「AIや自動化は危ない？」PHPの脆弱性ニュースで不安になった社長へ

GASとAppSheetの安全性を"マンション"でたとえてみた

最近、「PHPの脆弱性」というニュースを目にした方も多いと思います。

※PHP（ピーエイチピー）…ホームページや社内システムを作るためのプログラミング言語の一つ。世界中のWebサイトで使われています。
※脆弱性（ぜいじゃくせい）…プログラムにある「セキュリティ上の弱点・穴」のこと。

PHPには弱点が相次いで見つかり、修正版が公開されます。
PHPで作ったホームページやシステムを持つ会社は、
更新作業への対応が必要になっています。

こうしたニュースを見ると、次のように感じる社長さんも多いのではないでしょうか。

「AIや業務の自動化を始めたいけど、やっぱりネットの仕組みは怖い」
「周りは導入を進めているのに、セキュリティが心配で踏み出せない」

そこで今回は、中小企業でも手軽に始められる自動化の道具、GASとAppSheetの安全性について、
できるだけ専門用語を使わずにお話しします。

※GAS（Google Apps Script）…Googleが提供している自動化の仕組み。「毎朝、今日の予定をLINEに通知する」「フォームの回答を自動で集計する」といったことができます。
※AppSheet…Googleのサービスで、プログラムを書かずに、スプレッドシート（Googleの表計算）から業務アプリを作れる道具です。

正直に言うと、私自身もこれまで、こうした「土台の部分」の問題を深く考えていませんでした。今回あらためて整理してみた内容です。

■ 一戸建てとマンションの違い

PHPで作ったシステムを自社で動かすのは、「一戸建て」に住むようなものです。
屋根の修理も壁のひび割れも、基本的には自分たちで対応しなければいけません。

今回のPHPの件は、いわば「屋根に穴が見つかった」状態です。
気づいて直さない限り、穴は開いたままです。

レンタルサーバー（ホームページの置き場所を月額で借りるサービス）を使っている場合は、
「大家さんのいる貸家」に近いイメージです。建物の土台は大家さん（サーバー会社）が直してくれることが多いですが、
PHPのバージョン切り替えや、WordPress（ホームページ作成ソフト）の更新など、
住人がやるべきことは残ります。
「借りているから大丈夫」とは言い切れないので、
一度ホームページを作った業者さんに確認しておくと安心です。

一方、GASやAppSheetは「Googleが管理するマンション」に住むようなものです。
建物の点検や修理は、管理会社であるGoogleが行います。
私たちが土台の穴をふさぐ必要はありません。

GASやAppSheetの土台そのものが破られるとしたら、
それは「Googleの守りが突破されたとき」です。
世界でもトップクラスのセキュリティ体制を持つ会社なので、
中小企業が自前で守るより、はるかに安心できる環境だと言えます。
もちろん「絶対」はありません。
それでも、自社だけで同じレベルの守りを用意するのは現実的ではないでしょう。

■ ただし「部屋の鍵」は自分で閉める

マンションでも、自分の部屋の鍵をかけ忘れたら泥棒は入れます。
GASやAppSheetでいう「鍵」とは、次のような「設定」のことです。

・誰がアプリを使えるか
・元データのスプレッドシートを誰と共有しているか
・作った仕組みを「誰でも使える状態」で公開していないか

特に多いのが、
スプレッドシートの共有設定を「リンクを知っている全員」
にしたまま忘れているケースです。
リンクが社外に漏れれば、中身は誰でも見られてしまいます。

GASも同じで、「社内の人だけが使える」設定にしておけば、
PHPのような土台の問題を心配する必要はほぼありません。

ただし、LINEとの連携のように外部のサービスとつなぐ仕組みでは、
「外からの連絡を受け付ける入口」を開けておく必要がある場合があります。
こうしたときは、次の2つを守ることが大切です。

・入口の住所（URL）を関係のない人に教えない
・接続用の合言葉（「トークン」と呼ばれるもの）をむやみに共有しない

■ もう一つの鍵「Googleアカウント」

見落としがちなのが、Googleアカウントそのものの守りです。
マンションがどれだけ頑丈でも、合鍵を盗まれたら意味がありません。

・2段階認証（パスワードに加えて、スマホでの確認を求める仕組み）
　をオンにする
・退職した人のアカウントや共有設定を、そのままにしない
・怪しいメールのリンクからログインしない

この3つを押さえるだけでも、守りは大きく変わります。

■ まとめ

・PHPで作ったシステムは「一戸建て」。修理は自分たちの仕事
・GASやAppSheetは「Googleのマンション」。建物の管理はGoogleの仕事
・私たちがやるべきなのは、「部屋の鍵＝共有・公開の設定」と「合鍵＝Googleアカウント」をきちんと管理すること

「セキュリティが怖いから、AIや自動化はまだ早い」
と感じていた方もいると思います。
Googleの道具なら、建物の心配はGoogleに任せて、
鍵の管理に集中すれば始められます。

ニュースを見て少し不安になった方の参考になればうれしいです。