WEBの集客サービス利用時は、セキュリティを見直す必要がある。 | Improve security for management customer service on web service

WEBの集客サービス利用時は、セキュリティを見直す必要がある。

日本で利用される集客サービスのセキュリティの現状

　特に実店舗を構えてやっている所は、ぐるなびやホットペッパー、E-PARK等々WEBで集客する為の広告媒体を使用したり、幾多数多あるWEBサービスで集客した顧客の情報をそれぞれのWEBサービスの管理画面で管理するのが大変な為、さらにそういったWEBサービスでの顧客情報を一元管理する為のWEBサービスと契約している所が殆どだろう。

　実店舗を構えている店舗では、こういった集客媒体を提供している企業が、直接店舗、本部へと営業をかけ、IT部門そっちのけのセキュリティ状態で利用されるケースも多い。

　ここで、問題になるのが、WEBサービスであるが故に、セキュリティを考慮せずに運用されたこれらのサービスは、自宅やネットカフェから等でも利用可能で、標準の状態では、IDとパスワードさえ知っていれば、どこからでも顧客情報がダウンロードし放題で、顧客情報を名簿業者等、コンプライアンスに反して売買されてしまう事もありえてしまう。

　テレビやネットのニュースで流れる個人情報の流出は、ハッカーからの外部からアタックされたケースを取り扱われる事が殆どだが、社内の関係者が関わっていた場合には、報道されず、案に外部にバレるまで、事案が葬り去られる事もしばしばある。

　これが、WEB集客媒体を利用している多くの企業が抱える運用で、WEB集客媒体側は、セキュリティー強化の対応については、コストがかかり、導入を提案する営業からセキュリティ強化の為の案を提示してくる事は、顧客を取り逃す恐れがある為、してこないのが通常である。

WEBで顧客情報を扱うサービスを利用する際の最低限実施するセキュリティーは？

まずは、利用しているサービスについて取捨選択も視野に入れる必要がある。
　日本の多くの企業は、利益にならない機能は排除して、利益だけをモロ追及するサービス提供者の場合、セキュリティを担保する為のセキュリティー対応を全く持っていないからである。

切り捨てが必要なセキュリティ要件は？

　以下のセキュリティーが提供出来ない業者だった場合は、即刻解約、情報削除を依頼した方が良いと言える。

1. アクセス制限が実施できないサービスは切り捨てるべき
   　固定IP（契約した企業）からのみの、アクセス制限が設けられるセキュリティー。
2. 証明書を利用したアクセス制限を実施できないサービスは切り捨てるべき
   　固定IPが持てない環境だった場合、接続可能な証明書（通行証みたいなもの）を有しているデバイスのみアクセス可能とするセキュリティー。

　日本の顧客情報を取り扱うサービスが提供しているセキュリティー要件では、アクセス制限も実施出来ないサービス事業者も意外と多く、セキュリティーよりも、目先の利益に走っている様子を多く伺え、そういったサービス事業者は、外部からしてきされるまで、自分達から情報漏洩している事にすら気が付けられないのである。

　昨今も事件になっていたが、退職した従業員が顧客情報を管理しているサービスにアクセスして顧客情報を閲覧していた等、ニュースや事件として取り扱われなくても、よく起きているのを目にしている。

最低限必要なセキュリティ要件は？

　１．アクセス制限

　　契約した企業の事業所からのみしかアクセス出来ないようにする事は、必要最低限といえる。　アクセス制限を実施する事によって、従業員が、自宅や、ネットカフェから顧客情報は、閲覧、ダウンロード等を行えなくする事が可能となる。

　２－１．外部事業所のVPN化

　

　　　これは、サービス利用者側にコストがかかる為、コストをかけられない小規模な事業、または、事情がある場合は、下記に提示してある２－２．を導入する事で、サービス利用者側が設備投資を行えなくても同じようなセキュリティを担保する事が可能である。

　　　　簡単に説明すると、サービス利用者側がアクセス制限を設けたサービスに接続する為には、同じ固定IPのネットワークに参加しているデバイスからのみアクセスが可能となる為、外部の事業所がインターネットを接続する際に、同じネットワークに参加出来ていない場合には、そのサービスにアクセスする事が出来なくなってしまう為、VPNというネットワークサービスを導入する必要が出てきてしまい、そこそこ費用がかかってしまう。

　２－２．証明書でのアクセス制限

　　昨今は、モバイルデバイス（スマートフォンやタブレット）等で、キャリアの通信網から直接サービスに接続するサービスも多く、また、小規模な事業所が全国にあり、サービスを契約している事業所と同じネットワークに参加が不可能な環境で、顧客情報を管理するWEBサービスを利用している所が非常に多い。

　　証明書は、言い換えれば、通行手形みたいな物で、通行手形を導入した端末からのみ、WEBサービスへアクセスする事が可能となるセキュリティー。

　　アクセス制限と組み合わせる事で、運用負荷が下げられるのだが、アクセス制限が導入できない場合、せめて、証明書（通行証）を持っているデバイスからのみアクセス可能とするセキュリティは導入しておきたいところ。

まとめ

下記のWEBサービスは見直しが必要

1. アクセス制限が実施できないサービスは切り捨てるべき
2. 証明書を利用したアクセス制限を実施できないサービスは切り捨てるべき

WEBで顧客サービスを利用する際は、下記を導入する

　１．アクセス制限

　２．証明書の導入

実際には、こういったサービスを利用する際には、運用ルールの策定と、社内のモラル、セキュリティ教育の徹底も必要なのだが、運用でカバーするスタイルのセキュリティーは、大抵の場合、個人情報の漏洩防止には貢献出来ていない為、社内のネットワークやシステムのセキュリティーを見直す方が企業の姿勢としては必要だと思われる。

特に昨今のサイバー犯罪が増えている現状では、絶対に必要と思われる事項を簡単に列挙してみました。