ITトレンドがおすすめする製品・サービス
- ■閲覧範囲の制御方法別
- 行レベルで閲覧できるデータを絞りたい：WebQuery、Excellent、Data Knowledge
- 項目（列）単位で表示を制御したい：WebQuery、Excellent、Data Knowledge
- パーミッション管理で利用者ごとのアクセス権を一元管理したい：Tableau Cloud、Tableau Server
- ■認証方式別
- シングルサインオンで社内IDと連携したい：Domo、Tableau Cloud、Yellowfin
- 多要素認証を設定したい：Domo、軽技Web Cloud
- ■監査・運用別
- 操作ログやデータへのアクセス履歴を確認したい：Domo、WebQuery、Excellent、Data Knowledge
- 利用状況の監視やガバナンス管理を行いたい：Tableau Cloud、Tableau Server
- データ保護やコンプライアンス対応を重視したい：Domo、Power BI
BIツールのセキュリティで守る対象
BIツールのセキュリティを考える際は、まず何を守るのかを整理します。BIツールには、データベースへの接続情報、集計されたデータ、外部に出力されたファイルといった、性質の異なる情報が集まります。それぞれの守り方を確認しましょう。
データソースへの接続情報
BIツールは、基幹システムや販売管理システムのデータベースに接続してデータを取り込みます。このとき使うIDやパスワードなどの接続情報は、BIツールの中でも特に慎重に扱いたい情報です。
接続情報が漏れると、BIツールを経由せずにデータベースへ直接アクセスされるおそれがあります。接続用のアカウントには読み取り専用など必要最小限の権限だけを与え、接続情報を変更・閲覧できる人を管理者に限定しておきましょう。
集計データとダッシュボード
BIツールでは、売上や人件費、顧客の購買履歴など、複数のシステムのデータを組み合わせたダッシュボードを作成します。個々のデータは問題がなくても、組み合わせることで機密性が高まる場合があります。
例えば、部署別の売上と人員数を並べると、外部に出すべきでない経営指標が読み取れることもあります。ダッシュボードを公開する前に、表示している指標の組み合わせが閲覧者にとって適切かを確認する手順を設けると安心です。
出力ファイルと共有リンク
BIツールで作成したレポートは、表計算ソフトの形式やPDFで出力したり、共有リンクで他の人に送ったりできます。いったん出力されたファイルは、BIツールの権限設定の外で扱われる点に注意が必要です。
出力したファイルがメールで転送されたり、個人の端末に保存されたりすると、管理者が把握できない場所にデータが残ります。どの形式での出力を許可するか、共有リンクを誰が発行できるかを、あらかじめ決めておきましょう。
BIツールで閲覧範囲を制御する権限設計
BIツールの権限設計では、ダッシュボードへのアクセス、表示するデータの行、表示する項目という3つの単位で閲覧範囲を考えます。これらを組み合わせると、同じダッシュボードでも利用者ごとに見える内容を変えられます。
ダッシュボードやフォルダ単位の権限
基本的な権限設定は、ダッシュボードやそれを格納するフォルダごとに、閲覧できる人と編集できる人を決める方法です。経営層向け、営業部向けといった単位でフォルダを分けると、管理を整理できます。
権限は個人ごとではなく、部署や役職などのグループ単位で付与すると、異動時の変更作業を減らせます。社内の組織情報とグループを連動できるかは製品によって異なるため、選定時に確認しておくとよいでしょう。
行レベルセキュリティによるデータの絞り込み
行レベルセキュリティとは、同じダッシュボードを開いても、利用者の属性に応じて表示されるデータの行を絞り込む仕組みです。例えば、各支店の担当者には自分の支店の売上だけを表示し、本社の管理者には全支店分を表示できます。
この仕組みを使うと、支店ごとにダッシュボードを複製する必要がなくなり、修正の手間も減らせます。ただし、絞り込みの条件設定を誤ると、他部署のデータが表示される可能性があります。設定後は複数の利用者の権限で表示を確かめましょう。
項目や指標を非表示にする設定
行の絞り込みに加えて、特定の列や指標を一部の利用者に見せない設定が必要な場合もあります。例えば、販売データのうち原価や利益率は管理職だけに表示し、一般の担当者には売上数量だけを見せるといった使い方です。
項目単位での制御に対応しているか、どの画面で設定するかは製品によって異なります。対応していない場合は、取り込みの段階で、閲覧者ごとに項目を分けたデータセットを用意する方法も考えられます。
BIツールの認証とアカウント管理
権限設計が適切でも、他人のアカウントでログインされてしまえば意味がありません。BIツールのセキュリティを保つには、ログインの仕組みと、アカウントの発行から削除までの管理をあわせて整える必要があります。
シングルサインオンによるID連携
シングルサインオン（SSO）とは、1回の認証で複数のシステムを利用できる仕組みです。BIツールを社内のID管理システムと連携させると、利用者は普段使っているIDでログインでき、パスワードを個別に管理する必要がなくなります。
管理者にとっても、ID管理システム側で認証を停止することで、BIツールへのログインを制限しやすくなります。ただし、BIツール側のアカウントや権限が自動で削除されるとは限らないため、退職時の処理方法も確認しましょう。対応する認証方式や連携できるID管理サービスは製品によって異なります。
多要素認証の設定
多要素認証とは、パスワードに加えて、スマートフォンのアプリに表示される確認コードなど、別の要素を組み合わせて本人を確認する方法です。パスワードが漏れた場合でも、不正なログインを防ぐ効果が期待できます。
社外から接続する利用者がいる場合や、経営指標を扱う管理者アカウントには、多要素認証を設定する価値があります。BIツール自体で設定するのか、連携するID管理システム側で設定するのかも確認しておきましょう。
異動・退職時のアカウント処理
異動や退職のたびにBIツールのアカウントや権限を見直さないと、不要になった権限が残り続けるおそれがあります。特に、退職者のアカウントが有効なままだと、社外からデータにアクセスされる可能性があります。
人事異動の情報をBIツールの管理者に連絡する手順を決め、変更の作業を記録しておきましょう。前述のID連携を使えば、ID管理システムでの処理がBIツールにも反映され、対応の漏れを減らせます。
ITトレンドでは、最新の製品・サービスを多数比較・掲載しています。まず資料請求して、さまざまな製品の機能や特徴を比較してみてください。忙しい業務時間内でも、各社に問い合わせる手間なく、たった1回の入力（約60秒）でBIツールの一括資料請求が可能です。浮いた時間で、じっくりと製品を比較検討し進めましょう。
データの持ち出しと共有を管理する
BIツールは情報を共有するための道具であるため、共有を厳しく制限しすぎると活用が進みません。持ち出しと共有の方法ごとにルールを決め、必要な人が必要な範囲で使える状態をつくることが大切です。
エクスポートとダウンロードの制限
ダッシュボードのデータを表計算ソフトの形式で出力する機能は便利ですが、集計前の詳細なデータまで出力できると、大量の情報が持ち出される可能性があります。出力できる利用者や形式を制限できるかを確認しましょう。
例えば、一般の利用者には画像やPDFでの出力のみを許可し、詳細なデータの出力は分析担当者に限るといった運用が考えられます。業務で出力が必要な場面を洗い出したうえで、制限の範囲を決めると現場の混乱を防げます。
外部共有とWebページへの埋め込み
BIツールには、ダッシュボードを社外の取引先と共有したり、Webページに埋め込んだりする機能を持つものがあります。これらを使うと、ログインしていない人でも閲覧できる状態になる場合があります。
外部共有の機能を使う場合は、誰が共有を許可できるか、共有の有効期限を設定できるかを確認しましょう。社内向けのダッシュボードが誤って公開されないよう、外部共有を管理者の承認制にする方法もあります。
定期配信の宛先管理
BIツールの定期配信機能を使うと、決まった時刻にレポートをメールで送れます。配信の設定はつくったあとに見直されにくく、異動した人や退職した人にレポートが届き続けるケースがあります。
配信の宛先は個人のアドレスではなく、部署のメーリングリストなどを使うと管理しやすくなります。また、配信設定の一覧を管理者が確認できるか、配信されたレポートにも利用者ごとの閲覧制限が反映されるかも確認しておきましょう。
監査ログを使ったセキュリティ運用
BIツールのセキュリティは、導入時の設定だけで完結するものではありません。組織の変更やダッシュボードの追加にあわせて、設定が適切な状態を保てているかを定期的に確認する運用が必要です。その手がかりとなるのが監査ログです。
操作ログで確認できること
監査ログとは、誰が、いつ、どのダッシュボードを閲覧し、どのような操作をしたかを記録したものです。データの出力や権限の変更、接続設定の変更などを記録できると、問題が起きたときに経緯をたどれます。
ログに記録される操作の種類や保存期間は製品によって異なります。社内規程で求められる保存期間を満たせるか、ログを外部の管理システムに送れるかを確認しておくと、全社のセキュリティ監視とあわせて運用できます。
権限の定期的な棚卸し
権限の棚卸しとは、付与されている権限が現在の業務にあっているかを一覧で確認し、不要な権限を削除する作業です。半年に1回など時期を決めて行うと、異動や組織変更で残った権限を見つけられます。
棚卸しは管理者1人で行うのではなく、各部署の責任者に自部署の権限を確認してもらう方法が有効です。利用者ごとの権限を一覧で出力できる機能があると、確認作業を進めやすくなります。結果は記録として残しておきましょう。
権限設計と認証で比べるBIツール一覧
この記事で紹介するBIツールを、閲覧範囲の制御や認証、ログ管理といったセキュリティ面の特徴で一覧にしました。自社で必要な対策と照らしあわせて比較してみてください。
| 製品名 | 特徴 |
|---|---|
| Domo | データの暗号化やログ監視に加え、シングルサインオンや多要素認証に対応する |
| WebQuery | レコード・カラム単位のアクセス制御や監査証跡ログ、パスワードポリシー設定に対応する |
| Tableau Cloud | パーミッション管理と一元的なガバナンスに対応。SSO・IDプロバイダーとの連携や利用状況の監視が可能 |
| Tableau Server | パーミッション管理や利用状況の監視に対応。自社の環境でガバナンスを一元管理できる |
| Excellent | レコード・カラム単位のアクセス制御と監査証跡ログに対応するExcelアドイン型BIツール |
| Yellowfin | LDAP認証やSAML、シングルサインオンに対応。社内の認証基盤と連携して利用できる |
| 軽技Web Cloud | ２要素ログインとIPアドレスによる接続制限を備えたサーバーレスのクラウド型BIツール |
| Data Knowledge | 項目・レコード単位の閲覧権限設定や、操作日時・内容・IPアドレスを記録するログ管理に対応する |
| Power BI | Microsoft製品とのデータ共有に対応し、データ保護やコンプライアンス維持を支援する |
閲覧範囲の制御とログ管理に対応するBIツール
行や項目の単位でのアクセス制御、シングルサインオンや多要素認証、操作ログの記録など、この記事で取り上げたセキュリティ対策に関わる機能を備えた製品を紹介します。
Domo
- データ活用を実現するために必要な機能をオールインワンで提供
- SaaS型BI国内市場NO.1！※高い顧客満足度を獲得！
- モバイル標準対応なのでデータを元に迅速なアクションを促進可能
ドーモ株式会社（代理店：NDIソリューションズ株式会社）が提供する「Domo」は、データの保護と認証の強化をあわせて進められるクラウド型BIツールです。データの接続から保存・加工、可視化、共有までを一つの環境で行えます。データの暗号化や認証、ログ監視などのセキュリティ機能に加え、シングルサインオンや多要素認証にも対応。ISO/IEC 27001とISO/IEC 27018の認証も取得しています。社内外のデータを統合しながら、アクセス管理や情報保護を重視したい企業に向いています。
WebQuery
- 【導入実績 6,400件】幅広い業種・業務で活用中！
- 【安全にデータ公開】金融機関200社以上/銀行70行以上の導入実績
- 【手厚いサポート】純国産！納得・満足するまでサポート！
株式会社システムコンサルタントが提供する「WebQuery」は、ブラウザ上でデータを検索・分析できるBIツールです。データベースへは専用のアクセス制御ソフト「FreeWay」を介して接続し、DBユーザー・オブジェクト・カラム・レコード単位で閲覧範囲を制御できます。「いつ・誰が・どんなデータに」アクセスしたかを記録する監査証跡ログや、ログ分析レポート、パスワードポリシー設定にも対応。強制ログアウトなどのタイマー機能も備え、利用者ごとのアクセス管理を重視する企業に適しています。
Tableau Cloud
- インテリジェントなツールのデータの力で自信の持てる意思決定へ
- 理解しやすいインサイトで時間を節約し、誰もが簡単に分析できる
- 埋め込み分析で顧客にデータで価値・シームレスな体験を提供
株式会社セールスフォース・ジャパンが提供する「Tableau Cloud」は、利用者ごとの権限管理と社内IDとの連携に対応したクラウド型BIツールです。完全ホスティング型の分析プラットフォームで、パーミッション管理により適切なユーザーだけがデータを利用できる環境を整えられます。既存のシングルサインオン（SSO）プロバイダーやIDプロバイダーと統合でき、利用状況のモニタリングにも対応。一元的なガバナンス機能を備え、複数部門で分析環境を共有しながらアクセス管理を行いたい企業に向いています。
Tableau Server
- オンプレミス・パブリッククラウドの柔軟な導入体系
- 利用状況を俯瞰できるガバナンス機能
- あらゆる環境から暗号化されたデータをシームレスに抽出
株式会社セールスフォース・ジャパンが提供する「Tableau Server」は、分析環境を自社の管理下で運用したい企業向けのBIプラットフォームです。オンプレミスやパブリッククラウド環境に導入でき、パーミッション管理によって利用者ごとのアクセス権を設定できます。データや分析コンテンツの管理を一元化できるほか、利用状況の監視やガバナンス管理にも対応。データの暗号化などのセキュリティ機能も備えており、自社の運用方針にあわせて分析環境を管理したい企業に適しています。
Excellent
- 【導入実績 6,400件】幅広い業種・業務で活用中！
- 【安全にデータ公開】金融機関200社以上/銀行70行以上の導入実績
- 【手厚いサポート】純国産！納得・満足するまでサポート！
株式会社システムコンサルタントが提供する「Excellent」は、Excel上で社内データを検索・分析できるアドイン型BIツールです。専用のアクセス制御ソフト「FreeWay」を介してデータベースに接続し、DBユーザー・オブジェクト・カラム・レコード単位でアクセスを制御できます。監査証跡ログやログ分析レポート、パスワードポリシー設定にも対応。「いつ・誰が・どんなデータに」アクセスしたかを記録できるため、Excelの操作性を活かしながら、データへのアクセスを適切に管理したい企業に向いています。
Yellowfin
- 自然言語で質問するだけでAIが分析・可視化
- セマンティックレイヤーで統制されたAIデータ活用
- AIが異常や変化を検知し、気づきを自動通知
Yellowfin Japan株式会社が提供する「Yellowfin」は、既存の認証基盤と連携して利用できるBIプラットフォームです。LDAP認証やSAML、シングルサインオンに対応しており、社内で利用しているID管理の仕組みと組み合わせた運用を検討できます。導入形態はオンプレミス・クラウド・ハイブリッドクラウドから選択可能。セマンティックレイヤーによる指標の定義や計算ロジックの一元管理にも対応し、部門間で一貫したデータ分析を進められます。認証基盤との連携とデータ活用を両立したい企業に適しています。
軽技Web Cloud
- サーバレス運用でインフラ管理の手間と費用を抑制
- AWS・Azureとオンプレデータベースを一括活用
- 簡単操作で検索からダッシュボード表示まで完結
富士電機ITソリューション株式会社が提供する「軽技Web Cloud」は、２要素ログインとIPアドレスによる接続制限を備えたクラウド型BIツールです。パスワードに加えた認証や接続元の制限によって、社内データへのアクセス管理を支援します。サーバーレスで利用でき、AWSやAzure上のデータに加えてオンプレミスのデータベースにも接続可能。CSVやExcelでのダウンロード、URLによるクエリ公開にも対応しています。インフラの管理負担を抑えながら、認証や接続制限を重視したい企業に向いています。
Data Knowledge （株式会社クロスユーアイエス）
- 分析ノウハウの共有で社内の分析スキルを向上
- 豊富な分析機能で経営状況をタイムリーに可視化
- 詳細なログ管理と権限設定で安全に情報共有
Power BI （日本マイクロソフト株式会社）
- Microsoftのアプリ間でデータをシームレスに共有
- Excelに慣れている人にとって使いやすいUI
- データ保護やコンプライアンス維持を支援する強固なセキュリティ
まとめ
BIツールのセキュリティは、接続情報や集計データ、出力ファイルといった守る対象を整理し、権限設計と認証、持ち出しの管理を組み合わせて考えることが大切です。行レベルセキュリティやシングルサインオンを活用し、監査ログと権限の棚卸しで設定を保ち続けましょう。自社に必要な制御方法と認証方式を整理したうえで、資料請求で各BIツールの対応状況を比較してみてください。
