IP制限と二要素認証でテレワークの基幹システムを守る方法

月曜の午前9時47分。大阪府東大阪市に本社を置く従業員約70名の精密部品メーカーで、経理責任者の女性が自宅のキッチンテーブルからログインし、月次決算の締めを始めようとしています。この会社は年商約4億8,000万円を複式簿記で管理しています。2年前なら彼女は車で会社に出向き、社内ネットワークに繋がった固定の端末から帳簿を開いていたはずです。今日、彼女は自宅のWi-Fiに繋がったノートパソコンから作業を始めます。

その変化は便利に聞こえます。しかしCFOにとってはリスクに聞こえます。帳簿、発注データ、適格請求書の登録番号、そして人事データのすべてが、1つのログイン画面の奥にあります。もし1つの認証情報が漏れれば、財務機能全体が見知らぬ他人に開かれてしまいます。

これこそ、テレワークが日本の中堅・中小企業にもたらした現実の問題です。問題は生産性でも、組織文化でもありません。基幹システムの玄関が今やどこからでも到達可能になり、その補強にほとんどの企業がほとんど何も手を打っていない、という事実です。

多くの日本の中小企業にある静かなセキュリティ格差

情報処理推進機構（IPA）は2024年度に中堅・中小企業4,191社を対象に調査を実施しました。約7割の企業が情報セキュリティ対策を組織的に講じていないと回答し、約6割が過去3年間でセキュリティに1円も投資していないと答えました。IPAは2025年5月にこの結果を公表しています。

一方で警察庁が記録した2024年のランサムウェア被害の届出は222件に上ります。その約6割が中小企業を巻き込んだ事案であり、ランサムウェアは10年以上にわたり連続でIPAの脅威ランキングの1位に据えられています。

率直に読めば、ほとんどの日本企業は脅威が本物だと分かっていながら、社員のログイン方法を変えていません。パスワード1つ。もしかすると共用のもの。ブラウザに保存されたまま。電車の中のスマートフォンから基幹システムに到達している。

その体制は、システムが社内の奥のサーバーで動き、オフィスのルーターの内側にあった時代なら持ち堪えられました。しかし同じシステムがクラウドでホストされ、オフィスのルーターがもう経路上にない今では、持ち堪えられません。

重ねて守るモデル：強いアクセス制御が意味するもの

セキュリティの専門家は「防御の重ね合わせ（多層防御）」を語ります。財務や事業運営の責任者にとって、実務的な形は4つの層に還元でき、それぞれが単独で攻撃を止めることができます。

どこからログインできるか。 システムを既知のネットワークと既知の場所だけに限定します。本社、名古屋の営業所、帳簿を締める2名の自宅IP。それ以外は、ログイン画面の有無にかかわらず、到達した時点で拒否されます。

誰であるか。 正しく保存され、決して再利用されないパスワード。古いパスワードに戻るのを止める履歴チェック。

あなただけが持っているもの。 30秒ごとに変わる認証アプリの6桁コード、あるいは端末に紐付いたパスキー。たとえパスワードが盗まれても、攻撃者は入れません。

中に入ってから何ができるか。 ロールごとのアクセス権。倉庫担当者は在庫を見て、経理担当者は帳簿を見る。どちらも相手の領域をうろつくことはできません。

この4つの層を組み合わせて実装した基幹システムは、パスワード1つに頼るものとは別物です。それぞれが実務でどう見えるかを見ていきましょう。

ログインを信頼できるネットワークに限定する

日本の中小企業で最も活用されていない制御がIP許可リスト（IPアドレス制限）です。考え方はシンプルかつ強力です。基幹システムは、あらかじめ承認したアドレスからの接続だけを受け付けます。海外の見知らぬカフェからのログイン試行は、認証チェックまで届きません。玄関で拒絶されます。

きちんとしたシステムは、ルールの表現方法を3つ備えています。1つの固定拠点に対する単一IPアドレス。事業所のネットワーク全体を対象とするCIDR範囲（例：10.0.0.0/24）。そして在勤者が使い回す可能性のあるアドレス帯を対象とする包括的範囲（例：192.168.1.1から192.168.1.100まで）です。

システムには2つの強制モードを選ばせる必要があります。許可リストは承認リスト上のアドレスだけを通し、それ以外をすべて遮断します。拒否リストはその逆を行います。財務データの場合はほぼ常に許可リストが正解です。許されないものを追いかけるより、許されるものを明示する方が確実だからです。

小さくとも重要な設計上の詳細があります。ルールが未定義の段階では、システムは「通す（フェイルオープン）」振る舞いをすべきです。そうでないと、機能を有効にした初日に全社員を締め出してしまう事故が起きます。最初の信頼できる範囲を追加した瞬間から、強制が始まります。

また、トラフィックがプロキシを経由する場合に、システムが本当のクライアントアドレスをどう読み取るかという問題もあります。きちんと作られた制限レイヤーは、標準の転送ヘッダーとクラウドプロバイダーのヘッダーを正しく読み取ります。評価対象となるアドレスは手前のプロキシではなく、実際の利用者です。

この1つの制御だけで、驚くほど多くのリスクが消えます。別の都道府県の住宅回線にいる攻撃者の手元では、フィッシングで盗んだ認証情報が役に立ちません。ログイン自体が解決しないのです。

TOTPの二要素認証：期限が切れるコード

許可されたネットワークの内側でも、共用や盗難されたパスワードは問題のままです。ここで二要素認証が登場します。これは構想ではなく、実装済みの機能です。

仕組みはTOTP、時刻ベースのワンタイムパスワード標準です。利用者は任意の認証アプリでQRコードをスキャンするか手動キーを入力し、基幹システムとペアリングします。以後、ログインのたびに30秒ごとに変わる6桁の新しいコードが求められます。コードはスマートフォンの端末内で生成され、サーバーには送信されません。

良い実装は、運用上重要な2点を加えます。第1にバックアップコードです。利用者が二要素を有効にすると、システムは1回限りの復旧コードのセットを生成します。スマートフォンを紛失したり買い替えたりしても、バックアップコードで新しい端末を再ペアリングするのに十分な間ログインできます。第2に、数秒ずれた時計の利用者を拒絶しない、隣接する時間枠も受け入れる検証窓です。

二要素の無効化にはアカウントのパスワードを要求すべきです。これは小さいながら意味のある安全策です。一時的にロック解除されたセッションを借りた攻撃者が、こっそり第2要素を外すのを防ぎます。

財務チームにとっての実務上の効果は、単独で漏れたパスワードではもう帳簿が開かない、という点です。攻撃者はさらに、同じ30秒の窓の中で利用者のスマートフォンも手に入れる必要があります。これは攻撃者にとって大幅なコスト増であり、CFOにとっては大幅なリスク低下です。

パスキー：盗まれるパスワードそのものをなくす

TOTPは強力ですが、それでもパスワードから始まり、パスワードは人々が使い回して漏らすものです。パスキーは、ログインからパスワードそのものを完全に排除します。

パスキーは、パスワードレスログインの業界標準を用いて端末に紐付けられた認証情報です。登録時に利用者の端末は公開鍵と秘密鍵のペアを作ります。秘密鍵は端末から出ません。サーバーが保存するのは公開鍵の半分だけです。ログイン時、サーバーはチャレンジを送り、端末はローカルで署名します。その署名済みの応答が、パスワードを打ち込むことも送信することもなく、利用者がその端末を持っていることを証明します。

完全なパスキー実装は、利用者が複数の端末を登録し、それぞれに分かりやすい名前を付け、名前を変更し、1つを紛失しても他へのアクセスを失うことなく削除できるようにします。ユーザー名優先のフローと、端末自身が適切な認証情報を提示する検出可能フローの両方を支えます。

知っておくべき運用上の詳細が1つあります。成熟したシステムは、パスキーログインと二要素ログインを連動させます。アカウントで二要素が有効なら、パスキーでのサインインが成功しても、第2要素のチャレンジが続きます。これにより入門への最も強い経路にも第2層が及びます。管理者は、すでにTOTPを使うアカウントのポリシーを弱めることなくパスキーを展開できます。

経理責任者にとって、パスキーはノートパソコンの指紋認証でログインできることを意味します。フィッシングされるパスワードはありません。打ち間違えるコードもありません。彼女にとっては速く、会社にとっては安全です。

残るアカウントのための、正しく作られたパスワード

全アカウントが初日にパスキーへ移行するわけではなく、B2Bポータルの取引先はパスワードを使い続けるかもしれません。だからパスワードの層も堅牢でなければなりません。

それは、妥当なコスト係数で強くて遅いアルゴリズムによるハッシュ化を意味します。NIST 800-63Bの指針に沿ったパスワード履歴チェックで、利用者が過去数回のパスワードのいずれかに戻れないようにすることを意味します。パスワードを再変更できるまでの最短期間を設け、使い捨てのパスワードを5回サイクル回してお気に入りに戻る手口を塞ぐことを意味します。さらに、期限の短いトークンとレート制限を備えた安全なリセットフローで、リセット経路そのものが弱点にならないようにすることを意味します。

地味な詳細ですが、監査人やセキュリティを重視する顧客がベンダー審査でまさに聞いてくる詳細です。

ロールごとのアクセス権と、分離されたデータ

認証は誰が入れるかの問いです。認可は入った後で何に触れるかの問いです。基幹システムは両方に答えなければなりません。

アクセスはロールごとに付与されます。管理者がロールを定義して人々に割り当てると、システムは各人にそのロールが許す機能と記録だけを示します。倉庫長は移動、転送、出荷を見ます。経理責任者は請求書、仕入帳、仕訳、予算を見ます。営業責任者は見積書と受注を見ます。既定で全機能が手に入る人はいません。

次に会社の境界の問題があります。複数の事業体を束ねる持株会社や、顧客ごとに別の帳簿を管理するサービス企業には、各会社のデータが完全に分離されたままであることが求められます。正しい設計はデータを会社単位で分離し、ある事業体の利用者が、共有機能を通じた場合であっても、誤って別の帳簿に踏み込むことがないようにします。

これは聞こえる以上に重要です。監査チームが「事業体Bの数字を誰が見られたか」を尋ねたとき、答えは短く確実な一覧でなければなりません。

実際の1週間でどう見えるか

精密部品メーカーに戻りましょう。CFOは火曜日にIP許可リストを有効にします。東大阪の事業所のCIDR、名古屋の営業所、そして帳簿に触れる5名の自宅アドレスを追加します。財務へのアクセス権を持つ全アカウントにTOTPの二要素認証を必須とし、自身と経理責任者をパスキーへ移行させます。

変わることは静かですが大きい。

オフィスの固定端末から回していた月次決算は、経理責任者がどこにいようと実行でき、統制は一切失われません。無関係な別の漏洩でログイン情報が流出した取引先でも、帳簿には届きません。TOTPコードと許可リスト上のネットワークの両方がなければ認証情報が役立たないからです。社員が退職するとき、管理者はロールとパスキーを削除し、扉は綺麗に閉じられます。

これらは、カスタム開発や半年がかりのセキュリティプロジェクトを必要としませんでした。これらの制御を標準機能として備える基幹システムと、それらを有効にする意思を持つ管理者だけが必要でした。

よくある質問

IP制限は社員の出張時に締め出してしまいませんか？

設定を厳しすぎればその可能性はあります。実務的な運用は、固定拠点の許可リストに、既知の出張向けの一時的な範囲を追加する文書化された手続きを組み合わせることです。これは既知のリスクに対する意図的な摩擦であり、ほとんどの財務チームは、どこからでも開かれるログインより短い承認手順を好みます。

決算月のストレスが高い時期に、二要素認証は負担になりませんか？

コード入力はログインごとに数秒を加えるだけですし、パスキーはそれすら消し去ります。現実的なコストは、誰かがスマートフォンを買い替えた際の1回のサポート対応で、まさにバックアップコードの出番です。漏洩した認証情報と比べれば、その小さなコストは安い保険です。

小さな会社でも本当に狙われるのですか？

報告されたランサムウェア被害の約6割が中小企業を巻き込んでいます。攻撃者は見出しになる場所ではなく、防御が最も弱い場所を狙うからです。設定されていないクラウドのログインは、会社の規模に関わらず格好の的であり、だからこそ Kikan System は IP制限と二要素認証を標準機能として備えています。

移行期間中も既存のパスワードを使い続けられますか？

はい。よく設計された基幹システムは、展開を段階的に進められます。まずIP制限から始め、次に財務ロールに二要素を必須とし、それからパワーユーザーをパスキーへ移します。最大2ユーザーまで無料、クレジットカード不要のプランで、金曜の午後に全社を一斉に切り替えることなく段階的な展開を試せます。

重要なポイント： テレワークが元に戻ることはなく、財務データへの玄関も社内のルーターの内側に戻ることはありません。解決策は、パスワードに関する意欲をさらに絞ることではありません。信頼できるネットワーク、時刻ベースの第2要素、パスキー、ロールごとのアクセス権を、単にスイッチを入れる標準制御として強制する基幹システムです。

なぜ外付けではなく、プラットフォーム内にあるべきなのか

認証ツールは個別に購入できます。単独の二要素サービス。別個のネットワークフィルター。多くの日本企業がそうしており、結果として複数のベンダー、複数の請求書、そしてポリシーが同期から外れうる複数の場所を抱えています。

これらの制御を基幹システムの内側に置くことの論点は、一貫性です。どの請求書が存在し、どのロールが存在し、どの会社の境界が適用されるかを知るのと同じシステムが、誰がそれらを見られるかを強制します。ある人が去るとき、そのアクセスを削除することで1つの真実の情報源が更新されます。監査人が証拠を求めるとき、アクセスの話とデータの話が一致します。

これこそ、Kikan Systemが提供するために作られたものです。信頼できるネットワーク制限、TOTPの二要素認証、パスキーログイン、パスワード履歴、ロールごとのアクセス権、そして会社ごとのデータ分離が、会計、在庫、製造オーダー、承認を動かすのと同じプラットフォームの中に共に存在します。管理画面から設定し、配下のすべてのモジュールを保護します。

もしあなたのチームがテレワークで働き、今の仕組みがまだパスワードだけなら、そこから始めてください。無料プランは2ユーザーまで、カード不要でご利用いただけます。実際のワークフローに対してアクセス制御を評価するには十分です。はじめるからお試しいただくか、プランをご確認ください。

強いアクセス制御は、後で追加する機能ではありません。基幹システムが立つ、その土台です。