無料会員登録
kintoneは顧客情報や案件情報、社内の業務データなどを一元管理できる便利なクラウドサービスです。一方で、重要な情報を集約するほど、「機密情報を保存しても安全なのか」「社外から不正にアクセスされないか」と不安を感じる担当者もいるでしょう。
kintoneには認証やアクセス制御、監査ログなど複数のセキュリティ機能が用意されています。ただし、クラウドサービス側で安全対策が行われていても、利用企業側のアクセス権設定やAPIトークン管理、外部サービスとの連携方法に不備があれば、情報漏えいの恐れがあります。特に、多くの社員や取引先が利用する環境では、「機能があること」と「適切に設定されていること」を分けて考える必要があります。
たとえば、管理者権限を必要以上に付与していたり、退職者のアカウントを残したままにしていたりすると、本来アクセスする必要のない情報まで閲覧される可能性があります。また、APIトークンやプラグイン、外部サービスとの連携では、kintone本体とは別に認証情報やデータ共有範囲を管理する必要があります。
そこで本記事では、kintone自体のセキュリティ水準と利用企業側で行うべき設定を切り分けながら、情報漏えいを防ぐために確認したいセキュリティ機能と運用上の注意点をわかりやすく解説します。
kintoneは安全？企業が確認しておきたいセキュリティ水準
kintoneの安全性を判断する場合は、「クラウドサービスとしてどのような保護策が用意されているか」を先に確認すると整理しやすくなります。通信や保存データの保護に加えて、第三者認証やバックアップの考え方まで確認しておくことが大切です。
通信データが暗号化されているか確認する
クラウドサービスでは、利用者のブラウザや端末からサービス側へ送られる通信を安全に保護することが重要です。通信内容が暗号化されていない場合、ネットワーク上で認証情報や業務データを第三者に盗み見られるリスクが高まります。
kintoneでは、利用者とサービス間の通信をHTTPSで保護する仕組みが用意されています。HTTPSでは通信内容が暗号化されるため、ログイン情報や画面上でやり取りするデータを平文のまま送信する場合と比べて、安全性を高めることができます。
ただし、通信が暗号化されているからといって、アカウントそのものが乗っ取られた場合まで防げるわけではありません。通信の暗号化と、2要素認証やアクセス制限などの認証対策は別の役割を持つため、複数の対策を組み合わせることが重要です。
保存データが暗号化されているか確認する
顧客情報や営業情報などをクラウド上に保存する場合は、通信中だけでなく保存時のデータ保護も確認しておきたいポイントです。保存データの暗号化は、ストレージ上の情報がそのまま読み取られるリスクを抑えるために利用されます。
ただし、保存データが暗号化されていても、正規ユーザーの認証情報が悪用された場合や、アクセス権が広く設定されている場合には、権限の範囲内でデータを閲覧される可能性があります。つまり、暗号化は重要な基盤対策ですが、アクセス権管理の代わりになるものではありません。
企業でkintoneを利用する場合は、暗号化の有無だけを確認するのではなく、「誰がどのアプリやレコードを閲覧できるのか」まで合わせて確認することが大切です。
ISO/IEC 27001の取得状況を確認する
クラウドサービスの安全性を判断する際は、第三者による認証の有無も参考になります。ISO/IEC 27001は、情報セキュリティマネジメントシステムに関する国際規格で、情報資産を適切に管理するための体制や運用が整備されているかを評価します。
認証を取得しているサービスでは、情報セキュリティを個別の技術だけでなく、組織的な管理や継続的な改善を含めて運用しているかを確認する材料になります。
一方で、ISO/IEC 27001を取得していることだけで、自社側の設定ミスまで防げるわけではありません。第三者認証はサービス提供側の管理体制を判断する材料として活用し、自社では認証設定や権限管理を別途整える必要があります。
ISO/IEC 27017の取得状況を確認する
ISO/IEC 27017は、クラウドサービス特有の情報セキュリティ管理について整理した国際規格です。クラウドサービス提供者と利用者の双方が担うべき管理策を明確にする考え方が含まれています。
kintoneのようなクラウドサービスでは、サーバーや基盤の管理をサービス提供者が担当する一方、ユーザー管理やアクセス権などは利用企業側で設定する項目があります。そのため、「サービス提供者が守る範囲」と「自社で守る範囲」を分けて考えることが重要です。
ISO/IEC 27017への対応状況を確認することで、クラウド特有の責任分担を踏まえた管理体制を評価しやすくなります。
ISMAPへの登録状況を確認する
ISMAPは、政府情報システム向けのクラウドサービスについて、一定のセキュリティ基準への対応状況を評価・登録する制度です。公共分野など、高いセキュリティ要件が求められる環境でクラウドサービスを選定する際の参考として利用されています。
企業がkintoneを選定する場合も、ISMAPへの登録状況はサービス側のセキュリティ体制を確認する一つの材料になります。ただし、ISMAP登録があるサービスを利用しても、自社のアカウント管理や権限設定が不要になるわけではありません。
外部認証や登録制度は「クラウド基盤を評価する材料」として捉え、実際の運用では利用企業側の設定まで含めて安全性を確認する必要があります。
kintoneのバックアップは利用者の誤削除を戻す機能ではない
クラウドサービスのバックアップという言葉から、「誤って削除したデータをいつでも元に戻せる」と考える方もいます。しかし、サービス提供者が行うバックアップは、障害発生時などにサービスを継続・復旧するための仕組みとして運用される場合があり、利用者が自由に過去の状態へ戻せる機能とは限りません。
そのため、重要な業務データをkintoneだけに保存している場合は、自社の業務要件に応じてCSV出力や別システムへの保管など、データ復旧を想定した運用も検討する必要があります。
特に、誤操作や不正な削除に備える場合は「サービス側にバックアップがあるから大丈夫」と考えず、どのデータをどの頻度で別途保管するのかを決めておくことが重要です。
kintoneを安全に使うために設定したいセキュリティ機能
kintoneにはアクセス元や端末を制限する機能、ログイン時の本人確認を強化する機能、ユーザーごとの操作範囲を制御する機能などが用意されています。ただし、機能が用意されているだけでは十分ではありません。自社の利用環境に合わせて設定し、継続的に見直すことが重要です。
IPアドレス制限でアクセス元を限定する
IPアドレス制限は、kintoneへアクセスできる接続元を限定するための対策です。たとえば、オフィスやVPNなど許可したネットワークからのみアクセスできるようにすることで、想定していない場所からの接続を制限できます。
特に、顧客情報や機密性の高い業務データを扱う場合は、IDとパスワードだけに依存せず、アクセス元も含めて制御することで不正利用のリスクを抑えやすくなります。
一方、テレワークや出張など社外利用が多い企業では、アクセス元を厳しく限定すると業務に支障が出ることがあります。利用場所やVPNの有無などを整理し、実際の働き方に合わせて設定することが大切です。
セキュアアクセスで接続端末を限定する
社外からkintoneを利用する機会が多い場合は、接続元だけでなく「どの端末からアクセスできるか」を管理することも重要です。セキュアアクセスでは、クライアント証明書を利用して接続できる端末を制御できます。
たとえば、会社から貸与されたパソコンやスマートフォンには必要な証明書を設定し、管理されていない私物端末からのアクセスを制限するといった運用が考えられます。
ただし、証明書を発行するだけでなく、端末の廃棄や紛失、従業員の退職時には適切に無効化する運用も必要です。端末管理のルールと組み合わせることで、セキュアアクセスをより有効に活用できます。
2要素認証で不正ログインを防ぐ
2要素認証は、パスワードに加えて別の認証要素を利用し、本人確認を強化する仕組みです。パスワードがフィッシングなどによって第三者に知られた場合でも、追加の認証を要求することで不正ログインを防ぎやすくなります。
クラウドサービスではインターネット経由でログインできるため、認証情報の漏えい対策は特に重要です。管理者や機密情報へアクセスできるユーザーだけに限定せず、利用範囲を検討して2要素認証を運用するとよいでしょう。
また、2要素認証を導入して終わりにするのではなく、認証端末の変更や紛失時にどのように対応するかもあらかじめ決めておく必要があります。
パスワードポリシーを適切に設定する
パスワードの使い回しや推測しやすい文字列を使用していると、認証情報が漏れた際に不正ログインへつながる可能性があります。そのため、パスワードに関するルールを組織として整えることが大切です。
パスワードポリシーを検討する際は、単に複雑なパスワードを要求するだけでなく、他サービスとの使い回しを避けることや、2要素認証と組み合わせることも重要です。
また、ユーザーに過度な負担をかけるルールは、パスワードのメモや規則的な使い回しなど別のリスクを生む場合があります。認証全体の仕組みとして安全性を高めることがポイントです。
必要最小限のアクセス権を設定する
kintoneでは業務に応じてアクセス権を設定できます。顧客情報や人事情報、経営情報などを扱う場合は、すべてのユーザーが同じ情報へアクセスできる状態を避け、業務上必要な範囲に絞ることが重要です。
アクセス権を広く設定していると、アカウントが不正利用された場合に閲覧できる情報の範囲も広がります。また、外部からの攻撃がなくても、従業員による誤操作や本来不要な情報の閲覧につながることがあります。
「必要な人だけが、必要なデータだけを扱える状態」を基本として、組織変更や担当変更があった際には権限も見直しましょう。管理者権限についても、付与するユーザーを必要最小限に抑えることが重要です。
監査ログとログイン履歴を定期的に確認する
アクセス制限や認証を強化しても、すべての不正利用を事前に防げるとは限りません。そのため、「誰が、いつ、どのような操作をしたのか」を後から確認できる状態にしておくことも重要です。
kintoneでは監査ログやログイン履歴を利用して、ユーザーのアクセスや操作に関する情報を確認できます。不審なログインや通常とは異なる操作がないかを定期的に確認することで、異常の早期発見につながります。
監査ログは、問題が発生してから見るだけではなく、日常的な監視やインシデント対応のルールに組み込むことが大切です。担当者や確認頻度、異常と判断する基準をあらかじめ決めておくと、問題発生時にも対応しやすくなります。
kintoneで情報漏えいを防ぐために注意したい運用ポイント
kintone本体のセキュリティ設定を整えても、ゲストユーザー、APIトークン、プラグイン、外部サービスなどを通じて利用範囲を広げると、新たな管理ポイントが生まれます。情報漏えいを防ぐには、サービス本体だけでなく「kintoneと接続しているもの」まで含めて管理することが重要です。
ゲストスペースのアクセス条件を確認する
kintoneでは、社外の取引先や協力会社などと情報を共有するためにゲストスペースを利用できます。社内ユーザー以外と情報を共有できるため便利ですが、通常の社内利用とはアクセス条件や管理方法が異なる部分があります。
そのため、「社内環境にIPアドレス制限を設定しているから、ゲスト利用も同じ条件で守られている」と思い込まないことが重要です。ゲストユーザーに適用されるアクセス条件を確認し、共有する情報の範囲を必要最小限にしてください。
取引が終了した外部ユーザーのアカウントを残したままにすると、不要なアクセス経路が残ります。ゲストユーザーについても定期的に棚卸しを行い、利用する必要がなくなったアカウントや権限を見直しましょう。
APIトークンに必要以上の権限を付与しない
kintoneを外部システムと連携する際には、APIトークンを利用する場合があります。APIトークンにはアプリに対する操作権限を設定できるため、連携に必要な操作だけを許可することが重要です。
たとえば、外部システムがデータを参照するだけでよいにもかかわらず、レコードの追加や編集まで可能な権限を与えると、トークンが漏えいした際の影響範囲が大きくなります。
APIトークンはパスワードと同様に重要な認証情報として扱い、ソースコードや公開リポジトリなど、第三者が閲覧できる場所へ記載しないよう管理してください。不要になったトークンについても、そのまま残さず整理することが重要です。
プラグインを導入する前に提供元を確認する
kintoneではプラグインを利用することで、標準機能だけでは実現しにくい機能を追加できます。一方、外部から提供されるプログラムを利用する以上、導入するプラグイン自体の安全性も確認する必要があります。
プラグインを選ぶ際は、提供元が明確か、継続的に保守されているか、どのようなデータを扱うのかなどを確認してください。便利さだけで判断すると、管理されていないプログラムが社内データへアクセスする状態になる可能性があります。
また、一度導入したプラグインについても定期的に棚卸しを行い、利用していないものは削除するなど、不要な連携を残さない運用が大切です。
外部サービスに許可するデータ範囲を確認する
チャットツールや帳票サービス、営業支援ツールなど、kintoneと外部のSaaSを連携させることで業務を効率化できます。ただし、外部連携ではkintoneのデータが別サービスへ送信される場合があります。
連携を始める前に、「どのアプリから」「どのデータを」「どのサービスへ送るのか」を確認することが重要です。必要以上の顧客情報や個人情報を連携対象にすると、外部サービス側で問題が発生した際の影響も大きくなります。
外部サービス側のセキュリティ対策やアカウント管理についても確認し、契約終了時や連携停止時にデータや認証情報をどのように扱うのかまで整理しておくと安心です。
退職者や異動者のアクセス権を見直す
従業員の退職や部署異動があった場合は、kintoneのアカウントやアクセス権も速やかに見直す必要があります。所属部署だけを変更して、以前利用していたアプリへのアクセス権を残してしまうと、本来必要のない情報を閲覧できる状態が続く可能性があります。
特に管理者権限や顧客情報、営業秘密などへのアクセス権は、退職・異動の手続きと連動して確認できる仕組みにしておくことが重要です。
人事異動のたびに個別対応するだけでは見落としが起きやすいため、定期的なアカウント棚卸しも行いましょう。ユーザー、所属組織、付与権限を一覧化すると、不要な権限を見つけやすくなります。
不正アクセスが疑われる場合は監査ログを保全する
見覚えのないログインや不審な操作が確認された場合は、設定変更だけで終わらせず、監査ログやログイン履歴などの記録を確認することが重要です。ログには、不正アクセスの有無や影響範囲を調べるための手がかりが残っている場合があります。
たとえば、不審なアカウントについて「いつログインしたのか」「どのような操作が行われたのか」「ほかのアカウントでも異常がないか」を整理することで、単発のログインなのか、情報へのアクセスを伴う侵害なのかを判断する材料になります。
一方、原因が分からない段階でログを削除したり、関連する端末を初期化したりすると、証拠消失の恐れがあります。不正アクセスや情報漏えいが疑われる場合は、復旧を急ぐだけでなく、調査に必要な記録を残すことも意識してください。
kintoneの不正アクセス調査は専門会社への相談も検討する
不正アクセスの有無や情報漏えいの範囲を正確に確かめるには、関連する記録を保全したうえで客観的に調べる必要があります。その手法として有効なのがフォレンジック調査です。フォレンジック調査では、クラウド上のログだけでなく、関連するパソコンやサーバー、ネットワークなどの記録を組み合わせ、不審なアクセスが行われた時期や侵入経路、操作内容、影響範囲などを調査します。
特に顧客情報や機密情報へのアクセスが疑われる場合は、「ログインされた」という事実だけで判断せず、その後にどのような操作が行われたのかまで確認することが大切です。原因や被害範囲を自社だけで判断することが難しい場合は、ログが残っている段階でフォレンジック調査会社への相談を検討してください。
おすすめのフォレンジック調査会社
公式サイトデジタルデータフォレンジック
編集部が厳選したおすすめのフォレンジック調査会社は、デジタルデータフォレンジックです。
デジタルデータフォレンジックは、累計4万7千件以上の豊富な相談実績を持ち、全国各地の警察・捜査機関からの相談実績も409件以上ある国内有数のフォレンジック調査サービスです。
24時間365日の相談窓口があり、緊急時でも安心です。相談から見積りまで無料で対応してくれるので、フォレンジック調査の依頼が初めてという方もまずは気軽に相談してみることをおすすめします。
まとめ
kintoneには、通信やデータを保護する仕組みに加えて、IPアドレス制限、セキュアアクセス、2要素認証、アクセス権、監査ログなど、企業で利用するためのさまざまなセキュリティ機能があります。
ただし、kintoneそのものにセキュリティ機能が用意されていても、それだけですべての情報漏えいを防げるわけではありません。アクセス権を必要以上に広く設定したり、退職者の権限を残したり、APIトークンや外部サービスに過剰な権限を与えたりすると、利用企業側の運用が原因となってリスクが生じる可能性があります。
そのため、kintoneを安全に利用するには、サービス側の安全性と利用企業側の設定を分けて考えることが重要です。特に以下の項目は、導入時だけでなく定期的に見直してください。
- 2要素認証やアクセス元・接続端末の制限が適切に設定されているか
- ユーザーやアプリのアクセス権が必要最小限になっているか
- 退職者や異動者に不要な権限が残っていないか
- ゲストユーザーの利用範囲が適切に管理されているか
- APIトークンに必要以上の操作権限を与えていないか
- プラグインや外部サービスへ渡しているデータを把握しているか
- 監査ログやログイン履歴を定期的に確認しているか
また、不審なログインや覚えのない設定変更などが見つかった場合は、単にパスワードを変更して終わらせるのではなく、監査ログなどから実際に行われた操作を確認することが重要です。調査に必要な記録を失うと、原因特定が困難になる可能性があります。
自社だけでは不正アクセスの有無や情報漏えいの範囲を判断できない場合は、関連するログや端末の記録を保全したうえで、専門会社によるフォレンジック調査を検討できます。フォレンジック調査では、アクセスや操作の痕跡を時系列で解析し、侵入経路や被害範囲を事実ベースで整理できます。
kintoneのセキュリティでは、「安全なサービスを選ぶ」だけではなく、認証、権限、外部連携、ログ確認を継続して管理することが重要です。自社の利用状況に合わせて設定を見直し、異常を早期に把握できる運用体制を整えておきましょう。
![中小企業の情報瀬キィリティ相談窓口[30分無料]](/wp-content/uploads/2023/07/bnr_footer04.png)
