近年多発しているGoogleフォームを用いたアンケート等での個人情報漏洩について、DriveChecker社は発生プロセスを検証する実証実験を行い、 無料チェックシートを公開しました。
Googleドライブの共有設定を簡単に確認できるツール『Drive Checker』（ https://drivechecker.taf-jp.com/ ）を提供するDriveChecker株式会社は、近年多発しているGoogleフォームを用いたアンケート等での個人情報漏洩について、その発生プロセスを検証する実証実験を行いました。 本レポートでは、誤った設定によってどのように情報が漏洩するのかを解説するとともに、事故を防ぐための「設定チェックシート」を無償公開します。
背景：なぜGoogleフォームでの情報漏洩が後を絶たないのか？
近年、大学などの教育機関や自治体、企業において、Googleフォームを利用したアンケートや申し込み受付の際に、回答者の個人情報が他の回答者から閲覧可能になってしまう漏洩事故が相次いで報告されています。 Googleフォームは手軽で便利な反面、URLの共有方法や「設定」項目の意味を正しく理解していないと、意図せず重大なセキュリティインシデントを引き起こす危険性が潜んでいます。 今回、どのような設定ミスが情報漏洩に繋がるのか、2つの実証実験を通じてそのプロセスを明らかにしました。
【実証実験】Googleフォーム公開時の情報漏洩ケース別検証
【実証実験①】「編集者ビュー」の共有による重大リスク Googleフォームの画面には、作成者が操作する「編集者ビュー」と、回答者が操作する「回答者ビュー」の2種類の権限（URL）が存在します。 編集者ビュー：アンケートの質問内容の編集・回答結果の確認ができる権限 回答者ビュー：アンケートの回答ができる権限 【実験内容】 アンケートの回答を求める際、誤って「編集者ビュー」を「リンクを知っている全員」という「世界中の誰でもアクセスが可能である権限」とした場合の挙動を確認しました。 【結果】 「回答者用URL」を展開した場合であっても、アンケートフォーム内に「このフォームを編集」ボタンが訪寺されており、クリックすることで回答結果（スプレッドシートへのリンク等）が丸見えになるだけでなく、アンケートの質問項目自体を自由に改ざん・削除できてしまうことが確認されました。 これは単なる情報漏洩にとどまらず、アンケート調査そのものが破壊される非常に危険な状態です。 【対策ポイント】 Googleフォームを公開する際は、「共有設定画面」で「編集者ビュー」を必要最低限の範囲に指定する必要があります。 【実証実験②】「結果の概要を表示する」が【オン】で起きる悲劇 最も多い情報漏洩の原因の一つが、フォームの設定にある「表示設定」の誤認です。 【実験内容】 フォームの「設定」タブ＞「表示設定」＞「結果の概要を表示する（結果の概要を回答者と共有できます。）」を【オン】にした状態で、テストユーザーに回答を送信させ、その後どのような画面が表示されるかを検証しました。 【結果】 回答送信後のサンクスページ（「回答を記録しました」の画面）に、「前の回答を表示」というテキストリンクが出現します。 ここをクリックすると、自分より先に回答したすべての人たちの入力内容（氏名、メールアドレス、電話番号などの個人情報を含む）が、グラフやリスト形式で丸見えになることが確認されました。 【対策ポイント】 社内アンケート等で集計結果を共有したい場合を除き、個人情報を取得するフォームにおいては、「結果の概要を表示する」は必ず【オフ】（デフォルト設定のまま）にしておく必要があります。
情報漏洩を防ぐ「Googleフォーム安全設定チェックシート」公開
上記のような設定ミスを未然に防ぐため、フォーム公開前に必ず確認すべき項目をまとめた「安全設定チェックシート」を作成しました。項目を必ずチェックしてからURLを公開してください。
▪️Googleドライブ・フォームの設定ミスを防ぐ実用的ツール『Drive Checker』
「自分の設定が本当に正しいか不安」「過去に作成したファイルの共有設定を一括で確認したい」という声にお応えし、Googleドライブ内のファイルやフォルダの公開設定状況を簡単にチェックできるツール『Drive Checker』を提供しています。 14日間の無料トライアルもあるため、所属組織の現在の情報漏洩リスクを確認されたい場合はぜひ「無料トライアルにお申し込みください。 【Drive Checker の特徴】 ・簡単チェック Googleアカウントでログインするだけで、意図せず「リンクを知っている全員」に公開されているファイルがないかを一覧で確認できます。 ・無料利用可能 基本機能はどなたでも14日間無料でご利用いただけます。 ・定期的な監査に最適 情報漏洩の不安を解消し、セキュアな環境維持をサポートします。 Googleフォームの情報漏洩事故は、知識不足と確認漏れが主な原因です。本記事のチェックシートと合わせ、定期的なセキュリティチェックに『Drive Checker』をご活用ください。
【会社概要・お問い合わせ先】
| 会社名・屋号 | DriveChecker株式会社 |
| 所在地 | 大阪府大阪市西区新町１丁目５−７ 四ツ橋ビルディング3階 |
| 公式サイト | https://drivechecker.taf-jp.com/ |
| Googleフォーム 情報漏洩防止チェックリスト | https://drivechecker.taf-jp.com/whitepaper-download?id=110244 |
| メールアドレス | support@drivechecker.co.jp |