8分

ビジネスソフトウェアにおけるデータセキュリティ：導入を決定する前に確認すべき点

2026/08/13

ビジネスソフトウェアにおけるデータセキュリティ：導入前に確認すべき事項

ERPシステムには、顧客情報、価格、利益率、仕入先との取引条件、財務状況など、ビジネスにおけるあらゆる重要な情報が一か所に集約されています。この集約こそがシステムの目的であると同時に、最大のリスクでもあります。本記事では、確認すべき管理措置について、重要度の高い順にご紹介します。

アクセス制御

最も一般的な脆弱性は、高度な攻撃によるものではなく、誰もがすべての情報を見られるという点にあります。実用的な要件は以下の通りです：

役割ベースの権限設定。 権限は個人ではなく、役割に紐付けられます。誰かが異動した際、数十もの個別の設定を監査するのではなく、その人の役割を変更するだけで済みます。
フィールドレベルの制限。 営業担当者は顧客レコードを参照する必要がありますが、仕入れ価格までは必要ない場合があります。権限が画面レベルでのみ機能する場合、これは不可能です。
レコードレベルの適用範囲です。 地域マネージャーは、自身の担当地域のみを閲覧します。これがなければ、「読み取りアクセス」とは、すべてに対する読み取りアクセスを意味してしまいます。
エクスポートの制限。 顧客リスト全体をスプレッドシートにエクスポートする機能は、データが社外に流出する最も一般的な経路です。これを制限し、ログを記録する必要があります。
速やかな無効化 退職した従業員のアカウントは、その日のうちに閉鎖されます。四半期ごとに休眠アカウントを点検することで、退職処理で見落とされたものを捕捉できます。

監査ログ

誰が、いつ、何を行ったかを把握することは、セキュリティの観点からも、社内の紛争解決の観点からも重要です。有用な監査ログとは、単に変更が発生した事実だけでなく、変更前後の値を記録するものです。価格の変更、割引のオーバーライド、在庫の調整、支払い記録、権限の変更などを網羅すべきであり、かつ、記録の対象となる人物によって編集できないものでなければなりません。

管理者が削除できるログは、監査ログとは言えません。ログの保存期間がユーザーの権限とは独立して強制されているか、また記録がどのくらいの期間保存されるかを確認してください。

バックアップと復元

どのベンダーも、バックアップは実施されていると述べています。重要なのは、復元に関する以下の点です：

バックアップはどのくらいの頻度で実施され、障害が発生した場合にどの程度のデータが失われるのでしょうか？ 毎晩のバックアップでは、1日分の作業が危険にさらされることになります。
復元にはどのくらいの時間がかかりますか？ これはダウンタイムを決定づける数値ですが、尋ねない限り提示されることはほとんどありません。
バックアップは別の場所に保管されていますか？ 同じインフラストラクチャ上のバックアップは、そのインフラストラクチャに影響を与える事象が発生した場合、失われてしまいます。
最後に復元テストが行われたのはいつですか？ テストされていないバックアップは、安全策ではなく単なる仮定に過ぎません。最後に復元テストが成功した日付を確認してください。
自社でバックアップのコピーを取得することは可能ですか？ ベンダーのプロセスとは独立して行う必要があります。

暗号化と転送

転送中のデータはエンドツーエンドで暗号化される必要があります。これには、見落とされがちなマーケットプレイス、銀行、物流業者との連携も含まれます。保存中のデータについては、データベースレベルの暗号化が適用されているか、また鍵がどこに保管されているかを具体的に確認してください。

データの保管場所とコンプライアンス

サーバーが物理的に設置されている場所、およびそれが貴社の規制上の義務を満たしているかどうか。
ベンダーが利用しているサブプロセッサーとその事業拠点。
個人データの保存期間、および保存期間が満了した際に実際に削除が実施されているかどうか。
データ主体からのアクセスまたは削除の要求が、実際にはどのように処理されるか――画面経由か、それともサポートチケットの発行によるか。

実践的な習慣

多要素認証を有効にしてください。 特に管理者アカウントや外部からのアクセスについては、必ず有効にしてください。
管理者の人数を制限してください。 通常、2～3名で十分です。全員が管理者であることは、問題が発生するまでは便利に思えますが、いざという時には問題となります。
権限を定期的に見直してください。 権限は蓄積される一方ですが、誰も削除しようとはしません。年2回の見直しを行うことで、これを適切に管理できます。

テスト用データは別途用意してください。

多くのことを明らかにする一つの質問があります。ベンダーに、最後に復元テストを実施したのはいつか尋ね、その結果を提示してもらうよう依頼してください。自信に満ちた具体的な回答は、いかなる認証書よりも、そのベンダーの運用上の成熟度を如実に物語ります。