ITトレンドがおすすめする製品・サービス
- ■第三者認証の取得状況別
- ISO/IEC 27001：iFUSION、fusion_place、kpiee、Loglass 経営管理、Galileopt DX
- ISO/IEC 27017（クラウドサービス向け）：iFUSION、fusion_place、kpiee
- ■権限管理・証跡の機能別
- ユーザーや部署・役職ごとに権限を設定できる：iFUSION、Biz∫
- 権限管理機能を備える：Galileopt DX
- 監査証跡や承認の証跡を残せる：Oracle NetSuite、Biz∫
経営管理システムで守るべき情報とリスク
経営管理システムのセキュリティを考える前に、どのような情報が集まり、どのような事態が起こりうるのかを整理しておきましょう。守る対象が明確になると、必要な対策の優先順位をつけやすくなります。
未公表の業績・予算データ
経営管理システムで特に慎重に扱いたいのは、決算発表前の業績や翌期の予算、中期経営計画の数値です。上場企業では、こうした未公表の情報が社外へ出ると、インサイダー取引規制の観点からも問題になる可能性があります。
非上場企業でも、取引先との交渉や採用活動に影響する情報が含まれます。どの数値をいつまで限られた人だけで扱うのかを決め、システムの設定に反映することが対策の出発点です。
部門別の人件費や評価に関わる数値
部門別の損益や人件費、拠点ごとの採算といったデータは、社内であっても閲覧できる人を限るべき情報です。部門長が他部門の詳細な人件費まで見られる状態は、社内の混乱につながるおそれがあります。
経営管理システムは複数の部門の数値を1か所に集めるため、表計算ソフトのファイルを個別に配布していたときより、見せる範囲を細かく管理する必要があります。集約するメリットと引き換えに、閲覧範囲の設計が求められると考えましょう。
想定される主なリスク
経営管理システムで想定されるリスクには、外部からの不正アクセスだけでなく、権限設定の誤りによる意図しない閲覧や、出力したファイルの誤送信も含まれます。原因は1つとは限らず、システムの設定と運用ルールの両方が影響します。
そのため、ツールの機能だけで対策を完結させようとせず、設定と運用の両面から備えることが大切です。IPA（情報処理推進機構）が公開している「中小企業の情報セキュリティ対策ガイドライン」も、社内ルールを整える際の参考になるでしょう。
経営管理システムの閲覧権限をどう設計するか
経営管理システムのセキュリティで中心となるのが閲覧権限の設計です。権限が粗すぎると見せたくない数値まで見え、細かすぎると管理が回らなくなります。組織や役割にあわせた設計の考え方を紹介します。
組織階層にあわせた閲覧範囲
基本となるのは、組織の階層にあわせて閲覧範囲を決める方法です。例えば、経営層は全社、事業部長は担当事業部、課長は自部門の数値だけを見られるように設定します。
製品によって、組織単位で設定できるもの、勘定科目や項目単位でも制限できるものなど、設定の細かさが異なります。人件費だけを特定の役職に限定したい場合は、項目単位の制限が可能かを資料やデモで確かめておきましょう。
入力・承認・閲覧の役割分け
閲覧範囲に加えて、数値を入力する人、内容を承認する人、結果を見るだけの人という役割を分けることも重要です。予算の入力者が承認済みの数値を後から変更できる状態では、データの信頼性が保てません。
承認後の数値を変更できないようにする設定や、変更する場合に差し戻しの手続きが必要になる仕組みがあるかを確認しましょう。役割ごとに操作できる範囲を表にまとめておくと、権限の設定作業も進めやすくなります。
異動や組織変更に伴う権限の見直し
権限は一度設定して終わりではありません。人事異動や組織再編のたびに、前の部署の数値が見えたままになっていないかを確認する必要があります。
見直しの漏れを防ぐには、人事部門からの異動情報をもとに権限を更新する手順を決めておくことが有効です。社内の認証基盤や人事システムと利用者情報を連携できる製品であれば、手作業による更新の漏れを減らせる場合があります。
ログインと操作記録のセキュリティ対策
権限を正しく設計しても、アカウントが第三者に使われてしまえば意味がありません。ログイン時の認証の強化と、誰が何をしたかを後から追える操作記録の仕組みをあわせて整えましょう。
多要素認証とシングルサインオン
多要素認証とは、パスワードに加えてスマートフォンのアプリやワンタイムパスワードなど、別の要素も使って本人を確認する方法です。パスワードが漏えいした場合でも、不正なログインを防ぐ効果が期待できます。
シングルサインオンは、1回のログインで複数のシステムを利用できる仕組みです。社内の認証基盤と連携すれば、退職者のアカウントを一括で停止できる利点もあります。どちらの方式に対応しているかは製品ごとに確認しましょう。
操作ログと変更履歴
操作ログとは、誰がいつどの画面を見て、どのデータを変更したかを記録したものです。経営数値に不審な変更があった場合や、情報が外部に出た疑いがある場合に、原因を調べる手がかりとして使えます。
確認したいのは、ログを記録する範囲と保存期間、管理者が検索や出力をできるかどうかです。記録していても誰も確認しなければ役に立たないため、定期的に確認する担当と頻度もあわせて決めておきましょう。
Excel出力とダウンロードの制御
経営管理システムの数値は、会議資料を作るためにExcel形式で出力されることがあります。出力したファイルはシステムの権限管理の外に出るため、メールでの誤送信や個人端末への保存といったリスクが生じます。
対策として、出力できる利用者を限定する設定や、出力操作をログに残す機能があるかを確認しましょう。あわせて、出力したファイルの保存場所や共有方法を社内ルールで定めておくと、システム外での管理も補えます。
ITトレンドでは、最新の製品・サービスを多数比較・掲載しています。まず資料請求して、さまざまな製品の機能や特徴を比較してみてください。忙しい業務時間内でも、各社に問い合わせる手間なく、たった1回の入力（約60秒）で経営管理システムの一括資料請求が可能です。浮いた時間で、じっくりと製品の比較検討を進めましょう。
クラウド型で提供会社に確認する項目
クラウド型の経営管理システムでは、サーバーの管理やデータの保管を提供会社が担います。自社では確認できない部分が増えるため、提供会社がどのような対策をとっているかを資料や問い合わせで確かめることが重要です。
第三者認証や評価制度の取得状況
提供会社のセキュリティ管理の状況を知る手がかりに、第三者による認証や評価があります。情報セキュリティ管理の国際規格であるISO/IEC 27001や、クラウドサービス向けのISO/IEC 27017などが代表例です。
政府機関向けのクラウドサービスを評価する制度としてISMAP（政府情報システムのためのセキュリティ評価制度）もあります。認証の有無だけで判断せず、対象となるサービスの範囲が利用予定のサービスと一致しているかも確認しましょう。
データの保管場所と暗号化
データがどの国や地域のデータセンターに保管されるかは、社内規程や取引先との契約に関わる場合があります。国内での保管を求める規程がある企業は、事前に提供会社へ確認しましょう。
あわせて、通信の暗号化に加え、保管されているデータが暗号化されているかも確認項目です。解約時にデータを出力できるか、提供会社側のデータがどのように削除されるかも、契約前に確かめておくと安心です。
障害時の対応とバックアップ
セキュリティには、情報を守ることに加えて、必要なときに使える状態を保つことも含まれます。予算編成や決算の時期にシステムが止まると、経営会議の準備に影響が出るおそれがあります。
提供会社がバックアップをどの頻度で取得しているか、障害発生時にどのような方法で利用者へ連絡するかを確認しましょう。稼働率の目標値やメンテナンスの予定を公開しているかも、比較の材料として役立ちます。
社内ルールと運用で補うセキュリティ対策
経営管理システムの機能だけでは、すべてのリスクに備えることはできません。システムの外で起こる情報の持ち出しや、連携元システムとの間の問題には、社内ルールと運用で対応します。
利用ルールの明文化と周知
まず、経営数値の取り扱いに関する利用ルールを文書にまとめます。画面の撮影や出力ファイルの社外への持ち出し、共用端末での利用などについて、許可する範囲と禁止する行為を明確にしておきましょう。
ルールは作るだけでなく、利用開始時の説明会や定期的な案内で周知することが大切です。新たに利用者となった管理職にも同じ説明が届くよう、権限付与の手順の中に周知を組み込んでおくと漏れを減らせます。
定期的な権限の棚卸し
権限の棚卸しとは、利用者ごとの権限が現在の役職や業務にあっているかを定期的に点検する作業です。異動時の更新漏れや、一時的に付与した権限の外し忘れを見つける目的で行います。
半期ごとなど頻度を決め、システムから利用者と権限の一覧を出力して各部門長に確認してもらう方法があります。点検の結果と修正内容を記録しておけば、監査の際の説明資料としても使えます。
連携元システムとの責任分界
経営管理システムは、会計システムや販売管理システムから実績データを取り込みます。連携の過程でデータが外部に出る経路がないか、連携用のアカウントに必要以上の権限がないかも確認が必要です。
連携に関わるシステムが複数ある場合、どの部門やベンダーがどの範囲を管理するのかを明確にしておきましょう。責任範囲を整理しておくと、問題が起きた際の調査や対応を進めやすくなります。
セキュリティ面で比べる経営管理システム
権限の設定単位や第三者認証の掲載状況など、セキュリティ面で確認したい項目を製品ごとに一覧にまとめました。
| 製品名 | 特徴 |
|---|---|
| iFUSION | ユーザー・部署ごとに権限を設定。ISO/IEC 27001・27017を掲載 |
| Biz∫ | ユーザー単位の認可設定とワークフローの証跡で内部統制を支援 |
| Oracle NetSuite | クラウド型の統合業務基盤。承認フローや監査証跡記録を備える |
| fusion_place | クラウド・オンプレミス対応。ISO/IEC 27001・27017を掲載 |
| kpiee | クラウド型。予実のズレや異常値をAIが通知。ISO/IEC 27017も掲載 |
| Loglass 経営管理 | クラウド型の経営管理。ISO/IEC 27001を掲載 |
| Galileopt DX | 中堅企業向けの経営管理／ERP。権限管理機能とISO/IEC 27001を掲載 |
権限と認証の確認ポイントで選ぶ製品
閲覧権限の設計や第三者認証の掲載状況を比べられるよう、権限管理や第三者認証など、セキュリティ面の情報を公開している経営管理システムを紹介します。詳しい設定内容は資料やデモで確認してください。
iFUSION
- 【使いやすさ】今あるExcel業務をまとめて簡単システム化！!
- 【効率化】予算編成/予実管理等のデータ収集・集計作業が激減！!
- 【外部連携】基幹/会計/販売など各種システムと豊富な連携実績！
株式会社インプレスが提供する「iFUSION」は、部署や利用者ごとに閲覧・操作の権限を自社で設定できる経営管理システムです。組織変更にあわせて設定を変更でき、閲覧権限の設定にも対応します。第三者認証はISO/IEC 27001、ISO/IEC 27017、プライバシーマークを掲載しています。既存のExcelフォーマットをそのまま使って予算編成や予実管理を進められるため、権限設計と運用のしやすさをあわせて比べたい企業向けです。
Biz∫
- 大企業向けERPパッケージ 採用社数 第１位！
- 販売・会計・人事の他に、BI・EAI など幅広く取り揃えている
- 国内外の豊富な導入実績持つワークフローで迅速な意思決定を実現
株式会社NTTデータ・ビズインテグラルが提供する「Biz∫」は、会計・販売・人事などを扱う統合ERPパッケージです。内部統制の観点から、ユーザー単位で作成・更新・参照といった権限を分けて付与できます。ワークフローエンジンで承認の証跡を残せるほか、組織や役職、ロールで権限を割り当てられるため、人事異動にも対応しやすい設計です。提供形態はオンプレミスとクラウドです。
Oracle NetSuite
- 経営に必要な情報をリアルタイムに一元可視化
- 脱Excelで属人化と手作業を排除し業務を標準化
- 業績、KPI、キャッシュを多角的に分析・活用
日本オラクル株式会社が提供する「Oracle NetSuite」は、販売・購買・会計・在庫・プロジェクトなどを単一のクラウドプラットフォームで管理する統合業務システムです。承認フローや監査証跡記録の機能を備え、統制を保った経営管理の運用に役立ちます。役割に応じたダッシュボードで、経営層や部門長がそれぞれの立場に必要な指標を確認できます。
fusion_place
- 独自開発の超高速、大容量多次元DBで経営管理情報を一元管理
- PL、BS、CS、非財務項目など多種多様な経営管理情報を入力・収集
- 経営管理領域に精通したコンサルタントによる短期間導入
株式会社フュージョンズが提供する「fusion_place」は、予算編成からグループ業績管理までを扱う経営管理システムです。クラウドとオンプレミスの両方で提供され、第三者認証としてISO/IEC 27001とISO/IEC 27017を掲載しています。独自開発の多次元データベースで経営管理情報を一元管理し、バージョン管理や更新履歴も利用できます。数値の変更を追える運用を考える際に確認したい製品です。
kpiee
- 経営に関するデータを自動で収集/集計し、工数を削減
- データの可視化とAI活用で、改善までのスピードを短縮
- 定型業務をまるっとアウトソーシング
株式会社データXが提供する「kpiee」は、予算策定から経営判断までの業務を支援するクラウド型の経営管理システムです。ISO/IEC 27001とISO/IEC 27017の認証を掲載しており、クラウドサービスの管理体制を確認したい場合の比較対象です。予実のズレや異常値が出ると、利用中のコミュニケーションツールへAIが原因を含めて通知します。データの収集や集計も自動化できます。
Loglass 経営管理
- 散在する経営データを収集・統合し、予実管理を効率化
- ノーコードで配賦を自動化、複数パターンの比較も簡単に
- ダッシュボードで可視化、ドリルダウンで明細まで即確認
株式会社ログラスが提供する「Loglass 経営管理」は、財務数値やKPIの予算・見込・実績を取り込んでデータベース化する、クラウド型の経営管理システムです。第三者認証としてISO/IEC 27001を掲載しています。ダッシュボードで可視化でき、ドリルダウンで明細まで確認できます。freee会計や勘定奉行クラウドとの連携にも対応しているため、取り込む実績データの範囲を決めたうえで運用を検討する際に比べやすい製品です。
Galileopt DX
- 業務のDX（デジタルトランスフォーメーション）を推進
- AI 仕訳の展開と拡張
- 外部連携基盤の拡充
株式会社ミロク情報サービスが提供する「Galileopt DX」は、オンプレミス、クラウド、SaaSから選べる中堅企業向けの経営管理／ERPソリューションです。モジュール共通メニューに権限管理があり、第三者認証としてISO 9001とISO/IEC 27001を掲載しています。財務を軸に、給与・人事や販売・仕入などのデータをまとめて管理できます。導入支援や運用支援は訪問・電話・リモートで受けられます。
まとめ
経営管理システムのセキュリティは、未公表の業績や予算、人件費といった数値を誰にどこまで見せるかという権限設計が出発点です。そのうえで、多要素認証や操作ログ、出力の制御を整え、クラウド型では提供会社の認証取得状況やデータ保管場所を確認しましょう。システムの機能で足りない部分は、利用ルールと定期的な権限の棚卸しで補います。自社の管理方針にあう経営管理システムを比べたい方は、資料請求を活用してください。
