16時55分の質問
契約書、給与一覧、取締役会資料。機密性のある何かが意図より広く共有されていたと判明し、誰かが知る必要に迫られます。実際に開いたのは誰か。
Googleはこれに答えられるログを保持しています。その場所、記録される内容、そして同じくらい重要な、教えてくれない2つのことを見ていきます。
ログの場所
管理コンソール → メニュー → レポート → 監査と調査 → ドライブのログイベント。これはWorkspace管理者全般が利用でき、読むだけなら上位エディションは不要です。
文書（またはユーザー）と期間で絞り込むと、イベントの流れが得られます。閲覧、編集、ダウンロード、印刷、アップロード、削除、そして共有や権限の変更が、それぞれアカウントとタイムスタンプ付きで並びます。16時55分の質問には、たいてい閲覧とダウンロードの行がすべてを語ります。これらのアカウントが開き、これがダウンロードし、共有が変わったのはこの時点。
見落とされがちな記録
単純な閲覧のほかに、知っておく価値のあるイベント群が2つあります。APIや同期クライアント経由のコンテンツアクセスも記録されるため（「アイテムのコンテンツにアクセス」「アイテムのコンテンツを同期」）、連携アプリが取得したファイルも現れます。ブラウザで開いた分だけではありません。また共有の変更も記録されていますが、専用のイベント名ではなく、可視性変更と以前の公開設定という属性を通じてです。いつその文書が共有状態になり、誰がそうしたのかを再構成できます。多くの場合、これが質問の背後にある本当の問いです。
エディションによる制限
ログを読むこと自体は広く開かれています。規模を持って調査することは違います。セキュリティ調査ツール – 1つのイベントからそのアカウントが触れたすべてへ辿り、一括で照会し、結果に対して行動する – はFrontline StandardとPlus、Enterprise StandardとPlus、Education StandardとPlus、Enterprise Essentials Plus、Cloud Identity Premiumに限られます。Business Starter、Standard、Plusは対象外です。各プランの標準セキュリティ機能に何が含まれ、何が含まれないかはプラン別の内訳をご覧ください。
ログが答えられない2つのこと
1つめ：リンク経由の匿名訪問者に名前は付きません。 リンクを知る全員にファイルが開かれている場合、社外の訪問者はディレクトリ上の名前付きアカウントではありません。アクセスがあったことは分かっても、人間の意味での誰かは最後まで言えない可能性があります。インシデント記録に書くべき正直な表現は、「識別できるアカウントによって開かれた」と「この期間、リンク経由でアクセス可能だった」の区別です。
2つめ – そしてこちらの方が重い問題です。ログはこの文書には答えます。同じ状態の文書が他にいくつあるかには答えません。 16時55分の質問は実は2つの質問であり、2つめの「これだけなのか」は権限の状態に関する問いであって、イベントの問いではありません。それが組織全体の監査です。全ユーザーのマイドライブと共有ドライブを、公開リンク・外部アクセス・古い共有について1つのダッシュボードでスキャンする。Drive Guard for Adminsはまさにそれを行い、管理者インストール1回で全ユーザーに配布され、1ユーザーあたり年間US$4.80 – 定価US$8.80に対するローンチ価格 – 7日間の試用付きです。教育機関は無料。
整ったインシデント記録の構成
書くときは、その文書が何で誰のものか、共有の状態といつ変わったか（共有イベントから）、期間中に誰がアクセスしたか（閲覧・ダウンロードのイベントから、上記のリンク訪問者に関する但し書き付きで）、そしてこの1ファイルを超えた影響範囲を確かめるために何を確認したか。最後の一行が、インシデントを閉じることと目を閉じることの違いです。
出典
- ドライブのログイベント – メニュー階層、イベント名、「アイテムのコンテンツにアクセス」「アイテムのコンテンツを同期」の各イベント、可視性変更と以前の公開設定の属性、外部ユーザーは匿名として表示されること、同ページ内のセキュリティ調査ツールのエディション一覧。2026-09-09に再確認。