ITトレンドがおすすめする製品・サービス
- ■ログイン・アクセス制御別
- SSO（シングルサインオン）で連携できる：LIRIS CLM、Contract One、OPTiM Contract、freeeサイン
- IPアドレスでアクセスを制限できる：LIRIS CLM、Contract One、OPTiM Contract、MyQuick
- 多要素認証を使える：LIRIS CLM、Contract One、freeeサイン
- ダウンロードや印刷を制限できる：MyQuick、楽々Document Plus
- ■第三者認証の取得状況別
- ISMS（ISO/IEC 27001）を取得：LIRIS CLM、Contract One、freeeサイン、楽々Document Plus、TOKIUM契約管理、電子印鑑GMOサイン、クラウド型電子契約サービス クラウドサイン
- クラウドセキュリティの認証（ISO/IEC 27017）を取得：電子印鑑GMOサイン、クラウド型電子契約サービス クラウドサイン
契約書管理システムのセキュリティで守る情報
セキュリティ対策を選ぶ前に、契約書にどのような情報が含まれ、どのような事故が起こりうるかを整理しておくことが大切です。守る対象が明確になると、必要な対策を選びやすくなります。
契約書に含まれる機密情報
契約書には、取引先との価格や支払い条件、取引の範囲、損害賠償の上限といった取引条件が書かれています。秘密保持契約では、相手方から預かる情報の範囲も記載されます。これらが外部に知られると、取引先との信頼関係や交渉に影響するおそれがあります。
雇用契約や業務委託契約には、個人の氏名や住所、報酬などの個人情報が含まれることもあります。個人情報を含む契約書は、個人情報保護法にもとづく安全管理の対象として扱う必要があります。
漏えい・改ざん・消失の起こり方
契約書の漏えいは、外部からの不正アクセスだけでなく、権限設定の誤りで関係のない社員が閲覧できる状態になっていた、誤って社外に送信したといった社内の要因でも起こる可能性があります。
また、契約書のファイルが差し替えられたり、台帳の契約期間が誤って書き換えられたりすると、正しい条件を確認できなくなります。機器の故障や誤操作による削除で、データが失われるケースもあります。複数の要因を想定して対策を組み合わせることが重要です。システムの機能だけでなく、権限設定の手順や確認の体制といった運用面もあわせて見直しましょう。
契約書管理システムで備えたいセキュリティ機能
契約書管理システムのセキュリティ機能は、誰が見られるかを決める権限、何をしたかを残すログ、内容を変えさせない改ざん防止の3つに分けて確認すると整理しやすくなります。
契約の種類や部署単位の閲覧権限
閲覧権限は、利用者ごと、部署ごと、契約の種類ごとなど、どの単位で設定できるかが製品によって異なります。例えば、人事関連の契約は人事部門と法務部門だけ、取引契約は担当事業部門と法務部門だけ、といった設定ができるかを確認しましょう。
閲覧のみ、編集可、ダウンロード可のように、操作の種類ごとに権限を分けられるかも重要です。機密性の高い契約書だけ個別に閲覧者を限定できると、権限の管理と情報の保護を両立しやすくなります。
操作ログの記録と確認
操作ログは、誰がいつどの契約書を閲覧、登録、変更、ダウンロードしたかを記録する機能です。情報の漏えいが疑われる場合に経路を調べる手がかりになり、内部監査でも利用されます。
ログが記録されていても、確認する手段がなければ十分に活用できません。管理画面から検索・出力できるか、ログの保存期間はどのくらいか、大量のダウンロードなど通常と異なる操作を通知できるかを確かめておきましょう。
改ざん防止と版の管理
締結済みの契約書が後から書き換えられていないことを示すには、タイムスタンプの付与や、ファイルの差し替え履歴を残す仕組みが役立ちます。電子帳簿保存法では、電子取引データの改ざんを防ぐ措置として、タイムスタンプや訂正削除の記録などが定められています。
あわせて、覚書や変更契約の追加で条件が変わった場合に、変更前の版を残したまま最新版を管理できるかも確認します。版の履歴があれば、過去のある時点でどの条件が有効だったかをたどれます。取引先との認識の違いを確かめる場面や、監査で過去の条件を説明する場面でも役立つでしょう。
ログイン認証と社外アクセスの制御
クラウド型の契約書管理システムは、インターネットにつながる環境であればどこからでも使える反面、不正なログインへの備えが欠かせません。認証とアクセス元の制御を組み合わせて対策します。
SSOと多要素認証
SSO（シングルサインオン）は、社内で使っている認証基盤のIDで、複数のシステムにログインできる仕組みです。退職者のアカウントを認証基盤側で止めれば、契約書管理システムにもログインできなくなるため、アカウントの停止漏れを防ぎやすくなります。
多要素認証は、パスワードに加えてスマートフォンのアプリなどで本人確認を行う方法です。パスワードが漏れた場合の不正ログインのリスクを下げられます。自社の認証基盤と連携できるかは、提供会社に確認しましょう。SSOの利用に上位プランの契約が必要な場合もあるため、料金とあわせて確かめておくと安心です。
IPアドレス制限とダウンロードの制御
IPアドレス制限は、社内ネットワークなど、あらかじめ許可した場所からのアクセスだけを受け付ける機能です。社外からの閲覧を認める場合も、VPN経由に限定するなど、利用場面にあわせて設定します。
契約書をダウンロードできると、手元の端末にファイルが残ります。ダウンロードや印刷を権限で制限できるか、閲覧画面に透かしを表示できるかなど、持ち出しを抑える機能も比べておくと安心です。オンプレミス型でも、社内ネットワークの設定とあわせて同じ観点で確認しましょう。
ITトレンドでは、最新の製品・サービスを多数比較・掲載しています。まず資料請求して、さまざまな製品の機能や特徴を比較してみてください。忙しい業務時間内でも、各社に問い合わせる手間なく、たった1回の入力（約60秒）で契約書管理システムの一括資料請求が可能です。浮いた時間で、じっくりと製品を比較検討し進めましょう。
提供会社のセキュリティ体制を確かめる方法
クラウド型の契約書管理システムでは、サーバーの管理は提供会社が担います。製品の機能だけでなく、提供会社がどのような体制で情報を守っているかも、公開資料や問い合わせで確認しましょう。
第三者認証の取得状況
提供会社のセキュリティ体制を客観的に確かめる材料として、第三者認証があります。ISMS（情報セキュリティマネジメントシステム）の国際規格であるISO/IEC 27001や、クラウドサービスのセキュリティに関するISO/IEC 27017などが代表的です。
認証は取得している範囲が組織や事業の一部に限られている場合があります。契約書管理システムのサービスが認証の対象に含まれているかを、認証の登録範囲とあわせて確認しましょう。
チェックシートで確かめたい項目
社内のセキュリティ基準に沿って、提供会社にチェックシートへの回答を依頼する方法もあります。データの暗号化の有無、データセンターの所在地、バックアップの頻度と保管先、障害や事故が起きたときの連絡体制などが代表的な項目です。
提供会社によっては、よくある質問への回答をまとめたセキュリティ資料を用意しています。資料で確認できない項目だけを個別に問い合わせると、確認の手間を減らせます。回答内容は情報システム部門とも共有し、契約更新のたびに変更がないかを確認しておきましょう。
異動・退職や社外共有のときの管理
契約書管理システムのセキュリティは、導入時の設定だけでは保てません。人の出入りや社外とのやり取りが発生する場面で、権限や共有の状態を見直す仕組みを整えておくことが大切です。
人事異動と退職にあわせた権限の見直し
部署を異動した社員に前の部署の権限が残っていると、本来は見る必要のない契約書を閲覧できる状態が続きます。退職者のアカウントが残っている場合も、不正利用のおそれがあります。
人事部門から異動・退職の情報を受け取り、権限を変更する手順を決めておきましょう。SSOを導入している場合も、契約書管理システム側の権限設定が残っていないかを確認します。担当者一人に任せず、定期的に権限の一覧を出力して複数人で確認すると、見直しの漏れを防ぎやすくなります。
弁護士や取引先と契約書を共有するとき
契約書のレビューを外部の弁護士に依頼する場合や、取引先と内容を確認する場合、メールに契約書を添付すると、送信先の誤りや転送で情報が広がるおそれがあります。
契約書管理システムによっては、有効期限付きの共有リンクや、社外の利用者に閲覧だけを許すゲスト権限を設定できるものがあります。社外共有を認める場合は、共有の承認者と期限、共有後の履歴の確認方法をルールとして決めておきましょう。
セキュリティ対策で比べる契約書管理システム一覧
この記事で紹介する製品を、セキュリティ対策を中心として一覧表にまとめました。ログイン対策や第三者認証の確認にお使いください。
| 製品名 | 特徴 |
|---|---|
| LIRIS CLM | SSO・二段階認証・IPアドレス制限・監査ログに対応。ISO/IEC 27001を取得 |
| Contract One | SSO・2要素認証・IPアドレス制限を搭載。共有範囲の設定や更新履歴の記録も可能 |
| OPTiM Contract | グループ単位の閲覧権限に加え、プランに応じてIPアドレス制限とSSOを利用可能 |
| freeeサイン | SMSや認証アプリによる二要素認証を追加可能。締結時にタイムスタンプを付与 |
| MyQuick | 指定したグローバルIPアドレスのみ接続を許可。閲覧やダウンロードの制限も可能 |
| 楽々Document Plus | 印刷・ダウンロード禁止や透かし文字で持ち出しを制御。アクセスログも管理 |
| TOKIUM契約管理 | ISMSとプライバシーマークを取得。国内サーバーで運営し、スキャンも代行 |
| 電子印鑑GMOサイン | ISO/IEC 27001・27017とISMAPを取得。フォルダ設定や閲覧制限で文書を管理 |
| クラウド型電子契約サービス クラウドサイン | ISO/IEC 27001・27017、SOC 2、ISMAPを取得。電子帳簿保存法に対応した保存が可能 |
ログイン対策や第三者認証を確認できる製品
ここでは、SSOやIPアドレス制限、持ち出しの制御、第三者認証の取得といったセキュリティ対策を備えた製品を紹介します。プランによって使える機能が異なる場合があるため、資料もあわせてご確認ください。
LIRIS CLM
- 契約書の作成から承認、締結、管理まで一括して管理
- 抜群の操作性で、とにかく使いやすい！
- 業務フローに合わせて画面や権限を柔軟にカスタマイズ
LIRIS株式会社が提供する「LIRIS CLM」は、ログイン認証と社外からのアクセス制御を一つの製品の中で組み合わせたい企業が比べたい契約業務プラットフォームです。SSO（Google/Microsoftアカウント連携）、二段階認証、IPアドレス制限、監査ログ、パスワードロックといったセキュリティ機能を備えています。ISO/IEC 27001の認証も取得済みです。一部は仕様・オプションの項目にも挙げられているため、使いたい機能が契約するプランに含まれるかを資料で確かめましょう。契約項目や権限は自社の運用にあわせて設定できます。
Contract One
- 契約書を正確にデータ化し、AIで扱いやすいデータベースを構築
- Contract One内で生成AIを活用し、さまざまな部門の課題を解決
- 法改正への対応をサポート
Sansan株式会社が提供する「Contract One」は、シングルサインオン（SSO）、2要素認証、IPアドレス制限を備えた契約データベースのサービスです。ISO/IEC 27001の認証を取得しており、提供会社の体制を確かめる材料もそろっています。共有範囲の設定や更新履歴の記録にも対応するため、閲覧できる人を決めたうえで、契約書が変わった経緯を追える運用を組みやすいでしょう。紙の契約書のスキャン代行も利用でき、紙と電子の契約書を同じ権限の考え方で管理したい企業の候補です。
OPTiM Contract
- AIが契約書管理台帳を自動作成・契約期限を自動で通知！
- AI読取のカスタマイズ、AI要約、AI契約紐づけなど豊富なAI機能！
- Docuworks文書の保管やスキャンデータの全文検索にも対応！
株式会社オプティムが提供する「OPTiM Contract」は、プランに応じてアクセス元の制限やSSOを追加できるAI契約書管理システムです。IPアドレス制限機能はビジネスプラン以上、シングルサインオン連携機能はエンタープライズプランで利用できます。契約書はグループに所属するユーザーと担当ユーザーだけが閲覧でき、通信の暗号化や脆弱性診断などの対策も示されています。社内のセキュリティチェックリストへの回答もサポートしているため、提供会社への確認を進めやすいでしょう。
freeeサイン
- 受領者も使いやすい 画面設計と充実サポート
- 文書の種類や受領者に合わせて選べる
- 自社運用にあった使い方が最安値で可能
フリー株式会社が提供する「freeeサイン」は、契約の締結から保管までを一つのサービスで扱いながら、ログイン時の本人確認を強めたい企業が検討しやすい電子契約サービスです。スマートフォンを使ったSMS・電話・認証アプリによる二要素認証を追加でき、SSOにも対応可能と案内されています。締結した契約書には時刻認証事業者によるタイムスタンプが付与されるため、改ざん防止の観点でも確認しやすいでしょう。送信する電子データにパスワードを設定でき、ISO/IEC 27001の認証も取得しています。
MyQuick
- 悩ましい電子契約と紙契約の一元管理をシステム面でサポート
- 電子署名サービスと連携して締結、期限管理等の業務効率をアップ
- AIによる自動入力や高度な統制機能で入力の手間、ミスを大幅削減
インフォコム株式会社が提供する「MyQuick」は、指定したグローバルIPアドレスからのアクセスだけを許可する仕組みをもつAI文書管理システムです。ユーザーごとに閲覧、アクセス、ダウンロードの制限を設定できるため、契約書を手元の端末に持ち出させたくない場合にも検討しやすいでしょう。提供形態はクラウドのほか、オンプレミスにも対応しています。電子契約サービスとの連携や、AIによる台帳入力の支援も備えており、紙と電子の契約書をまとめて管理できます。
楽々Document Plus
- 申請～締結・保管まで一気通貫！（電子契約サービス連携）
- 期限管理や（手書きOCR検索可）など豊富な機能でスマートに管理
- AI-OCRによる属性自動入力や、対話型QAのAI-Chatで業務効率向上
住友電工情報システム株式会社が提供する「楽々Document Plus」は、契約書の持ち出しを抑える機能をそろえた文書管理システムです。厳格なアクセス制御に加え、印刷・ダウンロードの禁止、透かし文字の挿入、詳細なアクセスログの管理に対応しています。ISO/IEC 27001の認証を取得しており、電子帳簿保存法に対応したJIIMA認証も取得済みです。提供形態はオンプレミスとクラウドの両方があるため、社内ネットワークの中で運用したい企業も比べられます。
TOKIUM契約管理
- 製本済みの契約書を非破壊でスキャン代行
- あらゆる電子契約サービスから自動取り込み
- AIが契約書の管理台帳を自動作成
株式会社TOKIUMが提供する「TOKIUM契約管理」は、紙の契約書のスキャンや保管を外部に任せる際に、委託先の体制を確かめやすい契約書管理システムです。プライバシーマークとISMS（ISO/IEC 27001）を取得しており、国内サーバーでの運営や、複数拠点によるバックアップ体制も整えています。スキャンを担当するオペレーターとは個別に秘密保持契約を締結していると案内されています。AIによる管理台帳の自動作成や、電子契約サービスからの自動取り込みにも対応した製品です。
電子印鑑GMOサイン
- 導入企業数No.1※ 導入企業数300万社以上
- 圧倒的なコストパフォーマンス
- フォルダ設定や閲覧制限など文書管理機能が充実
GMOグローバルサイン・ホールディングス株式会社が提供する「電子印鑑GMOサイン」は、クラウドサービス向けの認証まで確認したい企業が比べたい電子契約サービスです。セキュリティ認証として、ISO/IEC 27001、ISO/IEC 27017、ISMAPを取得しています。フォルダ設定や閲覧制限で部外秘の文書を管理でき、延長タイムスタンプで電子文書の真正性を長期にわたり保つ仕組みも備えています。契約の締結から管理までをまとめて扱える点も特徴です。
クラウド型電子契約サービス クラウドサイン
- 累計契約送信件数3000万件超!※弁護士が監修した電子契約サービス
- 官公庁からスタートアップまで幅広い層の導入実績
- 電子帳簿保存法の要件を満たしたデータ保存が可能
弁護士ドットコム株式会社が提供する「クラウド型電子契約サービス クラウドサイン」は、第三者認証の取得状況を重視する企業が確認したい電子契約サービスです。セキュリティ認証として、ISO/IEC 27001、ISO/IEC 27017、SOC 2、ISMAPを取得しています。電子帳簿保存法の要件を満たしたデータ保存に対応しており、弁護士の監修のもとサービスを運営しています。SalesforceやkintoneとのAPI連携も可能で、契約書を稟議や商談とひもづけて管理できます。
まとめ
契約書管理システムのセキュリティは、契約の種類や部署単位の閲覧権限、操作ログ、改ざん防止と版の管理、SSOや多要素認証などのログイン対策で確認します。クラウド型では提供会社の第三者認証やチェックシートへの回答も判断の材料です。導入後も異動・退職や社外共有にあわせて権限を見直す運用が欠かせません。資料請求で各製品のセキュリティ資料を取り寄せ、自社の基準にあうかを比べてください。
