グループウェア市場は、今やクラウド型が主流となり、スマートフォンやタブレットからアクセスする人、テレワークで自宅のPCからアクセスする人も増えています。これからグループウェアを導入する場合、セキュリティについても注意しなければなりません。
この記事では、グループウェア利用で考えられるセキュリティリスクや、セキュリティ重視でグループウェアを選ぶポイントについて解説した後、セキュリティリスクに強いグループウェアを3製品紹介します。
グループウェア利用で考えられるセキュリティリスク3つ
グループウェアを利用する際に考えられるセキュリティリスクを3点紹介します。
1 サイバー攻撃やコンピューターウイルスなど外部からの攻撃
システムへの不正アクセスやコンピューターウイルスによる情報漏洩は、常に起こり得るセキュリティリスクの1つです。
インターネットを介して利用するクラウド型のグループウェアは、どうしてもセキュリティリスクが高くなります。クラウド型のグループウェアを提供しているベンダー側も対策を講じていますが、攻撃方法は日々進化しているため、完全に安全だとはいえません。
2 ヒューマンエラー
外部アクセスへの対策を進めていても、人的ミスによる情報漏洩は防げません。よくあるパターンは、USBやスマートフォン、ノートPC内にデータを入れて持ち出し、そのまま紛失するケースです。また、メールの誤送信も多く見られるヒューマンエラーです。
ヒューマンエラーに対しては、グループウェアの機能で防ぐか、運用で回避するしかありません。メールの誤送信をできる限り防ぐ、添付データの中身をチェックするなどの機能は、ヒューマンエラーに対応する機能です。
運用面では、ノートPCはシンクライアント（※）にし、USBやスマートフォン内にデータを入れないようにする、といった方法があります。
※シンクライアント：アプリケーションの実行やデータの保存をサーバー側に任せたクライアント端末
3 社内の不正アクセス
社内の人間が悪意を持ってデータを持ち出すということもあります。悪意を持った人間の行動はゼロにはできないため、キメ細やかなアクセス制御機能を利用して、アクセスできるリソースを制限して被害を最小限に食い止めることが重要です。
セキュリティ重視からグループウェアを選ぶポイント6つ
セキュリティ重視からグループウェアを選ぶポイントを6点紹介します。
1 アクセス制御機能の確認
まず、アクセス制御機能がどこまでの機能を備えているかを確認しましょう。基本的に、どのグループウェア製品もアクセス制御機能は備えていますが、自社の人数や組織構造に合ったアクセス制御機能を選ぶことが重要です。
社員の人数が少ない場合は、1人ずつアクセス制御をするタイプでも問題ありません。人数が多くなる場合は、役職や等級、所属部署といった組織階層や役職ごとにアクセス権を設定する機能で、漏れなくアクセス制御を行います。
適切なアクセス制御を行うことで、社内外の悪意ある不正アクセスを防ぎ、ヒューマンエラーによる不正アクセスも防止できます。
2 データセンターのセキュリティ対策
クラウド型のグループウェア製品を利用する場合は、データセンターのセキュリティ対策がどの程度のレベルまで行われているのかを確認しましょう。サーバーがインターネット上にあり、サイバー攻撃対策に遭いやすいためです。
AWSなど大手のクラウドサービスを利用したサービスなら、一般企業よりもレベルの高いセキュリティ対策がされているため安心できます。
3 多要素認証
多要素認証とは、IDとパスワードだけでなく、他の認証方法も組み合わせることでセキュリティレベルを高める認証方法です。グループウェアで多要素認証の機能を持っていれば、より高いセキュリティが期待できます。
不正アクセスのニュースでよく目にする2段階認証も多要素認証の一種です。2段階認証に対応していないWebサービスでサイバー攻撃を受けた例は枚挙にいとまがありません。IDとパスワードの認証だけではセキュリティレベルが高いとは言えないため、もう1段階以上の認証は必要です。
最近では、IDaaS（Identity as a Service）というID管理のクラウドサービスを導入して、複数のクラウドサービスのID管理を一括して行うケースも増えてきました。社内システムにIDaaSを導入している場合は、そのIDaaS製品に対応しているグループウェア製品を選ぶことで、より高いセキュリティを得られます。
4 監査ログ機能
監査ログ機能は、不正アクセスやサイバー攻撃があった場合にすばやく対処するための機能です。異常を検知したらすぐに気づける仕組みを持っていると、より素早い対応ができます。
監査ログ機能は、ユーザーの行動を逐一観察することもできるため、内部の不正アクセスにも有効です。
5 メールを制御する機能
ヒューマンエラーや悪意によって社内から情報漏洩が発生する場合、その出入口となるのはメールの送受信です。受信メールの攻撃に関してはウイルス対策ソフトが有効です。しかし送信メールによる情報漏えいは、別のソフトウェアで対策する必要があります。
また、メールの誤送信によるミスを低減するための機能や、添付ファイルの内容をチェックして問題があれば送信しない機能などがあれば、セキュリティを高められます。
6 モバイルセキュリティ管理機能
社外からグループウェアへのアクセス数は、これからも需要が多くなると考えられます。そのような場合の注意点は、モバイル端末のセキュリティ制御です。グループウェアの中には、モバイルの管理機能を持つものもあります。モバイル端末の紛失や盗難に遭った場合は、すぐ端末をロックできるような仕組みも必要でしょう。
セキュリティ機能の充実しているグループウェア3選
グループウェアの中でもセキュリティ機能面でおすすめのグループウェアを3製品紹介します。
1 セキュリティ関連機能が豊富「desknet's NEO」 株式会社ネオジャパン
「desknet's NEO」 は、27個もの標準機能を備えたグループウェア製品です。セキュリティ関連機能も多くサポートしており、SSLによる通信の暗号化やBASIC認証による追加認証に対応しています。接続元IPアドレスを制限しているため、特定のネットワークからのみアクセス制限をかけることも可能です。
また、オプションとして、専用のセキュアブラウザ提供、クライアント認証も選べます。セキュアブラウザは、社外からのアクセス時に利用するブラウザで、添付ファイルの操作を閲覧のみに制限します。クライアント認証は、あらかじめクライアント証明書をインストールした端末のみがアクセスできるオプション機能です。
2 AWSサーバー利用で安心「J-MOTTOグループウェア」 リスモン・ビジネス・ポータル株式会社
「J-MOTTOグループウェア」 は、クラウド特化型のグループウェア製品です。サーバーは、ISO27001・ISO9001認証など多数の認証や規格を取得しているAWS（Amazon Web Servise）。ファイアーウォールなど徹底した不正アクセス防止対策も実施しており、不正アクセスへの対応をしっかり行っています。
3 メール誤送信防止アドオンでヒューマンエラー低減「Coo Kai for Office 365」 株式会社ピーエスシー
「Coo Kai for Office 365」は、「Office 365」のアドオンアプリです。機能のひとつにメール誤送信防止アドオンというヒューマンエラーを低減する機能があります。メール誤送信防止アドオンの機能は以下4つです。
- 指定外ドメインへの送信チェック
- 送信先数のチェック
- 添付ファイルチェック
- 送信ホールド時間設定
指定外ドメインや送信先数をチェックするなど、いずれもメールの誤送信を防止します。送信ホールド時間とは、メールの送信を実行してから、実際のメールが送信されるまでの待機時間です。うっかり送信してもホールド時間内なら送信をせずに取り消すことができます。
グループウェア導入後も脆弱性情報には注意を
セキュリティ面を確認してグループウェアを導入した後も、未来永劫安心できるわけではありません。リリース済の製品に対し、未知の脆弱性が発見される場合もあります。
保守契約を結んでいる場合は、サポート窓口から連絡があったりサポート専用サイトに情報が流れたりするため、必要に応じて対策版にアップデートします。
保守契約を特に結んでいない場合、公式サイトを定期的に確認して脆弱性についてのお知らせがないかチェックしましょう。脆弱性が発覚した場合は、速やかに必要な対策を取る必要があります。
グループウェアを選ぶ際はセキュリティ面も確認しよう
グループウェア製品を選ぶ際は、機能や費用のことに目が行きがちです。しかし、日々の業務で使うシステムだからこそ、セキュリティにも注意しなければなりません。
グループウェア製品の機能を比較する際は、セキュリティ関連の機能にも注目しましょう。
