セキュリティの設定

解説（テキスト版）

はじめに

kintoneの担当には、こんな相談が届きます。在宅勤務の日にも、kintoneを使えるようにしてほしい、と頼まれる。

あるいは、2要素認証は、入れたほうがいいのか。入れるなら、スマホはどうするのか、と聞かれる。

第4回は、セキュリティの設定です。kintoneは、インターネットのサービスです。何も設定しなければ、IDとパスワードだけで、どこからでも入れてしまいます。

一言で言うと

先に、一言でまとめます。IPアドレスの制限は、必ず入れます。

そのうえで、庁舎の外から使う必要があれば、制限を外さずに使える方法を、別に考えます。

3つの設定

今日は、3つの設定を順に見ていきます。

ログインのときの、2要素認証。どこから入れるかを決める、IPアドレスの制限。そして、制限の外から入るための、クライアント証明書です。

2要素認証

まず、2要素認証です。パスワードに加えて、スマホのアプリに出る、確認用のコードを入れてログインします。

パスワードが漏れても、スマホがなければ入れないので、有効にすることをおすすめします。

スマホをどうするか

ただし、自治体では、ここで悩みます。職員全員に、公用のスマホがあるとは限りません。

そうなると、職員の個人のスマホを使ってもらうことになります。個人の持ち物を、仕事に使ってもらってよいのか。断る職員がいたら、どうするのか。

公用のスマホを配る、個人のスマホを使うためのルールを作る、ほかの方法で守る、といった選択肢を比べて、団体として決めておく必要があります。

IPアドレスの制限

次に、IPアドレスの制限です。kintoneに入れる場所を、庁舎のネットワークからだけに絞る設定です。

これは、絶対に入れましょう。IDとパスワードが漏れても、庁舎の外からは入れません。

庁舎から外に出るときの、グローバルIPアドレスを、許可する場所として登録します。ネットワークの担当や事業者に、どのアドレスかを確かめてください。

固定のIPが取れないとき

困るのは、モバイルワークや、在宅勤務などです。

外で使う端末は、使うたびにIPアドレスが変わるので、固定のアドレスとして登録できません。

この場合も、IPアドレスの制限を外すのではなく、制限の外から入るための方法を、別に考えます。

クライアント証明書

その方法の一つが、クライアント証明書です。セキュアアクセスという、有料のオプションを契約すると、使えるようになります。

証明書を、端末にダウンロードして入れておくと、IPアドレスの制限をしていても、制限の外から、その端末で入ることができます。

証明書の持ち出し対策

気をつけたいのは、証明書の持ち出しです。

セキュアアクセスの証明書は、基本的に、ユーザーが自分でダウンロードできてしまいます。私物のパソコンなど、決めていない端末にも、入れられてしまうおそれがあります。

kintoneの設定だけでは防ぎきれないので、端末の側で、証明書を取り出したり、ほかの端末に移したりできないように、持ち出しの制限をかけておく必要があります。

あわせて、有効期限を決める。端末をなくしたら、すぐに無効にする。こうした流出対策を、必ず決めておきましょう。

出口を絞る考え方

もう一つ、外で使う端末の通信を、決まった出口にまとめて、その出口のアドレスだけを許可する、という考え方もあります。

これは、SWGという仕組みで出口を絞る話で、ゼロトラストの考え方につながります。詳しくは、セキュリティ編でお話ししています。概要欄にリンクを貼っておきます。

現場でよくある誤解

現場でよくある誤解を、3つ挙げます。

一つ目。クラウドのサービスだから、セキュリティはお任せでいい、という誤解です。誰が、どこから入れるかは、使う側が設定します。

二つ目。在宅でも使いたいから、IPアドレスの制限は外す、という誤解です。制限は残したまま、外から入る方法を別に用意します。

三つ目。証明書を入れた端末なら、安全、という誤解です。証明書は、ユーザーが自分でダウンロードできてしまいます。端末の側で、持ち出しを制限していることが前提です。

最初に確かめること

では、kintoneの担当になったら、まず何を確かめればいいでしょうか。

一つ目。IPアドレスの制限が入っているか。許可しているアドレスが、今も庁舎のものか、です。

二つ目。2要素認証の設定と、スマホをどうしているか、です。

三つ目。クライアント証明書を使っているなら、誰の、どの端末に入っているか。端末の側で、持ち出しの制限がかかっているか、です。