ワークフローシステムのセキュリティ対策で確認すべきポイント
ワークフローシステムでセキュリティ対策が重要な理由
ワークフローシステムでは、稟議、経費精算、購買申請、契約承認など、社内の意思決定やお金の動きに関わる情報を扱います。これらの情報が漏えいしたり、不正に閲覧・操作されたりすると、社内情報や取引先情報の流出、承認内容の不正利用、支払い・契約業務の停滞につながるおそれがあります。
また、申請者、承認者、管理者など複数の立場の利用者が関わるため、誰がどの申請を閲覧・承認できるのかを適切に管理することも欠かせません。クラウド型サービスでは社外や在宅勤務環境から利用するケースもあるため、ログイン管理やアクセス制御、通信保護などの対策を確認することが重要です。
ワークフローシステムのセキュリティ項目は、認証や通信保護だけでなく、利用者のアクセス制御、ログイン管理、障害時の備えまで分けて確認すると整理しやすくなります。各項目は単独で見るのではなく、申請内容の重要度、承認に関わる利用者の範囲、社外からの利用有無とあわせて確認しましょう。
分類 | 主な項目 | 確認できること |
|---|
第三者評価・情報管理体制 | ISMS、Pマーク | 情報セキュリティや個人情報保護に関する管理体制を外部基準で確認できます |
通信・データ保護 | 通信の暗号化 | 申請内容や添付ファイルを送受信する際の保護状況を確認できます |
アクセス制御 | IP制限 | 利用できる接続元を制限できるかを確認できます |
ログイン管理・ID管理 | 二要素認証・二段階認証、シングルサインオン | なりすましログインの抑止やID管理のしやすさを確認できます |
可用性・障害対策 | 冗長化 | 障害発生時に業務停止の影響を抑える仕組みがあるかを確認できます |
対応有無は有効な判断材料ですが、実際に利用できる範囲はサービスやプラン、設定条件によって異なる場合があります。全社利用、部門限定利用、社外アクセスを含む利用など、自社の運用に当てはめて確認することが重要です。
ISMSは、情報セキュリティを管理する仕組みが一定の基準に沿って整備されているかを示す認証です。ワークフローシステムで社内申請や承認履歴を扱う場合、サービス提供事業者の管理体制を確認する材料になります。
Pマークは、個人情報保護に関する管理体制を示す認証です。従業員情報や申請者情報など、個人情報を含む申請を扱う場合に確認したい項目です。
通信の暗号化は、利用者の端末とサービス間で送受信される情報を保護する仕組みです。申請内容や添付ファイルをクラウド上で扱う場合、通信経路上の情報漏えいリスクを抑えるために重要です。
IP制限は、あらかじめ許可したネットワークからのみアクセスできるようにする機能です。社内ネットワークや特定拠点からの利用に限定したい企業では、不要な接続を抑える対策として役立ちます。
二要素認証・二段階認証は、IDとパスワードに加えて別の確認手段を組み合わせるログイン対策です。承認権限を持つ利用者や管理者アカウントの不正利用を防ぐうえで確認したい項目です。
シングルサインオンは、社内で利用している認証基盤と連携し、複数サービスのログインを一元化しやすくする仕組み です。利用者が多い企業では、アカウント管理や退職時の権限整理をしやすくなります。
冗長化は、障害が発生した場合に備えてシステム構成を複数化する考え方です。申請や承認が止まると支払い、購買、契約などに影響するため、業務継続の観点から確認しておきたい項目です。
ワークフローシステムのセキュリティ要件は、自社の申請・承認フローや利用環境に合うかで判断することが大切です。対応項目の多さだけでなく、扱う申請データ、承認に関わる利用者の範囲、社外アクセスの有無などを整理し、優先すべき対策を見極めましょう。
自社の状況や利用シーン | 確認すべき観点 | 優先して見たいセキュリティ項目 |
|---|
経費、購買、契約関連など重要な申請を扱う | 申請内容や添付ファイルを安全に送受信できるか | 通信の暗号化、ISMS |
従業員情報や申請者情報を含む | 個人情報の管理体制を確認できるか | Pマーク、ISMS |
管理者や承認者の権限が強い | 不正ログインやなりすましを防げるか | 二要素認証・二段階認証、シングルサインオン |
複数部門や全社で利用する | 利用者の増加に合わせてIDを管理しやすいか | シングルサインオン、二要素認証・二段階認証 |
社外や在宅勤務環境から利用する | アクセス元やログイン時の本人確認を制御できるか | IP制限、二要素認証・二段階認証 |
申請・承認が止まると業務に影響が出る | 障害時にも業務停止の影響を抑えられるか | 冗長化 |
ワークフローシステムでは、稟議、経費、購買、契約関連の申請データを安全に扱えることに加え、申請者、承認者、管理者ごとに適切な制御をかけられるかがポイントです。
認証、アクセス制御、通信保護、障害対策の対応範囲はサービスやプランによって異なるため、自社の業務で誰が、どの情報に、どの環境からアクセスするのかを整理したうえで、必要な条件を満たせる候補を比較しましょう。
