門（OU）やグループ単位で設定が継承・上書きされるため、エディション上は使えても、実際に効いているかは別問題です。最終的には対象ユーザーの実効設定で確かめます。
6. まとめ：プランは要件から選ぶ
GWS のセキュリティは、どのエディションを契約しているかで上限が決まります。Business 系では高度なセキュリティ機能がまとまって対象外で、Enterprise の中にもさらに段差がある。だからこそ、プランは価格や容量だけでなく、どこまでのセキュリティを求めるかという要件から逆算して選ぶ・見直すのが、いちばん事故が少ない進め方です。
見直すときの順番は、シンプルに次の5ステップです。
- 要件をやりたいことで列挙する（持ち出しを止めたい、社外アクセスを制御したい 等）。
- 各要件に必要な機能を特定する（持ち出し対策＝DLP、文脈アクセス制御＝CAA 等）。
- その機能がどのエディションに含まれるかを、公式の Supported editions で確認する。
- 現行プランとの差分を出す（足りないなら、上位エディションか専用SaaSか）。
- GWS 内で解くか、別レイヤーで解くかを切り分ける。
エディションの上積みで解ける問題と、別レイヤーでしか解けない問題を分けて持っておくと、とりあえず上位プランに上げることも、機能不足のまま運用を続けることも避けられます。
FAQ
Q1. Business Plus から Enterprise に上げるかどうかは、何を判断材料にすればよいですか？
A. CAA・DLP・セキュリティセンター・監査ログの外部エクスポートのいずれかが要件にあるかが分かれ目です。これらは Business Plus では対象外（執筆時点）のため、必要なら Enterprise 系の検討に入ります。逆にこれらが不要なら、Business 系のままで足りることも多いです。
Q2. DLP 要件がある場合、Drive / Gmail / Chat はまとめて確認してよいですか？
A. 分けて確認することをおすすめします。DLP は対象（Drive / Gmail / Chat）ごとに対応エディションや設定が異なるため、DLP が使えるからといって、すべての面で使えるとは限りません。要件のある面ごとに Supported editions を確認してください。
Q3. Enterprise Standard と Plus の差分で、見落としやすいものは？
A. 代表例が CSE（クライアントサイド暗号化）で、これは Enterprise Plus 必須です（Standard 不可）。推奨アクションのように Enterprise Plus に寄る機能もあります。Enterprise にしただけでは Standard と Plus の差が埋まらない点に注意してください。
Q4. 自社のプランで何が使えるか、手早く確認する方法は？
A. 使いたい機能の公式ヘルプ記事を開き、冒頭の「Supported editions for this feature:」を見るのが確実です。記載が無い機能は対応プランを断定せず「要確認」として扱うのが安全です。
「セキュリティ要件は出てきたが、いまの GWS プランで足りるのか分からない」「上位プランに上げるべきか、専用 SaaS を足すべきか、GWS 内で解くか外で解くかを整理したい」。そんなときは、要件とエディション境界を突き合わせるところから始めると判断がクリアになります。クラウドネイティブでは、GWS を含む SaaS のセキュリティ要件整理・プラン選定・運用設計まで、情シスの隣で伴走する形でご支援しています。現状整理だけでもかまいませんので、お気軽にご相談ください。
参考情報
いずれも Google 公式ヘルプ（一次）。各ページ冒頭の「Supported editions for this feature:」で対応エディションを確認できます。URL は support.google.com/（現 knowledge.workspace.google.com/ へリダイレクト）配下です。
- コンテキストアウェアアクセス（CAA）：knowledge.workspace.google.com/admin/security/protect-your-business-with-context-aware-access（対応エディションの記載はこのページ。CAA概要ページには記載なし）
- DLP（Drive）：support.google.com/a/answer/9655387
- DLP（Gmail）：support.google.com/a/answer/14767988
- DLP（Chat）：support.google.com/a/answer/10846568
- Trust rules：support.google.com/a/answer/10621317
- セキュリティセンター：support.google.com/a/answer/7492003 ／ 調査ツール：support.google.com/a/answer/7575955 ／ 推奨アクション：support.google.com/a/answer/11123535
- 監査ログ BigQuery エクスポート：support.google.com/a/answer/9079365 ／ Google Security Operations エクスポート：support.google.com/a/answer/13624543
- Multi-party approval：support.google.com/a/answer/13790448
- Data regions：support.google.com/a/answer/7630496（OU・グループ単位の地域指定やデータ処理設定といった高度設定は、対応エディションがさらに絞られます）
- Access Transparency：support.google.com/a/answer/9230474
- クライアントサイド暗号化（CSE）：support.google.com/a/answer/10741897
- Vault：support.google.com/vault/answer/2462365
- 分類ラベル（Drive labels）：support.google.com/a/answer/9292382 ／ Enhanced Safe Browsing：support.google.com/a/answer/14655832
※対応エディションは見直されることがあります。本記事の内容は2026年7月時点で、各機能の最新の対応エディションは上記ページの「Supported editions」でご確認ください。
