セキュリティ
日々の脆弱性対策とパスキー認証を重視する運用
キューRクラウドでは、「脆弱性を把握して対応する」「不正なログイン経路を減らす」「必要以上の情報を保持しない」「問題発生時に復旧できるよう備える」という考え方を重視しています。
ハネソル株式会社は、情報セキュリティにおける第三者認証（ISMSやプライバシーマーク等）の役割を尊重しています。
一方、認証取得と将来の情報漏洩に対する保証とは別問題です。クラウドサービスの安全性には、日々発見される脆弱性への対処、アクセス制御、情報の保管方法、障害時の復旧体制など、継続的な実運用が重要です。大切なのは、昨日の審査結果より、今日の脆弱性にどう対応するかです。
認証制度と技術的な運用の違いについては、ハネソルの技術ブログ「ISMS・Pマーク取得企業なら本当に安心？」でも解説しています。
OSやミドルウェア、Webアプリケーションには、運用開始後も新しい脆弱性が見つかります。そこで重要なのは、発見された脆弱性を放置せず、利用中の環境への影響を確認し、必要な修正を実施することです。
アップデートを無条件に自動適用するのではなく、システムへの影響や互換性も考慮して行います。月次診断も、すべての未知の脆弱性を発見する保証はありません。
脆弱性への備えは、パッチ適用だけでなく、アプリケーション設計、通信保護、アクセス制御、監視を組み合わせた多層的な対策として行っています。
通信の暗号化、アクセス権限の制限、データを必要以上に保持しない、障害に備えてバックアップする、を組み合わせています。
業務上、名前や連絡先まで登録しなくても、管理番号・状態・日時・読取履歴だけで運用できる場合があります。キューRクラウドでは、登録項目を業務に合わせて調整し、個人情報と管理情報を分ける使い方も可能です。具体的な運用は識別IDを活用した管理方法をご覧ください。
キューRクラウドは、FIDO2規格に準拠したパスキー認証を標準提供しています。パスキーは公開鍵暗号方式を利用し、サービス側には公開鍵を保存します。従来のパスワードを盗み取るフィッシング攻撃に対して、高い耐性があります。
パスキーを追加しただけで、従来の弱いログイン経路がそのまま残っていては十分ではありません。キューRクラウドでは、パスキー登録後のID・パスワード認証を無効化することで、パスワードに依存しない運用を推進しています。
端末の紛失・故障などによりパスキーでログインできなくなった場合は、通常のパスワードによる自動復旧ではなく、個別のお問い合わせにて対応します。メール・電話などによる確認と、契約・利用状況に関する確認を経て、担当者が設定解除の可否を判断します。
導入企業の業務内容や社内規程に応じて、認証・権限・セッションなどの設定を選択できる構成としています。
情報管理に関する社内規程や監査要件のある企業向けに、標準機能を補う追加設定をご用意しています。セキュリティチェックシートへの回答や個別の運用設計をご相談いただく場合は、事前お見積りのうえ内容を調整します。
主な拡張設定は、パスワードポリシー、メールOTPによる二要素認証、セッション時間、IPアドレスによる接続元制限です。アクセス権限は契約者・管理者・一般利用者を基本とし、ご要望に応じたカスタマイズもご相談いただけます。
ID・パスワード方式を利用するアカウントについて、テナント単位で次のポリシーを選択できます。
パスキー登録後のアカウントには、ID・パスワードログイン無効化が優先されます。
パスワードログインを利用する場合、メールで送付するワンタイムパスワードを追加できます。
パスキー初回登録時のOTP確認は、これらの設定に関係なく必須です。
業務や社内ポリシーに応じ、ログインの有効期限を選択できます。
指定したグローバルIPアドレスからの接続に限定することで、許可されたネットワーク以外からのログインを制限できます。パスキー・SSOなどと組み合わせた多層的な制御が可能です。
ハネソルは、認証制度の有無だけでサービスの安全性を判断するのではなく、脆弱性への対応、認証、保存情報、復旧体制などの実際の運用を確認することが大切だと考えています。
関連する考え方は、ISMS・Pマーク取得企業なら本当に安心？で紹介しています。また、登録情報を必要最小限にする設計については、クラウドに預ける情報を減らすQRコード管理もご覧ください。
業務効率化をQRコードを使って簡単に導入できるWEBデータベース「キューRクラウド」を使った導入事例をご紹介します。
