企業のIT・セキュリティ責任者がAIライティングツールの導入を検討する際、常に直面する課題があります。それは、従業員の英文コミュニケーションの生産性や品質が大幅に向上する一方で、管理されていないブラウザ拡張機能やデスクトップアプリを介して、機密ソースコード、未公開財務データ、規制対象の医療情報、個人を特定できる情報（PII）が外部クラウドへ漏洩するリスクです。
Grammarly Business（特にEnterpriseプラン）は、このセキュリティリスクを解消するために集中管理型のガバナンス機能を備えています。個々の従業員の判断に委ねることなく、IT管理者は管理コンソールからデータ損失防止（DLP）によるトークン無害化、社内ドメインや開発ツールのブラックリスト登録、サードパーティ機密文書との連携、部門ごとの生成AIアクセス制限を一元的に設定・適用できます。
本ガイドでは、Grammarly Admin Consoleを使用して、DLPルール、除外リスト、機密モード、およびグループ単位の生成AI利用ポリシーを正しく構成するための具体的な手順を解説します。
1. 4層からなるエンタープライズ・セキュリティ構造
Grammarly Enterpriseのセキュリティ対策は、4つの防御レイヤーで構成されています。
| 防御レイヤー | 動作メカニズム | 管理コンソール内の場所 | 主な保護効果 |
|---|---|---|---|
| 送信前無害化（DLP） | PIIや特定パターンの自動マスキング | Organization → Enterprise Security → Data | テキストが分析サーバーに送信される前に機密トークンを除去 |
| ドキュメント機密連携 | 機密ラベルおよび特定メールの検知 | Organization → Enterprise Security → Data | 密級付きWordファイルやGmail機密モードでGrammarlyを自動停止 |
| 境界制御・実行隔離 | ドメインおよびアプリのブロックリスト | Organization → Enterprise Security → Domains and apps | 社内ポータル、コードエディタ、CLI端末でのテキスト取得を防止 |
| AI権限制御（RBAC） | 組織・グループ単位の機能トグル | Organization → Feature access および Agent access | 部門別にAI Assistant、Agent、段落書き換え機能の利用を制限 |
2. データ損失防止（DLP）とコンテンツ無害化の設定
GrammarlyのネイティブDLP機能は、クライアント端末側でテキストの無害化（サニタイズ）を実行します。Chrome、Firefox、Edgeのブラウザ拡張機能、WindowsおよびMacデスクトップアプリ、Webエディタに対応しています。事後検知や遮断を行う従来のエンドポイントDLPとは異なり、GrammarlyのDLPはクラウドにデータが送信される前に該当文字列を置き換えるため、機密情報が社外インフラに送信されるリスクを根本から遮断します。
ステップ 2.1: DLP設定画面へのアクセス
- 管理者権限を持つアカウントで Grammarly Admin Console にログインします。
- ナビゲーションメニューから Organization を選択します。
- Enterprise Security セクション内の Data をクリックします。
- Data Loss Prevention (DLP) の項目を確認し、現在の有効状態と検知エンジンを確認します。
ステップ 2.2: 検知・無害化される主要データタイプ
DLPが有効化されている場合、以下の機密情報パターンが自動的に検出・マスキングされます。
- 連絡先・識別子: メールアドレス（Email addresses）、電話番号（Phone numbers）、URL。
- 公的身元確認番号: 米国社会保障番号（US SSN）、英国国民保険番号（UK NINO）、カナダ社会保険番号（Canada SIN）。
- 金融・決済情報: クレジットカード番号（Credit card numbers）、国際銀行口座番号（IBAN）。
従業員がこれらの情報を含む文章を入力した場合、テキストがサニタイズされた状態で解析APIへ送信されるため、個人情報や口座情報が外部サーバーに届くことはありません。
ステップ 2.3: 「Test out DLP」によるルールの動作検証
全社に展開する前に、管理コンソール内でテストを実施できます。
- Data 画面内にある Test out DLP ボタンをクリックします。
- テスト用の入力欄に、ダミーのクレジットカード番号やサンプルSSN、社内URLを含むテスト文章を貼り付けます。
- 検知結果を確認し、意図したトークンが正しく検出され、マスキング処理が行われているかを検証します。
- カスタムパターンの調整: 社内固有の社員番号形式や独自の正規表現が必要な場合は、担当のGrammarlyカスタマーサクセスマネージャー（CSM）を通じてバックエンドプロファイルのカスタマイズを依頼します。
3. サードパーティ機密モード（秘密度ラベル連携）の構成
法務、人事、医療、財務部門などでは、機密保持契約（NDA）や厳格なコンプライアンス対象となる文書を頻繁に取り扱います。Grammarlyは、サードパーティツールの機密設定を検知して自動的に機能をオフにする Third-Party Confidential Mode を提供しています。
ステップ 3.1: 機密モードの有効化
- Admin Console で Organization → Enterprise Security → Data へ進みます。
- Third-Party Confidential Mode のトグルを On に切り替えます。
ステップ 3.2: Microsoft Wordの秘密度ラベル（Purview / MIP）の連携
Windows向けデスクトップアプリ（Grammarly for Windows）を使用している場合、開いているWordファイルの秘密度メタデータを検査できます。
- Third-Party Confidential Mode 項目内の Labels テーブルで Add をクリックします。
- ラベル名（例: Highly Confidential や 社外秘）を入力します。
- Microsoft Purview（またはMicrosoft 365コンプライアンスセンター）で発行された該当ラベルの Label ID (GUID) を入力します。
- Save をクリックして保存します。
該当のGUIDが設定されたWordファイルを開くと、Grammarlyは自動的に動作を停止し、その文書内の文章は一切スキャンされません。
ステップ 3.3: Gmail「情報保護モード」への対応
Google Workspaceを利用している企業の場合、従業員がブラウザ上でGmailのネイティブ機能である「情報保護モード（Confidential Mode）」を有効にしてメールを作成すると、拡張機能がそれを検知して作成ウィンドウ内での提案機能を自動停止します。
4. ドメインおよびデスクトップアプリのブロックリスト管理
社内のGitリポジトリ、クラウドコンソール、人事・給与管理システム、電子カルテ（EHR）システムなど、特定のWebサイトや業務ツールでGrammarlyを動作させたくない場合、管理者側で一元的にブロックリストを設定できます。
ステップ 4.1: Webドメインの除外設定
- Organization → Enterprise Security → Domains and apps に移動します。
- Add to block list をクリックし、Domain を選択します。
- プロトコルやパスを除いたドメイン名を入力します（例:
internal-portal.corp.netやworkday.com。https://やwwwは入力しません）。 - すべてのサブドメインを対象にする場合は、Include subdomains にチェックを入れます（例:
*.corp.net全体をカバー）。 - 適用範囲を指定します。
- Entire organization: 全従業員に一括適用。
- Specific groups: 開発部門や法務部門など指定したユーザーグループにのみ適用。
- Add をクリックして登録します。
ステップ 4.2: デスクトップアプリケーションの実行遮断
Grammarly for WindowsおよびGrammarly for Macは、OSのアクセシビリティAPIを利用してデスクトップアプリ上で動作します。開発用ターミナル、データベースクライアント、IDE、会計ソフトでの動作を防ぐには、プロセス名をブロックリストに追加します。
- Domains and apps 画面で Add to block list をクリックし、Application を選択します。
- 実行可能ファイル名を入力します。
- Windows: 正確な
.exeファイル名（例:powershell.exe、cmd.exe、dbeaver.exe、devenv.exe）。 - macOS: アプリケーションのバイナリ名（例:
Terminal、Xcode、iTerm2）。 - 混在環境: Windows用とMac用のプロセス名をそれぞれ個別に入力します。
- Windows: 正確な
- 適用対象（全社または特定グループ）を選択し、Add をクリックします。
アーキテクチャ上の注意点: ブロックリスト型モデルの特性
現在、Grammarlyの管理機能は**ブロックリスト方式（指定先のみを停止）**を採用しており、「許可されたアプリ以外をすべて停止するホワイトリスト方式」は管理画面上に用意されていません。そのため、ITチームは社内の機密ツールを事前に洗い出し、ブロックリストを能動的に更新する必要があります。
高セキュリティ環境では、MDM（Microsoft IntuneやJamf）やグループポリシー（GPO）と組み合わせ、ブラウザ拡張機能の導入範囲やバイナリ配布を制御する多層防御を推奨します。また、Organization → Enterprise Security → Client apps から、各製品のステータスを Managed（管理対象）または Blocked（ブロック）に設定可能です。
5. 部門ごとの生成AI機能アクセスの制御
生成AI機能はマーケティングや営業支援で高い効果を発揮する一方、研究開発部門や法務・財務部門では機密漏洩や著作権上の懸念が生じる場合があります。Grammarly Businessでは、部門ごとに機能の利用可否を分権管理できます。
ステップ 5.1: Feature access 画面の表示
- 管理コンソールで Organization を選択します。
- Feature access（機能アクセス）タブを開きます。
ステップ 5.2: AI Assistantのトグル設定
- 全社一括停止: AI assistant のトグルを Off に設定します。従来の文法チェックやスペル訂正、トーン調整は継続して利用できますが、プロンプトを入力して文章を生成する機能のみが無効化されます。
- 部門グループ別有効化: トグルを On にした上で、許可されたグループ（例: マーケティング部、カスタマーサポート部）のみを指定します。未選択の法務部門や開発部門では生成AIツールが表示されません。
ステップ 5.3: Docs with agents と段落書き換え機能の管理
- Docs with agents: AIエージェントを活用したドキュメント作成キャンバスの利用可否を Feature access で制御します。有効にした場合、さらに Organization → Agent access からエージェントごとの許可・拒否を設定できます。
- 段落単位の書き換え・翻訳: 長文の自動リライトや多言語機械翻訳機能についても、規制の厳しいチーム向けに個別にオフに設定できます。
6. エンタープライズ水準のデータプライバシー保証と基盤セキュリティ
社内の監査部門やセキュリティ委員会に報告する際、Grammarlyのバックエンド基盤の安全性は重要な評価基準となります。
6.1 顧客データを使用したモデル学習の禁止
Grammarlyは契約および設計上、**「企業顧客の入力データを、Grammarlyの言語モデルや第三者の大規模言語モデル（LLM）の学習・改善に使用しない」**ことを明約しています。Enterpriseプランでは、モデル改善用のデータフィードバック設定はテナント全体で初期状態でオフに固定されています。
6.2 Azure OpenAI Service とゼロデイデータ保持（Zero-Day Retention）
Grammarlyの生成AI基盤は、Microsoft Azure OpenAI Serviceを採用しています。
- ゼロデイデータ保持: 送信されたプロンプトや生成テキストは、マイクロソフト側のサーバーにログ保存・キャッシュ・保持されることはありません。
- テナント分離: 企業トラフィックは安全に分離されたクラウド環境で処理されます。
- 送信前マスキング: LLMへ送信される前に、PIIの事前スクラビングと匿名化処理が施されます。
6.3 顧客独自の暗号化キー（BYOK）
保管時データの完全な管理権限を必要とする企業向けに、EnterpriseプランではAWS KMSを使用した BYOK（Bring Your Own Key） を提供しています。
- 自社のAWSアカウントで管理するキーのAmazon Resource Name (ARN) をGrammarlyに登録します。
- Grammarlyサーバー上の保存データ（保管ドキュメントなど）は、顧客のキーを用いてAES-256で暗号化・復号されます。
- 万が一契約を終了する場合やインシデント発生時には、AWS側でキーへのアクセス権限を取り消すことで、即座にデータを復号不可能な状態に廃棄（暗号学的消去 / Crypto-shredding）できます。
- キーへのアクセス履歴はすべて自社のAWS CloudTrailに記録され、監査証跡として利用可能です。
6.4 認証規格とコンプライアンス認定
- SAML 2.0 SSO / SCIM: Okta、Microsoft Entra ID、Google Workspaceなどと連携し、退職者のアカウント即時剥奪を自動化します。
- セッション管理: アイドル状態のセッションタイムアウト時間を管理画面で強制設定できます。
- 各種セキュリティ認証: SOC 2 (Type II)、ISO/IEC 27001、27017、27018、27701 認証を取得済みであり、医療データを扱う企業向けにはHIPAA対応のBAA（事業提携契約）の締結にも対応しています。
7. IT管理者向け導入チェックリスト
安全で監査に耐えうるGrammarly運用のための推奨ステップは以下の通りです。
[ ] フェーズ1: ID管理とグループ同期
- SAML 2.0 SSO および SCIM 自動プロビジョニングを構成する。
- 社内のセキュリティグループ（法務、財務、エンジニアリング、営業など）を同期する。
[ ] フェーズ2: ドメインおよびプロセスの境界隔離
- Domains and apps に社内ポータルやコード管理ドメインを登録する（サブドメインを含む）。
- 端末コマンドラインや開発IDEの実行ファイル名をアプリブロックリストに追加する。
[ ] フェーズ3: DLP無害化と機密ラベル連携
- Enterprise Security → Data で DLP 機能が有効であることを確認する。
- 「Test out DLP」ツールでテストカード番号や偽装SSNのマスキング動作を確認する。
- Third-Party Confidential Mode を有効にし、Microsoft Purview 秘密度ラベルのGUIDを登録する。
[ ] フェーズ4: 部門別生成AIポリシーの適用
- Feature access で、AI Assistant の利用を承認済み部門に限定する。
- 機密性の高い部門では Docs with agents や段落リライト・翻訳機能を無効化する。
[ ] フェーズ5: 暗号化とコンプライアンスの確認
- 高いデータ主権要件がある場合、AWS KMS による BYOK 構成を完了する。
- 医療情報を扱う場合は、法務部門を通じて Grammarly と BAA を締結する。
送信前DLPトークンマスキング、Microsoft Purview機密ラベル連携、ドメインおよびアプリのブロックリスト、そしてグループ単位の生成AIアクセス制御を適切に組み合わせることで、IT管理者は情報漏洩リスクを排除し、強固なガバナンスとコンプライアンスを維持しながら、従業員に安全なAIライティング支援環境を提供できます。