CRM・顧客情報システムのアクセス制御：営業部門のゼロトラスト実践ガイド
CRMシステムには、企業の最重要資産である顧客情報が集約されています。 営業担当者の移動情報、契約内容、商談進捗、果ては個人的な接触内容まで、あらゆるデータが記録されることがあります。 この情報が漏洩すれば、企業の評判失墜、顧客信頼の喪失、さらには法的責任まで追及される可能性があります。 ところが多くの企業では、CRM セキュリティへの取り組みが十分ではありません。 本記事では、営業部門のゼロトラスト実践に必要な、CRM・顧客情報システムのアクセス制御について解説します。
⇒【ロリポップ！固定IPアクセス】 月額490円、すぐに使えて最大2ヶ月間無料！
CRMが狙われる理由と現状
顧客情報 アクセス制御は、なぜ注目されるべきなのでしょうか。 まずはCRMシステムが置かれている現状を整理してみましょう。
顧客情報の集中管理
現代のCRMシステムは、単なる顧客リストではありません。 営業活動に関するあらゆる情報が記録されます。 顧客の連絡先、購買履歴、過去の商談内容、価格交渉の経緯、さらには顧客企業の財務情報や経営層の人事異動情報まで、セキュリティ観点では極めて敏感な情報が集中管理されています。
クラウド化による複数拠点からのアクセス
営業 SaaS セキュリティが重要な時代です。 CRMシステムのほとんどはクラウド型SaaSになり、出張先やテレワークを含む様々な場所からアクセスされます。 従来の社内ネットワークに限定したセキュリティモデルは機能しなくなっているのです。
不正アクセスの増加
退職した元従業員によるアクセス、他部門の従業員による無権限閲覧、そして外部攻撃者によるアカウント奪取など、顧客情報の不正アクセスは増加傾向にあります。
⇒【ロリポップ！固定IPアクセス】月額490円、すぐに使えて最大2ヶ月間無料！
ゼロトラストでCRM セキュリティを強化する
ゼロトラストセキュリティのアプローチを、CRM システムに適用するとどうなるでしょうか。 従来のセキュリティでは、「社内ネットワーク内ならば信頼できる」という前提がありました。 しかしゼロトラストでは、ネットワークの場所を問わず、すべてのアクセスについて「本当にこのユーザーか」「このアクセスは正当か」を常に検証し続けます。
CRM セキュリティの三層防御
CRM システムへのアクセス制御を多層化することが重要です。
第一層は「ユーザー認証」です。 パスワードだけではなく、多要素認証（MFA）を必須にします。 スマートフォンのアプリケーション認証、セキュリティキーの使用など、複数の認証方式を組み合わせることで、本人確認の確実性を高めます。
第二層は「アクセス元制限」です。 ユーザーがどこからアクセスしているかを検証し、許可されたネットワークからのみアクセスを許可します。 固定IP を使用することで、営業拠点、テレワーク環境、そして外出先のそれぞれに異なるアクセスルールを適用できます。
第三層は「行動分析」です。 普段と異なるアクセスパターン（深夜のアクセス、大量データの一括ダウンロード、普段アクセスしない顧客データへのアクセスなど）を検知し、疑わしい場合は追加の認証要求や一時的なアクセス制限を実施します。
営業部門のゼロトラスト実践：部員別アクセス設定
営業 SaaS セキュリティを実装するには、営業部門の組織構造と職務を理解した上でアクセス権を設定する必要があります。
営業担当者
通常の営業活動に必要な最小限の範囲で、顧客情報へのアクセスを許可します。 自分の担当顧客の情報は完全に閲覧・編集でき、他の営業担当者の担当顧客については読み込みのみ可能、といった具合です。 競合他社や業界情報といった機密性の高い情報へのアクセスは制限します。
営業管理職
部員の営業活動を適切に監督するため、部員の顧客情報へのアクセスは可能にします。 しかし個人の連絡先や家族情報といった、営業活動に直結しない個人情報へのアクセスは制限することで、プライバシーと管理の必要性のバランスを取ります。
営業企画部門
営業戦略立案に必要な営業データの分析は可能にしますが、個別顧客の詳細情報へのアクセスは制限します。 大きなビジネスインテリジェンスは必要でも、個人の連絡先や取引条件といった情報は不要です。
営業事務
顧客情報の登録・更新作業に必要な最小限の編集権のみ付与し、営業戦略情報へのアクセスは制限します。
⇒【ロリポップ！固定IPアクセス】月額490円、すぐに使えて最大2ヶ月間無料！
固定IP によるIP制限の実装ステップ
では、実際にアクセス制御を導入する手順を説明します。
ステップ1：営業部門のネットワーク構成把握
営業部門がどこからCRMにアクセスするか整理します。 本社オフィス、支社、営業所、そしてテレワークを含むリモートアクセスの場所ごとに、どのネットワークから接続されるかを確認します。 出張先からのアクセスが頻繁な場合は、その対応方法も決めておく必要があります。
ステップ2：固定IPの準備
各アクセス拠点ごとに固定IPアドレスを確保します。 本社オフィスは1つの固定IP、テレワークユーザーグループは別の固定IPといった具合に分けることで、きめ細かいアクセス制御が可能になります。 複数の支社がある場合は、支社ごとに異なる固定IPを用意し、万が一1つの支社がセキュリティ侵害を受けても他の支社のアクセスを維持できるようにします。
ステップ3：CRM側のIP制限設定
SalesforceやHubSpotといった主要CRMプラットフォームには、IP制限機能が搭載されています。 許可するIPアドレスをホワイトリスト形式で登録し、それ以外のIPからのアクセスを自動的にブロックします。
ステップ4：ロール基準のアクセス制御との組み合わせ
IP制限に加えて、CRM内部でもロールベースアクセス制御（RBAC）を活用します。 営業担当者Aは東京営業所のIP範囲からのみアクセス可、営業管理職Bは本社と支社の両方のIPからアクセス可、といった具合に多次元的なアクセス制御が可能です。
テレワーク・出張時の対応策
営業部門では、テレワークや出張が多いという課題があります。 これに対して、どのようにセキュリティを保ちながら対応するのでしょうか。
VPN経由でのアクセス統一
テレワークユーザーや出張中の営業担当者には、VPNの使用を義務付けます。 VPN経由でアクセスすれば、ユーザーの物理的な場所がどこであれ、企業の固定IPでCRMにアクセスできます。 これにより、「東京営業所のIPからのアクセスのみ許可」というルールを、リモートワーカーにも適用できるようになります。
モバイル環境での認証強化
営業担当者がスマートフォンでCRMにアクセスすることは珍しくありません。 モバイルアプリからのアクセスに対しては、VPN対応のアプリを使用するか、ブラウザ経由でVPN接続した上でアクセスするよう統一します。 同時に、生体認証による追加認証を有効にすることで、デバイス紛失時のリスクを低減します。
一時的なアクセス許可フロー
予定外の出張や緊急対応で、通常のIP範囲外からのアクセスが必要になることもあります。 その際の申請・承認プロセスを事前に定めておきます。 例えば、営業管理職に対して「本日から3日間、海外出張のため出張先のIP〇〇〇からアクセスしたい」という申請を受けると、それを承認して一時的にそのIPを許可リストに追加するといった運用です。
顧客情報 アクセス制御の監査と管理
セキュリティ対策は導入して終わりではなく、継続的な監査と改善が必要です。
アクセスログの定期確認
誰が、いつ、どこから、どの顧客情報にアクセスしたかを記録し、定期的に確認します。 営業担当者A が担当していない顧客の情報を大量にダウンロードしていないか、営業管理職が営業データを持ち出していないか、といったことを検知できます。
権限の定期的な見直し
部署異動、昇進、退職などに伴い、アクセス権限も変更されるべきです。 例えば、営業部門から企画部門に異動した者は、営業部門の顧客情報へのアクセス権を削除する必要があります。 これを月1回程度のペースで定期確認し、不要な権限を自動的に削除するプロセスを構築します。
インシデント対応計画
万が一、顧客情報の漏洩やアカウントの不正使用が疑われる場合は、迅速に対応できる体制を整えておくことが重要です。 影響を受けた可能性のある顧客への通知、ログの詳細分析、問題となったアカウントの一時無効化など、対応の優先順位と手順を事前に決めておきます。
⇒【ロリポップ！固定IPアクセス】月額490円、すぐに使えて最大2ヶ月間無料！
ロリポップ！固定IPアクセスで営業部門を守る
営業部門のゼロトラスト導入には、テレワークやモバイルアクセスの増加に対応しながら、同時にセキュリティを強化することが求められます。 固定IPは、この課題を解決するための鍵となる技術です。
ロリポップ！固定IPアクセスは、GMOペパボ株式会社が提供する固定IPアドレス対応のVPNサービスです。 月額490円（税込539円）〜という国内最安級の価格で、VPN経由でどこからでも常に同じ固定IPアドレスを使ってインターネットにアクセスできます。 高速かつ安全なVPNプロトコル「WireGuard」を採用しており、オンライン申し込み後すぐに利用を開始できます。 最大2ヶ月間の無料お試し期間も用意されているため、まずは気軽に導入テストが可能です。 営業部門のテレワークユーザーも、VPN経由で企業の固定IPでアクセスすることで、CRM セキュリティと利便性の両立が実現できます。
