はじめに
2026 年 7 月 30 日・31 日に開催された Google Cloud Next Tokyo 26 の Day 2（7/31）最終枠の Chrome Enterprise のセッションに参加しました。
セッション概要
| 項目 | 内容 |
|---|---|
| セッション ID | D2-SEC-07 |
| タイトル | セキュアなエンタープライズ ブラウザ Chrome Enterprise による AI の利活用とガバナンスの両立 |
| 登壇者 | 鈴木 克一 氏（Chrome Enterprise 営業統括本部 部長） |
エンタープライズ ブラウザと Chrome Enterprise
セッションのタイトルにもある「エンタープライズ ブラウザ」は、業務利用を前提に管理機能やデータ保護機能を備えたブラウザの総称です。業務の大半が SaaS や Web アプリに移り、BYOD や委託先の端末など管理の及ばない端末からのアクセスも増えたことで、OS や端末ではなくブラウザの層で統制をかける、という考え方が出てきました。
Chrome Enterprise はその 1 つで、企業が Chrome ブラウザを管理コンソールから一元管理し、セキュリティ ポリシーを適用するための仕組みです。端末の OS や管理状況を問わず、Chrome ブラウザで統制をかけられるのが特徴です。
エディションは 2 つあり、Chrome Enterprise Core は無償でブラウザの一元管理と可視化を、Chrome Enterprise Premium は有償でデータ保護やアクセス制御を担います（製品ページ／Chrome Enterprise Premium で Chrome ユーザーを保護する）。
昨年の Google Cloud Next Tokyo でも紹介されています。
今回のセッションでは、従来からある機能と最近追加された機能を交えて、AI 時代のブラウザ統制をどう設計するかが語られていました。
経済産業省のサプライチェーンセキュリティ評価制度
「サプライチェーン強化に向けたセキュリティ対策評価制度」（略称 SCS 評価制度）が取り上げられていました。経済産業省が 2026 年 3 月 に制度構築方針を公表しています。企業のセキュリティ対策状況を ★3〜★5 の 3 段階で可視化する仕組みで、★3・★4 は 2026 年度末頃から開始予定とされています。
発注元ごとにバラバラだったセキュリティ要求を統一基準にまとめ、取引ごとの負担を減らしながらサプライチェーン全体の防御力を底上げする、という狙いです。
セッションでは、この制度が求める領域として次の 4 つが挙げられていました。
- 安全なアクセス管理
- データ保護・漏洩防止
- ログ監査と可視化
- 脆弱性への対処
制度が求める項目と、エンタープライズ ブラウザでできることが重なっているという構図で紹介されていました。
制度の詳細は経済産業省の公表資料をご確認ください。
エンタープライズ ブラウザへの期待（調査データ）
エンタープライズ ブラウザに期待するユースケース（N=400、3 つまで回答）は次のとおりで、1 位が「生成 AI のセキュリティ」でした（出典：2026 TechTarget, Inc. / Omdia - Securing AI starts in the browser）。
| ユースケース | 割合 |
|---|---|
| 生成 AI のセキュリティ | 59% |
| データ損失防止・データ保護 | 51% |
| Web セキュリティの強化 | 42% |
| BYOD・非管理端末からのアクセス保護 | 33% |
| モバイルのセキュリティ強化 | 25% |
AI のセキュリティとガバナンスの 3 本柱
Chrome による AI のセキュリティとガバナンスが、内部不正リスクの検出／AI のガバナンスと情報漏洩対策／不正な端末からのアクセス制御、の 3 本柱で整理されていました。
3 つ目は、守る対象が「企業が用意した AI エージェント」になっています。エージェントへのアクセスを、信頼できる端末とブラウザからのみに限る、という統制です。従業員の生成 AI 利用を制御する話と並べて示されていました。
DLP は「アプリ × コンテキスト × アクション」で設計する
データ保護のルールは、アプリ × コンテキスト × アクションの組み合わせで設計します。セッションで示されていた組み合わせを表にすると、次のような形です。
| Web アプリ | コンテキスト | データ保護アクション |
|---|---|---|
| 未検疫のアプリ | 管理対象デバイス | アップロード／ダウンロード／コピー & ペーストを「警告」 |
| SaaS / 業務アプリ（LOB） | 管理対象デバイス | アップロード等は「監査のみ」。Watermark・データ マスキング・スクリーンショット制御は一部の高リスクなアプリのみ |
| SaaS / 業務アプリ（業務継続に必要な低リスクのものだけ許可） | BYOD デバイス | Watermark・データ マスキング・スクリーンショット・アップロード・コピー & ペーストを「ブロック」。ダウンロードは許可されたオンライン ストレージのみ |
アプリ側は生成 AI やオンライン ストレージなど 300 近い URL カテゴリがプリセットされており、カスタムの許可・拒否リストも併用できます。
同じコピー & ペーストでも、管理対象デバイスの業務 SaaS なら監査のみ、BYOD からのアクセスならブロック、というように、いきなり全部ブロックせず段階的に強めていける設計です。
参考：Chrome Enterprise Premium を使用して DLP を Chrome と統合する ／ ウェブサイトへのアクセスを許可または拒否する
ルールのテンプレート
ゼロからルールを設計しなくて済むよう、典型的なデータ保護ルールのテンプレートが提供されています。セッションで示されていたのは次のようなものです。
- 個人情報（PII）／医療情報／財務情報の共有禁止
- 指定したサイトへの透かしの挿入
- 医療・金融関係のサイトでのスクリーン キャプチャと共有をブロック
- 生成 AI サイトへのアクセスをブロック／アクセスを監査／貼り付けをブロック
生成 AI 関連のテンプレートが独立して用意されています。
参考：データ保護ルールの作成
個人アカウントとの境界
「管理対象プロファイルによるデータ境界保護」では、会社プロファイルから個人の Gmail へのコピー & ペーストを禁止する、といった制御ができます。ブロック時には管理者からのメッセージが表示され、ログにはトリガーしたユーザー、ログイン中のアカウント、デバイスのプラットフォーム、ブラウザのバージョンが残ります。
機密データを含むファイルについて、ローカルに保存させず企業が管理するオンライン ストレージへの保存を強制する設定もありました。
参考：Chrome ブラウザでユーザー プロフィールを管理する ／ Chrome ブラウザのプロファイルの詳細を表示する
可視化とモバイル
管理コンソールの「生成 AI・SaaS アプリ活用レポート」では、追跡対象サイトの訪問数・ユニークプロファイル数・ユニークブラウザ数・コンテンツ転送数が一覧できます。デモ画面では、生成 AI カテゴリのサイトが業務 SaaS と並んで表示されていました。
モバイル ブラウザ向けの DLP 強化も進んでおり、URL カテゴリ フィルタリングは提供済み。ダウンロードとスクリーンショットの制御も今後のバージョンで追加予定として示されていました。
導入の 5 ステップ
セッションの最後に、導入の流れが 5 ステップで示されました。
- 無償の Chrome Enterprise Core で、インサイダーリスクを把握する
- Gemini in Chrome を活用し、AI インテリジェンスをすべてのタブに
- Chrome Enterprise Premium で、先進的なデータおよびアクセス保護をかける
- SaaS / AI の検疫により、安全な企業 AI 活用とシャドー AI の抑制を実現する
- ChromeOS の導入で、エンドポイント運用の TCO を最適化する
まずは無償のものだけでもリスク把握はできるので、1〜3 か月ほど動かしていただき、統制下に置きながら把握するという流れが紹介されていました。
業務影響なくリスクを可視化できるので、まずは可視化から始めてみてはいかがでしょうか。
補足：前提として、Chrome に寄せる必要がある
ここまでの統制は、利用者が Chrome を使っていて初めて効きます。ブラウザが混在している組織では、Chrome 側でポリシーを整えても、別のブラウザやデスクトップアプリを使われた時点で穴が空きます。
寄せ方のひとつとして、セッションでは Cameyo が紹介されていました。Google が 2024 年に買収した仮想アプリ配信（VAD）の技術で、Windows アプリなどをアプリ単位でブラウザに配信できます。アプリ側をブラウザに取り込んでしまう、という方向です。
逆に、Chrome で開けないものを別ブラウザに残す方向もあります。こちらはセッションでは触れられていませんが、Legacy Browser Support（従来のブラウザのサポート）を使うと、サイトリストに載っていない URL へのアクセス時は他ブラウザ側から Chrome に転送されます。
おわりに
ブラウザを統制点にするという考え方自体は以前からのものですが、生成 AI セキュリティが調査で期待の 1 位に挙がり、守る対象に AI エージェントが加わり、2026年度末から開始予定の制度の要求項目とも重なります。無償で「見るだけ」から始められるので、Chrome をメインのブラウザとして業務利用している組織であれば、実態のデータを持たずに議論を始めるより、現実的な一歩ではないでしょうか。
導入をご検討中の方へ
弊社では「Chrome Enterprise Premium 導入支援サービス」を提供しています。
ライセンスから設計・導入・運用まで一気通貫でご支援できますので、どこから手を付けるべきかお悩みの際はご相談ください。
簡単30秒