全国約2,000の新聞販売店がアクセスするkintoneを、証明書認証からIPアドレス制限へ

今回は「ロリポップ！固定IPアクセス」を全国規模でご活用いただいている株式会社朝日新聞社の尾原さんにお話を伺いました。

朝日新聞社さんは、全国の新聞販売店（ASA）と本社をつなぐ情報共有基盤「ASAネット」（サイボウズ社のkintoneがベース）のセキュリティ強化のため、kintoneのIPアドレス制限と「ロリポップ！固定IPアクセス」を組み合わせて活用されています。その規模は約2,000店・2,000ライセンス超。

「拠点が多すぎてIPアドレス制限が使えない」という課題をどう解決したのか。導入の経緯から全国展開の工夫、導入後の効果まで、じっくり伺いました。

GMOトラスト・ログイン連携。ロリポップ固定IPアクセスとIDaaSの連携で強固なセキュリティを実現。固定IPのロリポップ！固定IPアクセスと、IDaaSのGMOトラスト・ログインの組み合わせ

この記事のポイント

kintoneのIPアドレス制限を、全国約2,000の新聞販売店で活用
「ロリポップ！固定IPアクセス」×「GMOトラスト・ログイン（IDaaS）」の組み合わせで、強固なセキュリティを実現
証明書認証を廃止して固定IPによるアクセス制限に一本化、3年ごとの証明書更新作業はゼロに
2,000超のライセンスも一括発行でスムーズに導入
WireGuardベースで通信の遅延なし。一度設定すれば再起動後もそのまま使える

朝日新聞社と「ASAネット」について

──まず、事業内容と尾原さんのご担当業務について教えてください

新聞社ですので、新聞を発行し販売しています。その中で私は販売部門のシステムの保守・管理を担当しています。

朝日新聞社は販売店を全国に展開していまして、約2,000店あります。私たちは販売店のことを「ASA（朝日新聞サービスアンカー）」と呼んでいるのですが、本社とASAとの情報共有の基盤として「ASAネット」というシステムを使っています。ベースはサイボウズのkintoneです。

──ASAネットではどのような情報をやり取りされているのですか？

購読者さまの情報も一部やり取りしますし、本社から各販売店への請求書をPDFで送付するといった用途にも使っています。個人情報を扱う場面がありますので、対策を取りながら運用しています。

昨今、情報漏洩や不正アクセスが増えていますし、個人情報を扱うケースも増えてきました。そういった背景があって、ASAネットのセキュリティを高めようということになったのが今回の取り組みの始まりです。

導入前の課題 — 証明書認証ではIPアドレス制限が活かせない

──セキュリティ強化として、どのような方法を検討されたのでしょうか？

検討の中で、二要素認証と固定IPアドレスによるアクセス制限、この2つをやろうということになりました。

以前は固定IPアドレスを使っていなかったので、言ってみればインターネットさえつながっていればどこからでも入れてしまう状態でした。そこで、kintone側で固定IPアドレスによる制限を設定して、決められたIPアドレスからしか接続できないようにしようと考えました。固定IPアドレスはVPN経由で利用する構成のため、通信内容が暗号化され、よりセキュアで安全な経路を確保できます。VPN網を簡単に構築できることも、メリットの1つでした。

kintoneのIPアドレス制限で「どこからアクセスできるか」を絞り、ログイン時はIDaaS「GMOトラスト・ログイン」の二要素認証で「誰がアクセスしているか」を確認する。それぞれ単体では突破されうる要素も、組み合わせることで「許可された場所から、本人確認された人だけ」がアクセスできる、強固な構成になります。

ASAネット（kintone）を守る2段構えの仕組み。全国約2,000のASA（販売店）はロリポップ！固定IPアクセスで固定IPアドレスを付与されてIPアドレス制限を通過し、本社・グループ企業は自社の固定IPアドレスで接続。未許可のIPアドレスからの通信は遮断され、通過後はGMOトラスト・ログインの2段階認証で本人確認を行う。ロリポップ！固定IPアクセスとGMOトラスト・ログインの組み合わせで強固なセキュリティを実現

──以前はクライアント証明書をお使いだったそうですね

はい。実は以前は全ユーザーにクライアント証明書を配布していました。ただ、証明書を使うと、IPアドレス制限を設定していても証明書があれば接続できてしまうんです。つまり、もし証明書が盗まれたら、そこから入られてしまう。

本来は「基本はIPアドレスで制限して、その中に入れられない一部の人にだけ証明書を配る」という使い方だと思うのですが、うちでは全ユーザーに証明書を配っていたので、実質的に全ユーザーがIPアドレス制限をスルーして入ってくる状態でした。それであれば証明書はやめて、固定IPアドレスによる制限に一本化しよう、と。そちらの方が強固ですから。

選定の決め手 — シンプルで、導入も運用も「優しい」こと

──「ロリポップ！固定IPアクセス」を知ったきっかけと、選ばれた理由を教えてください

二要素認証の方は、GMOグローバルサインさんの「GMOトラスト・ログイン」を使うことが先に決まっていました。固定IPをどうしようかと探していたときに、同じGMOグループでこういう製品があると知って採用させていただきました。グループ内で連携していただけるという安心感がありましたね。

──比較検討ではどのような点を重視されましたか？

一つは、導入と運用が「優しい」こと。管理する側にとっても、使う側にとっても簡単であることは重要視しました。全国の販売店にはパソコンに慣れていない方も大勢いらっしゃるので、そこの負担が少ないものを選びたかったんです。

その意味でも、日本語の製品であることは一つの観点でした。VPN製品は海外製もいろいろありますが、導入や運用のしやすさを考えると日本の製品がいい。あとはやはりコストですね。他社製品はいろいろな機能が付いてもう少し割高になるものが多かったのですが、うちは「kintoneのIPアドレス制限に使う」とピンポイントで目的が決まっていたので、必要な機能を安く提供いただけるのはありがたかったです。

──最終的に、一番の決め手はどこでしたか？

使い勝手ですね。非常にシンプルで分かりやすかった。実際に自分のPCにいくつかのVPN製品を入れて、インストールが簡単かどうかを検証したんです。その中で一番シンプルだったのがロリポップ！固定IPアクセスでした。

WireGuardをPCで使う3ステップ。①公式サイトからWireGuardをインストール、②設定ファイル（.conf）をドラッグ＆ドロップで追加、③トンネルを有効化して接続完了

※画像はイメージです

──社内の承認手続きはスムーズに進みましたか？

そうですね。社内の手続きとして、セキュリティのチェックシートをペパボさん（弊社）に提出していただき、社内のセキュリティ部門の審査に出して了承を得るというステップを踏みましたが、特に問題なく進みました。

2,000ライセンス超の導入プロセス

──導入はどのように進められたのでしょうか？

全部で2,000店ほどへの展開でしたので、ライセンスを1件ずつ手で発行するのは無理だということで、一括での設定をお願いしました。リストをお渡ししてライセンスを一括生成していただき、接続ファイルをまとめて納品していただく。そこは問題なく対応していただいて、ありがたかったです。

ライセンス管理画面。利用者ごとのライセンスを一覧で管理でき、接続情報をメールで共有することもできる

※画面はデモ環境のものです

展開にあたっては、VPNの導入と二要素認証の設定を1つの手順書にまとめた導入マニュアルを私たちの方で作成し、各販売店にメールで配布しました。

──全国の販売店への展開で、ご苦労された点はありますか？

販売店ごとにパソコンやネットワークの環境が全部バラバラなんです。インターネットに詳しい方もいれば、そうでない方もいる。「ブラウザのアドレスバー」と言っても通じないこともありました。

問い合わせはまずASAネットのヘルプデスクで受けるのですが、今回はそこで解決できずに私たちの部門にエスカレーションされることが多かったですね。基本は電話とリモートサポートで、一緒に画面を見ながら対応しました。

──ペパボのサポート対応はいかがでしたか？

パソコンやネットワークの環境に依存する問題なので、本来は私たちや販売店の中で解決すべきことと分かっていつつ、どうしても解決しないケースで何度もご相談させていただきました。

印象に残っているのはIPv6の設定が原因だったケースです。全然気づかなかったのですが、教えていただいたとおりチェックを外したらスルッと通った。Windowsのネットワークのすごく細かい部分が原因であることもあるので、「ここを直せば通るよ」という情報は毎回期待していましたし、あのときはさすがだなと思いました。

※編集部注：ロリポップ！固定IPアクセスでは、導入検討時のご相談から全国展開、運用開始後のトラブルシューティングまで伴走してサポートしています。

──証明書からの切り替えは、期限を区切って進められたのですか？

はい。当初は3月末で証明書認証をやめて全て無効化する予定でしたが、販売店の皆さんもお忙しくてなかなか進まず、2カ月延期して5月末に完全移行しました。未導入のお店にはメールで導入のお願いを重ねて、最終的には全店で切り替えが完了しています。

導入後の効果 — 「やりたかったことができた」安心感と、ゼロになった更新作業

──セキュリティ面では、どのような効果を実感されていますか？

当初の目的を達することができた、という安心感が一番大きいです。証明書ではIPアドレス制限をスルーできてしまうというイレギュラーを、固定IPによるアクセス制限に一本化することでなくせました。あわせて二要素認証も導入したので、人の特定もできるようになっています。

──運用面での変化はありましたか？

証明書の更新作業がなくなったのは大きいですね。以前は3年ごとに証明書の有効期限が来るたびに、ファイルを配って入れ替えてもらう作業が必要でした。事前に案内を流していても見落とされて「なぜかアクセスできない」という問い合わせが来る。それが今回の切り替えの目的の一つでもありました。

──通信品質はいかがですか？

VPNなのでレスポンスが遅くなるのではと少し心配していたのですが、「遅くなった」という声は全くありませんでした。接続先のIPアドレスを分散していただいたこともあると思いますし、WireGuardが軽量ということもあるのでしょうね。製品を選ぶときにも「WireGuardは軽量」という評判はちらほら見えていて、選んだ理由の一つでしたが、結果は全然大丈夫でした。

細かいところですが、WireGuardは一度有効化すれば端末を再起動してもその状態が引き継がれるのも助かっています。毎回有効化し直す仕組みを作らないといけないとなると大変ですから。パソコンに慣れていない方も多い中で、ほぼワンクリックで導入できて、その後は触らなくていい。そこは本当に良かったです。

今後の期待と、同じ課題を持つ企業へのメッセージ

──今後、ロリポップ！固定IPアクセスに期待する機能はありますか？

管理面で細かい要望がいくつかあります。割り当てられたIPアドレスに拠点名などのコメントを添えられるようにしてほしい、複数のIPアドレスをまたいでライセンスを串刺しで検索できるようにしてほしい、設定ファイルをライセンス名のままダウンロードできるようにしてほしい、といったところですね。あとは管理者を複数登録できて権限を分けられると嬉しいです。

※いただいたご要望は順次対応予定です。