要点
- ブラウザ拡張機能の監査を行うことで、組織はインストールされている拡張機能を特定し、権限を確認し、引き続き承認すべきかどうかを判断することができます。
- ブラウザ拡張機能はブラウザのアクティビティや業務データにアクセスできるため、企業のセキュリティにおいて重要な要素となっています。
- ブラウザ拡張機能の監査を定期的に行うことで、ITチームは、リスクのある拡張機能や古くなった拡張機能を、セキュリティ上の問題になる前に見つけやすくなります。
- ブラウザ拡張機能の監査は、一度で終わらせず継続的に行うべきです。拡張機能の権限や所有者、リスクは、時間の経過とともに変わる可能性があるためです。
- 包括的なブラウザ拡張機能の監査では、Chromeだけに焦点を当てるのではなく、サポートされているすべてのブラウザを見直します。
LayerXによる2025年企業向けブラウザ拡張機能セキュリティレポートによると、従業員の99%が少なくとも1つのブラウザ拡張機能をインストールしています。それだけでも、ブラウザ拡張機能が日々の業務にどれほど深く浸透しているかがわかります。問題は、ブラウザ拡張機能が無害なアドオンとして扱われがちなことです。実際には、ブラウザのアクティビティや業務データに対して、さまざまなレベルのアクセス権を持つソフトウェアです。
多くの組織では、拡張機能が何にアクセスできるのか、またセキュリティ要件を今も満たしているのか十分に把握しないまま、拡張機能のインストールや更新を行っています。その結果、ITチームやセキュリティチームには、何かが起きるまで見落としがちなギャップを抱えることになります。
このガイドでは、ブラウザ拡張機能の監査とは何か、なぜ重要なのか、そしてITチームが環境全体のブラウザ拡張機能を見直す際に何を確認すべきかを解説します。
ブラウザ拡張機能とは何か？
ブラウザ拡張機能は、ウェブブラウザの機能を拡張する小さなソフトウェアアドオンです。新しい機能を追加したり、既存の機能を改善したり、ブラウザをサードパーティ製のツールやサービスに接続したりできます。これにより、本格的なデスクトップアプリをインストールしなくても、ユーザーは自分に合わせてブラウザの使い方をカスタマイズできます。
多くのブラウザ拡張機能は、使っていないときでも、バックグラウンドで動作し続けたり、ブラウザ上の特定のイベントをきっかけに自動で起動したりします。拡張機能は、多くの従業員の日常業務に欠かせないものとなっており、パスワード管理、文章校正、CRMツール、ワークフローの自動化、そのほかの日常的な作業を支えています。
企業にとって重要なのは、これらのツールが生産性を高める一方で、単なるアドオンとして扱うべきではないということです。ほかのソフトウェアと同様に、ブラウザ拡張機能も、付与された権限によっては、ブラウザのアクティビティや業務データにアクセスできる場合があります。
ブラウザ拡張機能の監査とは何ですか？
ブラウザ拡張機能とは何か、そしてどれほどのアクセス権を持ち得るのかを理解すると、特に企業環境において、なぜ監査が重要なのかが見えてきます。
ブラウザ拡張機能の監査は、組織内で動作しているすべての拡張機能を洗い出し、それぞれがアクセスできる範囲を見直し、リスクレベルを評価したうえで、引き続き承認するかどうかを判断するプロセスです。
監査では、多くの組織が次のような点への答えを探します。
| 監査の段階 | 質問 |
| 洗い出し | どのブラウザ拡張機能がインストールされているか？ どのユーザーやデバイスに、その拡張機能がインストールされているか？ どのブラウザやプロファイルが影響を受けるか？ |
| 確認 | 各拡張機能は、どのような権限を要求しているか？ どの拡張機能が、機密性の高いサイトやSaaSアプリにアクセスできるか？ サイドロードされている、放棄されている、古くなっている、または非公開で配布されている拡張機能はどれか？ |
| スコアリング | どの拡張機能が承認済み、不明、リスクあり、またはブロック済みか？ 前回の確認以降に、権限、所有者、または動作が変わった拡張機能はどれか？ |
| 是正 | 削除、ブロック、許可、またはさらなる確認が必要な拡張機能はどれか？ |
ブラウザ拡張機能の監査の主な目的は、環境内の拡張機能に関連するリスクを可視化し、その全体像を明確に把握することです。
企業のチームにブラウザ拡張機能の監査が必要な理由
企業のセキュリティにおいて、ブラウザ拡張機能は見落とされがちです。エンドポイントやネットワークと同じように、拡張機能も、何をしているのか、何にアクセスできるのかを誰も把握していなければ、攻撃対象領域になり得ます。 拡張機能はブラウザ内で動作するため、ウェブサイトやSaaSアプリ、機密性の高い業務データと直接やり取りする場合もあります。
付与された権限に応じて、ブラウザ拡張機能はSaaSアプリ内のデータや業務データ、その他の機密情報にアクセスできます。誰も定期的に確認していなければ、リスクのある拡張機能や古くなった拡張機能が、気づかれないまま何か月も使われ続け、セキュリティインシデントが起きる可能性が高まります。
リモートワーカーや外部委託先、共有デバイス、特権アカウント、規制対象のチームを抱える組織や、SaaSを多用している組織では、こうしたリスクはさらに大きくなります。
ブラウザ拡張機能はどのくらいの頻度で監査すべきか？
ブラウザ拡張機能の監査は、一度きりの作業にすべきではありません。それはなぜでしょうか？ 拡張機能は時間とともに変化し、新たなリスクが突然現れることがあるためです。今日は信頼できる拡張機能でも、明日には新たな権限を要求したり、所有者が変わったり、更新が止まったり、公式の拡張機能ストアから削除されたりする可能性があります。
組織は、使用している拡張機能の機密性や、拡張機能がアクセスできるデータの重要度に応じて、定期的な監査プロセスを確立すべきです。監査の頻度の例を次に示します。
- 新規の拡張機能のインストール – 継続的に、またはツールが対応していれば毎日
- 高リスクな拡張機能のアラート – 継続的に
- 拡張機能のインベントリー確認 – 毎月
- 権限と所有者の確認 – 毎月または四半期ごと
- 例外の確認 – 四半期ごと
- ブラウザ拡張機能の包括的な監査 – 四半期ごとまたは半年ごと
- ポリシーの確認 – 毎年、またはブラウザ、SaaS、コンプライアンスに大きな変更があった場合
ブラウザ拡張機能の監査でよくある間違い
こうしたよくある間違いを避けることで、死角を減らし、より効果的な監査プロセスを構築できます。
対象範囲に関する間違い
| 間違い | なぜ問題なのか |
| 拡張機能を無害なブラウザのアドオンとして扱ってしまう | ブラウザ拡張機能は、ブラウザのアクティビティや業務データ、SaaSアプリにアクセスできる可能性のあるソフトウェアです。 |
| Chromeだけを監査してしまう | 従業員はEdge、Firefox、Safari、そのほかの対応ブラウザも使っている可能性があり、可視性にギャップが残ってしまいます。 |
| 共有デバイスやマルチユーザーデバイスのブラウザプロファイルを見落としてしまう | ユーザーごとに異なる拡張機能がインストールされている場合があり、潜在的なリスクを見落としやすくなります。 |
| サイドロードされた拡張機能やデベロッパーモードの拡張機能を検出できていない | こうした拡張機能は、通常の承認プロセスやセキュリティレビューを経ずに導入されている場合があります。 |
評価に関する間違い
| 間違い | なぜ問題なのか |
| 発行元や権限を確認せず、拡張機能ストアの評価に頼ってしまう | 高い評価が付いていても、その拡張機能が信頼できるものか、お使いの環境に適しているかは保証されません。 |
| 拡張機能がアクセスできる範囲を確認せずに、インベントリーを作成してしまう | 拡張機能がインストールされていると知っているだけでは不十分です。あわせて、その権限と潜在的な影響も理解しておく必要があります。 |
| 正当な理由がないまま、広範なホスト権限を許可してしまう | 過剰な権限があると、拡張機能が侵害された場合や悪用された場合に、アクセスされ得るデータの量が増えてしまいます。 |
| 拡張機能がいまもメンテナンスされているかを確認していない | 放置された拡張機能には、パッチが適用されていない脆弱性が残っていたり、時間の経過とともにリスクが高まったりする場合があります。 |
プロセスに関する間違い
| 間違い | なぜ問題なのか |
| 担当者やレビュー日を決めないまま、拡張機能を承認してしまう | 責任の所在が決まっていないと、拡張機能が必要なくなった後も、承認されたままになってしまうことがあります。 |
| 拡張機能がどのように使われているかを把握しないまま、削除してしまう | 間違った拡張機能を削除すると、ワークフローが中断され、生産性に影響が出る場合があります。 |
| 例外を文書化していない | 文書化されていない例外があると、監査を繰り返し実施したり、後から判断の根拠を説明したりすることが難しくなります。 |
| 監査を一度実施しただけで、繰り返さない | ブラウザ拡張機能、その権限、所有者は、いずれも時間とともに変わる可能性があります。 |
| 拡張機能の調査結果を、セキュリティ運用に結び付けられていない | 監査の結果は、モニタリングや対応、セキュリティポリシーの改善に活用してこそ、より価値のあるものになります。 |
最新のセキュリティ管理の一環としてのブラウザ拡張機能の監査
ブラウザ拡張機能の監査により、ITチームは、何がインストールされているのか、それらの拡張機能が何にアクセスできるのか、そして引き続き環境内で使用してよいかどうかを把握できます。定期的に監査を行うことで、リスクを早期に見つけやすくなり、ブラウザ拡張機能を適切に管理し続けられます。
関連記事：
