【ITニュース解説】Browser extensions are an enterprise control problem, not a user hygiene problem

現代の企業活動において、ウェブブラウザは単なる情報閲覧ツールではなく、業務の中核を担う重要な存在になっている。企業が利用する様々なクラウドサービス（SaaSアプリケーション）へのログイン情報や、業務データそのものがブラウザ上に存在するためだ。セッションクッキーといった情報が、ユーザーが意識しないうちにブラウザ内に保存されており、これらの情報を通じて企業の機密データにアクセスする道が開かれている。

このような状況下で、ブラウザ拡張機能は企業のセキュリティにとって大きな課題を提起している。ブラウザ拡張機能とは、ブラウザに機能を追加するための小さなプログラムのことである。多くの場合、ユーザーの利便性を高めるために利用されるが、これら拡張機能はブラウザの内部に深く入り込み、非常に広範な権限を持ってしまうことがある。例えば、ユーザーが閲覧する全てのウェブページの内容を読み取ったり、変更したりする権限を持つ拡張機能も存在する。しかし、企業がこれらの拡張機能を適切に管理できていないのが現状だ。承認プロセスは場当たり的で、危険な拡張機能を禁止するブロックリストも常に後手に回っている。

ブラウザ拡張機能が抱える問題の特殊性は、その可視性の低さにある。2025年の調査では、企業の99%のユーザーが少なくとも1つ、53%のユーザーが10個以上の拡張機能をインストールしており、そのうち半数以上が高リスクまたは重要度の高い権限を要求していることが明らかになっている。特に近年登場した生成AI機能を持つ拡張機能は、他の拡張機能に比べて2倍の頻度で機密データへのアクセス権限を要求し、企業のコンテンツを承認されていない第三者のサービスに送信するリスクがある。従来のネットワークゲートウェイやセキュリティプロキシ、あるいはパソコンに導入されるエンドポイントセキュリティソフトといった企業が導入する一般的なセキュリティツールは、暗号化された通信やプログラムの活動状況は監視できるものの、どの拡張機能がユーザーの閲覧ページを読み書きする権限を持っているかまでは直接把握できないのだ。これは、拡張機能がOSレベルでもネットワークレベルでもない、ブラウザという「特殊な空間」で動作するために発生する問題である。

この課題に対処するため、Google Chromeのような主要なブラウザは、企業向けに拡張機能の制御機能を提供している。これは、ユーザー自身の設定ではなく、企業のIT部門が集中管理する「プラットフォームポリシー」を通じて行うものだ。Chrome Enterpriseの機能として、企業は特定の拡張機能のみを許可または制限するカスタマイズされたカタログを作成できる。また、拡張機能のインストール申請や権限管理を一元化し、インストールされている拡張機能のバージョンや状態を報告する機能も利用できる。ここで重要なのは「優先順位」という概念だ。企業ポリシーで設定された内容は、拡張機能が同じ設定を変更しようとしても、ポリシーが優先されるため変更できない。つまり、企業ポリシーは個々の拡張機能よりも強い制御力を持つということである。

具体的な制御策としては、主に四つの側面から取り組むことが推奨される。第一に、「ブロックリスト」ではなく「許可リスト（Allowlist）」を定義することだ。ブロックリストは、危険な拡張機能が発見されてから対処する受け身の方法だが、許可リストは、あらかじめ安全と確認された拡張機能だけを許可し、それ以外はすべて禁止するため、未承認の脅威を防ぎやすくなる。第二に、拡張機能が要求する「権限がその機能に本当に必要か」を厳しくレビューすることだ。例えば、クッキーへのアクセス、あらゆるウェブサイトへのアクセス、リクエストヘッダの変更といった権限を要求する拡張機能は、その説明に関わらず、ユーザーのログイン情報を盗むツールである可能性が高い。第三に、拡張機能の「強制削除パス」を確立することである。企業はポリシーによってユーザーの同意なしに拡張機能をインストールできる機能（サイレントインストール）を持つため、同様にサイレント削除する機能も持ち、デバイスごとに削除が完了したことを証明できなければならない。第四に、「予期せぬ事態に備えた監視」を徹底することだ。ブラウザの利用状況を記録するテレメトリー機能を利用し、拡張機能のID、バージョン、付与された権限、およびそれらの変更履歴を継続的に記録すべきである。これにより、高リスクの新しい拡張機能が多数のデバイスにインストールされた場合でも、早期に異常を検知できる。

しかし、これらの対策にも限界がある。企業のポリシーは、管理下のデバイスとブラウザにのみ適用されるため、社員が個人的に使用するデバイスやブラウザは制御の対象外となる。また、拡張機能の権限レビューは特定の時点での判断であり、後から開発者がアップデートを通じてより多くの権限を要求するように変更する可能性もある。さらに、過度に厳しいポリシーは、正当な業務プロセスを妨げ、結果的に「例外」が増える原因となることもある。組織的な問題も存在し、拡張機能のレビューや許可リストの管理責任が、エンドポイント管理チーム、アイデンティティ管理チーム、アプリケーション担当者など複数の部門にまたがり、不明確になりがちである。責任の所在が曖昧な場合、事実上すべてのユーザーが自己責任で拡張機能を管理することになり、セキュリティリスクが増大する。

これらの課題を踏まえた上で、企業が取るべき防御策は、まず現状を正確に把握することから始まる。つまり、現在インストールされている拡張機能を「棚卸し（インベントリ）」し、人気度ではなく「要求している権限」に基づいて分類するのだ。その上で、プラットフォームポリシーを活用して許可リストを強制適用し、例外を申請する明確なプロセスを設ける。そして、ポリシー適用後も、設定の「逸脱（ドリフト）」がないかを継続的に監視する体制が必要である。特に生成AI拡張機能については、ブラウザの問題というよりも、ユーザーが入力したコンテンツがどこに転送されるかという「データ処理」の問題として捉え、そのリスクを評価すべきだ。最後に、策定したポリシーが文書上だけでなく、実際の管理対象デバイスで正しく機能しているかを必ずテストすることが重要である。

システムエンジニアを目指す皆さんにとって、ブラウザ拡張機能の管理は、単なるITデバイスの運用を超えた、企業全体の情報セキュリティとリスク管理に関わる重要なテーマである。ブラウザが業務の中心となる現代において、この種のセキュリティ課題に対する理解と対策は、将来のキャリアにおいて不可欠な知識となるだろう。