ブラウザ拡張機能の権限棚卸し ─ Chrome/Edgeでまず確認すること

ブラウザ拡張機能は「小さな便利ツール」ではなくデータ接点として見る

ブラウザ拡張機能の棚卸しは、拡張機能ID・版・利用者・配布元・権限を揃え、業務目的に必要なデータだけへアクセスできるか確認する作業です。 名前が有名か、公式ストアにあるか、導入数が少ないかだけで安全とは判定しません。

対象はChrome／Edgeを使う社員、情シス、SaaS管理者、開発者です。管理者端末や顧客データを扱うSaaSで動く拡張機能から着手し、継続・期限付き例外・停止／調査を選びます。疑わしい通信・権限変更がある場合は、全台の棚卸し完成を待たず担当へ連絡してください。

• 1｜同じ拡張機能を識別

  名前だけでなくID・版・配布元・プロファイルを記録。複数端末への配布も確認する。

• 2｜必要な権限と照合

  業務目的、アクセスするサイト、API権限、SaaS連携を別々に見る。

• 3｜判断と再確認を残す

  継続・例外・停止を選び、所有者・承認者・期限・後続調査を記録する。

判断表で対応を選び、SaaS権限棚卸しチェックリストへ確認結果を引き継いでください。開発端末は開発ツール・OSSサプライチェーン確認も使い、ブラウザだけで点検を終えないようにします。

読者別の影響：誰が何を確認するべきか

担当	確認の範囲	引き継ぐ内容
利用者	自分が使うブラウザ・プロファイル、業務目的、管理者配布か	ID・版、見覚えのない変更、導入や権限許可の有無
情シス	配布ポリシー、全台の同一ID、例外・所有部門	実効設定、反映確認、業務影響、管理外端末
SaaS管理者	メール・ファイル・CRM等の権限、OAuth連携	アプリの同意、ログ、外部共有、残るアクセス
開発者	ソースコード・CI/CD・管理コンソールを扱う環境	開発支援機能の必要権限と、認証情報への波及範囲

Chrome・Edgeの権限はどこで確認する？

1. 普段利用しているブラウザとプロファイルを確認します。同じPCの別プロファイルは別に点検します。
2. Chromeはメニューの「拡張機能」→「拡張機能を管理」→対象の「詳細」、Edgeは「拡張機能」→「拡張機能の管理」から対象を確認します。
3. 名称だけでなくID・版・配布元、権限・サイトアクセス、管理者による制御の表示を記録します。IDが通常画面で取得できなければ、社内台帳や管理者に照会し、そのためだけに開発者モードを有効にしません。
4. ブラウザ管理者は管理コンソールと、端末で適用されているポリシーを照合します。設定を保存しただけで全端末へ反映済みと扱いません。

操作名は版や管理状態で異なるため、Chrome公式手順とEdge公式手順を照合します。会社配布で削除できないときは、設定回避ではなく情シスへの確認へ進みます。

まず確認すること：8項目チェックリスト

1. 識別： 名称・ID・バージョン。同名の別製品や異なる版を同じ承認にまとめない。
2. 配布： ストア・社内配布・管理者強制配布などの経路と所有部門。
3. 業務： 具体的な用途、利用者、利用するプロファイル。最終利用を取得できなければ「未取得」とする。
4. API権限： タブ、履歴、Cookie、クリップボードなど、許可された機能と必要性。
5. サイト： クリック時・特定サイト・すべてのサイト等の範囲と、機密SaaSへの適用。
6. 連携： SaaSのOAuth同意、APIトークン、外部共有。ブラウザ側の権限と混同しない。
7. 例外： 業務理由、承認者、期限、代替策、次回の確認日。
8. 実効状態： 管理ポリシーと端末の反映、対象外の端末・ブラウザ、未確認の範囲。

サイトアクセス制限とAPI権限の違い

Chromeの権限定義では、APIの権限、サイトに関係する権限、利用時に許可する権限を区別しています。サイトアクセスを狭めたことを、すべての権限の剥奪と報告しないでください。公式ヘルプは、サイトアクセス変更がhost permissionsに一致するサイトを対象とし、VPN・プロキシ等の低い層のネットワーク機能には適用されないと説明しています。

判断基準：危険度を上げる条件

管理者・経理・人事・開発者の端末で広いサイトアクセスがあり、所有者や導入経路も不明なら、通常の四半期棚卸しを待ちません。単に「使っていない」という自己申告だけで、影響なしとも判定しません。

判断が期限付き例外なら、セキュリティ例外申請テンプレートへ理由と期限を残します。設定例は「30日後に代替策と対象サイトの縮小を再審査」です。30日は編集部の例で、ブラウザやベンダーが定める標準期限ではありません。現在の不審動作を30日放置するための例外には使いません。

管理ポリシーで決めること：許可・ブロック・例外

EdgeのExtensionSettings詳細ガイドでは、強制インストールと通常配布、実行時のサイト許可・ブロックを分けています。強制配布は利用者が無効化・削除できない設定です。導入をブロックすることと、既にある拡張機能を停止・削除することも同じ作業ではありません。

サイト制限を使う担当者は、許可側の例外がブロック側に優先すること、各ホスト一覧は最大100件で超過分が捨てられること、個別IDのスコープを設定した場合の既定値の扱いを確認します。ChromeとEdgeに同じ設定名があっても、対象版と公式仕様を別に照合してください。ここでは実環境へ貼り付ける設定コードは掲載しません。

初動対応：疑わしい拡張機能が見つかった時にやること

やること

正規管理者が対象ID・版・端末・利用者・配布元・権限を保全し、不審な実行やアクセスの停止を並行します。同じIDが他プロファイル・端末へ配布されていないかを確認します。保全の完了を待って機密データへの接触を続けさせません。業務に必須な承認済み拡張機能の一斉削除は、業務責任者との判断を経て行います。

ブラウザの停止・削除と、SaaS側の同意・セッションは別に確認します。Google Workspaceのアプリ制御や各SaaSの公式資料に沿って、不審な連携のアクセスを管理者が点検してください。拡張機能があるだけでOAuth同意が必ずある、とも断定しません。

やらないこと

• 安全確認のため不審な拡張機能を導入・起動しない。
• 管理設定を回避するため、未承認の別プロファイルやブラウザへ移らない。
• 情シスの確認前に全履歴・ファイルを消したり、機密情報を外部解析へ貼ったりしない。
• 拡張機能の削除を、既に閲覧・取得された情報の消去と扱わない。

記録すること

漏えい疑い初動テンプレートへ渡すのは、秘密値を含めない事実・未確認・実施済み操作です。通常レビューの完了条件は、対象範囲が明示され、各IDに判断・担当・再確認日があり、制限の反映と残件を確認できることです。チェック済みの数だけで安全と保証しません。

よくある誤解

「公式ストアにある拡張機能なら安全」

配布元は確認材料の1つです。用途、権限、版、管理者の承認と整合するかを照合します。

「拡張機能を消せば影響は終わる」

取得済みコピー、SaaSの連携や既存セッションは別です。不審な同意があればOAuth同意フィッシングの初動対応も参照します。

「パスワードマネージャー拡張機能は危険だから禁止すべき」

カテゴリ名だけで決めず、承認済み製品の用途・権限・配布を確認します。パスワードマネージャーを、未承認の類似名拡張機能と混同しません。

「利用者教育だけで防げる」

利用者への説明に加え、管理ポリシー、申請、期限、反映確認を組み合わせます。製品導入の比較は、守る対象と権限の不足を特定してからDLPとCASBの違いで判断軸を確認してください。

関連用語・関連ページ

• 棚卸し：SaaS権限棚卸し、開発ツール・OSS確認
• 基礎：最小権限、OAuth App Review、認証と認可の違い
• 初動：不審なメール転送、未依頼のリセットメール、偽ウイルス警告
• 復習：用語クイズ。記事の「あとで読む」は進捗ページから同じブラウザで再開できます。

公式情報・参考情報

• Chrome Web Store Help：拡張機能のインストールと管理 — 詳細画面、サイトアクセスの選択肢、VPN・プロキシ等への制限の限界。
• Chrome for Developers：Declare permissions — API権限、host permissions、任意権限と権限警告の区別。
• Microsoft Support：Edge拡張機能の無効化と削除 — 利用者が拡張機能を管理する公式手順。
• Microsoft Learn：ExtensionSettingsの詳細ガイド — 強制配布、サイト制限の例外・件数・設定スコープの確認。
• Google Workspace Help：データにアクセスするアプリの制御 — ブラウザ拡張機能の削除とは別に、OAuthアプリのアクセス設定を管理する資料。