ITトレンドがおすすめする製品・サービス
- ■通信を守る対策別
- 通信データの暗号化：トラコ、EdiGate/POST、スマクラ AnserDATAPORT接続サービス
- 閉域網やVPNを使った接続：JFT/SaaS、eCubenet、スマクラ AnserDATAPORT接続サービス
- 証明書による認証と接続元の制限：eCubenet
- ■保存と運用の対策別
- 利用者ごとの操作権限の設定：Biware EDI Station 2
- 電子取引データの保存（電子帳簿保存法への対応）：スマクラデータアーカイブ、MONQX EDI、TISI株式会社のEDIプラットフォームサービス、REDISuite 汎用EDIサービス
- 障害や災害に備えた冗長化：トラコ、TISI株式会社のEDIプラットフォームサービス、REDISuite 汎用EDIサービス
EDIで守るべき情報とセキュリティ上のリスク
EDIでやり取りするデータには、取引先名や単価、数量、納期など、取引の中身がそのまま含まれます。セキュリティ対策を考える前提として、どのようなリスクがあるのかを整理しておきましょう。
受発注データの漏えいと改ざん
EDIのデータが第三者に漏れると、取引先との価格や取引量といった、社外に出すべきでない情報が知られるおそれがあります。通信の途中や保存したデータが書き換えられると、誤った数量の出荷や、誤った金額の請求につながる可能性もあります。
こうした被害は、自社だけでなく取引先にも影響が及びます。通信経路の暗号化と、保存したデータを変更できる人の制限を組み合わせて、漏えいと改ざんの両方に備えることが大切です。
取引先を装ったなりすまし
通信の相手が本当に取引先なのかを確かめる仕組みがないと、第三者が取引先を装って偽の発注データを送ってくる可能性があります。逆に、自社を装った第三者が取引先へデータを送るケースも考えられます。
インターネットを使うEDIでは、電子証明書による相手の確認や、取引先ごとに割り当てたIDとパスワードによる認証で、なりすましを防ぐ仕組みを用います。どの方法で相手を確認しているかを、通信手順ごとに把握しておきましょう。IDやパスワードを使う場合は、取引先と安全な方法で受け渡し、使い回しを避けることも大切です。
システム停止による取引への影響
EDIは毎日の受発注を支える仕組みのため、停止すると受注の取り込みや出荷の指示が止まり、取引先への納品が遅れる可能性があります。サーバの故障や回線の障害に加え、ランサムウェア（データを暗号化して身代金を要求する不正なプログラム）への感染も停止の原因となり得ます。
停止の原因は一つに限られません。そのため、バックアップの取得や、障害時に取引先と連絡を取る手順、一時的に別の方法でデータをやり取りする代替手段を事前に決めておくことが重要です。バックアップは、本番のサーバとは切り離した場所にも保管しておくと、感染時の復旧に備えられます。
通信手順で変わるEDIのセキュリティ
EDIのセキュリティは、どの通信手順を使っているかで大きく変わります。古い手順を使い続けている場合は、その手順がどのように通信を守っているかを確認し、切り替えも含めて検討しましょう。
電話回線を前提とした従来の手順
全銀ベーシック手順やJCA手順などの従来の手順は、電話回線やISDN回線を使い、取引先と1対1で通信する前提で作られてきました。回線そのものが閉じた経路であったため、インターネットEDIのような暗号化の仕組みを前提としていない場合があります。
INSネットのディジタル通信モードは2024年1月に提供を終え、補完策による通信には速度の低下などの影響が案内されています。セキュリティと継続性の両面から、取引先と相談してインターネットEDIへの移行を計画することが重要です。
インターネットEDIの暗号化と電子署名
インターネットEDIの通信手順では、TLS（通信を暗号化する仕組み）による経路の暗号化や、電子証明書を使った相手の確認が用いられます。例えば、AS2ではデータの暗号化と電子署名に加え、受け取った側が受領確認を返す仕組みがあります。
ebXML MSやJX手順、全銀TCP/IP手順（広域IP網）など、手順によって使う暗号化や認証の方式は異なります。取引先から指定された手順に対応しているかに加え、どの方式で通信を守っているかをベンダーに確認しましょう。同じ手順でも、取引先との取り決めによって暗号化や署名の設定が変わる場合があります。
EDIソフト側で確認したいセキュリティ機能
通信経路を守っても、社内でデータを扱う段階の管理が不十分だと、誤操作や不正な持ち出しを防げません。EDIソフトを選ぶ際や見直す際に確認しておきたい機能を3つ紹介します。
利用者ごとの権限設定と操作ログ
EDIソフトでは、取引先の設定を変更できる人、データを再送できる人、閲覧だけできる人のように、役割ごとに操作の範囲を分けられるかを確認します。全員が管理者の権限を持っていると、誤った設定変更が取引に影響するおそれがあります。
あわせて、誰がいつどの操作を行ったかを記録する操作ログの有無と、保存期間も確かめておきましょう。ログがあれば、問題が起きたときに原因を追跡でき、設定の変更履歴を複数の担当者で共有する際にも役立ちます。
取引先ごとの接続制限
インターネットEDIでは、受け付ける通信の相手を取引先ごとに限定する設定が重要です。接続元のIPアドレスを制限する方法や、取引先ごとに異なる電子証明書や認証情報を割り当てる方法があります。
取引が終わった取引先の接続設定が残っていると、不要な入口となる可能性があります。取引先の一覧と接続設定を定期的に照合し、使われていない設定を削除できる運用になっているかも確認しておくと安心です。
受信データの保存と改ざん防止
送受信したデータを、どこに、どの形式で、どれくらいの期間保存できるかもEDIソフトの重要な確認点です。保存したデータを後から書き換えられる状態では、取引の記録として信頼性を保てません。
訂正や削除の履歴を残す仕組みや、変更できない形で保存する仕組みがあるかを確認しましょう。保存先のサーバやストレージのバックアップ方法と、復元の手順もあわせて決めておくことが大切です。
ITトレンドでは、最新の製品・サービスを多数比較・掲載しています。まず資料請求して、さまざまな製品の機能や特徴を比較してみてください。忙しい業務時間内でも、各社に問い合わせる手間なく、たった1回の入力（約60秒）でEDIの一括資料請求が可能です。浮いた時間で、じっくりと製品を比較検討し進めましょう。
法令や取引先から求められるEDIのセキュリティ
EDIのセキュリティ対策は、自社の判断だけで決まるものではありません。税法上の保存のルールや、取引先から示されるセキュリティの要件にも対応する必要があります。
電子帳簿保存法の電子取引データ保存
EDIで受け渡しした注文書や請求書などのデータは、電子帳簿保存法の電子取引にあたり、紙に印刷せず電子のまま保存することが求められます。保存にあたっては、改ざんを防ぐ真実性と、必要なときに検索して表示できる可視性の要件を満たす必要があります。
要件の詳細や対象となる企業の条件は、国税庁の公式情報で確認しましょう。EDIソフト自体で要件を満たせるのか、文書管理システムなど別の仕組みと組み合わせるのかも、ベンダーに確認しておくと判断しやすくなります。
取引先が示すセキュリティ要件への対応
取引先によっては、EDIの接続を始める前に、自社のセキュリティ対策の状況を確認する質問票への回答を求める場合があります。業界団体がサプライチェーン全体を対象としたセキュリティのガイドラインを公開している業界もあります。
求められる内容は業界や取引先によって異なるため、どのような対策を行っているかを説明できるよう、EDIソフトの設定や運用ルールを文書にまとめておきましょう。回答に迷う項目は、情報システム部門やベンダーに相談するとよいでしょう。
EDIのセキュリティを保つ運用
EDIのセキュリティは、導入時の設定だけで保てるものではありません。証明書の更新やソフトウェアの修正の適用など、継続的な作業を計画に組み込んでおきましょう。
電子証明書とパスワードの更新
インターネットEDIで使う電子証明書には有効期限があり、期限が切れると取引先と通信できなくなる場合があります。証明書を更新した際は、取引先側にも新しい証明書の情報を登録してもらう必要がある手順もあります。
証明書の期限を一覧にし、期限の前に通知される仕組みを用意しましょう。取引先と更新の日程を調整する時間も見込み、余裕を持って作業を始めることが大切です。担当者が交代しても対応できるよう、手順書を共有しておきます。
ソフトウェアの修正の適用と点検
EDIソフトやサーバのOSに脆弱性（セキュリティ上の弱点）が見つかった場合は、修正プログラムを計画的に適用します。適用後は、取引先との通信や基幹システムへの取り込みが正常に動くかを確認します。
あわせて、権限の設定や接続の制限が意図したとおりになっているかを、年に1回など定期的に点検しましょう。点検の結果と対応内容を記録しておくと、取引先からセキュリティの状況を問われた際の説明にも使えます。
セキュリティ対策で比べるEDI製品一覧
通信の暗号化や閉域網での接続、利用者の権限設定、電子取引データの保存、障害への備えなど、EDIのセキュリティにかかわる機能がある製品を一覧にまとめました。自社が重視する対策と照らしあわせて比べてみてください。
| 製品名 | 特徴 |
|---|---|
| トラコ | 通信データの暗号化や通信履歴の保存に対応。サーバやネットワークを冗長化している |
| EdiGate/POST | 発注書や請求書を取引先へ電子配布。SSLによる暗号化とパスワードで情報を保護 |
| スマクラ AnserDATAPORT接続サービス | 閉域網とデータ暗号化で金融機関とのファイル伝送を保護。運用と通信設定の担当者を分離 |
| JFT/SaaS | 専用回線やインターネットVPNなどの閉域網に対応。全銀TLSなどのインターネット手順も選べる |
| eCubenet | クライアント証明書認証やIPアドレス制限、改ざん検知を備えたデータ伝送サービスを提供 |
| スマクラデータアーカイブ | EDIデータを電子帳簿保存法の要件に応じて最長12年間保存。JIIMA認証を取得 |
| MONQX EDI | クラウド型のWeb-EDI。取引情報を最大10年間保管し、法令条件を満たす照会画面を用意 |
| TISI株式会社のEDIプラットフォームサービス | 遠隔2拠点で並列稼働するEDI基盤。電子帳簿保存に対応したデータ保存オプションあり |
| Biware EDI Station 2 | 5種類の役割で利用者ごとに操作権限を設定。ログの閲覧もWebブラウザから行える |
| REDISuite 汎用EDIサービス | 電子帳簿保存法に対応し、7年間のデータを保存。センター2拠点管理で災害時に備える |
通信と保存の安全性を高めるEDI製品
取引データを守る通信の仕組みや、電子取引データの保存、システム停止への備えといった観点で選んだ製品を紹介します。取引先から求められるセキュリティ要件に対応できるかも確認してください。
トラコ
- あらゆるEDIに対応したASPサービス
- 自社システムにあわせたファイルレイアウトでの連携
- 24時間サポート（夜間はベストエフォート）
デジタルトランスコミュニケーションズ株式会社が提供する「トラコ」は、通信データの暗号化や履歴の保存、冗長化された基盤など、EDIを安全に止めずに動かすための仕組みを備えたASPサービスです。全銀TLS、AS2、ebXML、JXなど多様な手順に対応し、通信履歴やジョブ実行履歴、通信データを一定期間保存します。サーバやネットワークは冗長化され、イメージバックアップを日次で取得して7世代保管しています。サーバ障害時に別のサーバで自動再起動を試みるなど、障害時の措置が定められている点も特徴です。
EdiGate/POST
- 購買業務に関わる手間・コストを大幅削減！！
- Web画面で納期の回答・照会、データの二次活用も可能！
- 操作がシンプルで簡単に電子化をスタートできる！
DAIKO XTECH株式会社が提供する「EdiGate/POST」は、発注書や請求書などを仕入先へ電子データで配布するクラウドサービスです。SSLによる暗号化とパスワードで、やり取りする情報を保護します。発注システムや会計システムと連携して帳票データを自動で配信し、仕入先はWeb画面で納期を回答できます。見積書や容量の大きい図面なども送受信も可能ため、紙やFAXでのやり取りを電子化しながら、送受信するデータを守りたい場合に検討できます。
スマクラ AnserDATAPORT接続サービス
- データ暗号化、閉域網でサイバー攻撃等セキュリティリスク解消
- 緊急時に事業の継続・早期復旧が可能！
- 複数金融機関へ同一回線/手順で接続 SCSKでConnecure接続テスト
SCSK株式会社が提供する「スマクラ AnserDATAPORT接続サービス」は、金融機関とのファイル伝送を閉域ネットワークで行うインターネット型ファームバンキングのサービスです。データの暗号化と閉域網の利用により、サイバー攻撃などのリスクを抑えた通信を行えます。運用の担当者と通信設定の担当者を分け、情報漏えいのリスクを避ける仕組みも取り入れています。複数の金融機関と同じ回線・手順で接続できるため、金融機関ごとに接続のための仕組みを開発する必要がありません。
JFT/SaaS
- 月額3万円から利用可能なクラウド型EDIサービス
- マルチプロトコル対応。サービス開始10年以上で豊富な接続実績
- EDI専門部隊による安心のサポート。24時間365日のサービス提供
株式会社TOKAIコミュニケーションズが提供する「JFT/SaaS」は、専用回線やインターネットVPNといった閉域網での接続にも対応するクラウド型のEDIサービスです。インターネットを使う手順としては全銀TLS、JX、EDIINT-AS2、ebXML MSなどを選べるため、取引先の手順や求められる要件にあわせて接続方法を決められます。自社回線・自社データセンター・自社開発のEDIパッケージを組み合わせたサービスで、24時間365日のサポート窓口も用意されています。
eCubenet
- 導入から運用までワンストップでスピーディにサービス提供
- 様々な業界仕様EDI対応の他、FAX・帳票・郵送までカバー
- 35年以上のサービス提供と3,500社以上が利用する信頼の実績
株式会社オージス総研が提供する「eCubenet」は、クライアント証明書による認証やIPアドレス制限、改ざん検知などを備えたデータ伝送サービスを含む、EDIのアウトソーシングサービスです。データ伝送サービス「SecureEC」ではクライアント証明書の新規取得や更新も行えます。不正侵入防止システムやウイルスチェックに加え、定期的な脆弱性診断の実施などでセキュリティの状態を維持している点も特徴です。閉域網・VPN・専用線を使ったネットワーク接続も選べます。
スマクラデータアーカイブ
- 法的要件に適合したサービスをリーズナブルかつ短期間で導入可能
- EDIデータを、セキュリティを担保したクラウドに最長12年間保存
- EDIを自社構築・他社サービスを利用中でも導入可能
SCSK株式会社が提供する「スマクラデータアーカイブ」は、企業間でやり取りしたEDIデータを、電子帳簿保存法の要件に応じて保存するクラウド型のサービスです。公的認証（JIIMA認証）を取得しており、EDIデータを最長12年間保存できます。保存したEDIデータやデータ仕様書、マスタファイルはインターネットを介してダウンロードできます。EDIを自社で構築している場合や、他社のサービスを使っている場合でも導入可能です。なお、ダウンロード後のデータを検索する環境は利用企業側で用意します。
MONQX EDI
- 導入費用大幅低減。クラウド型でメンテナンスや設備投資も不要
- 取引先に合わせ自在にカスタマイズ。多言語等、海外取引もカバー
- 業種を問わない豊富なテンプレートの活用で即運用可能
株式会社YEデジタル Kyushuが提供する「MONQX EDI」は、取引情報を最大10年間保管し、法令の条件を満たす照会画面を備えたクラウド型のWeb-EDIサービスです。電話やFAXで行っていた発注・納期回答・出荷といった取引を電子化し、受発注業務を効率化できます。信頼性の高いクラウド環境と、脆弱性に配慮したアプリケーション構成で運用されています。JX手順によるデータ交換にも対応しています。
TISI株式会社のEDIプラットフォームサービス
- 並列・分散・遠隔で稼働し、万全のBCP対策を実現
- TISI EDI事業は契約社数400社/接続数9万ID/業界シェアNo.1
- 約300名におよぶEDI事業の専従事者
TISI株式会社が提供する「TISI株式会社のEDIプラットフォームサービス」は、遠隔の2拠点で並列・分散処理を行い、システム停止による取引への影響を抑えるクラウド型のEDIサービスです。拠点間で常時データを同期して並列稼働させ、平常時は無停止でのメンテナンスを行えます。電子帳簿保存に対応したEDIデータ保存オプションや、回線断エラー時の再起動対応などを担うヘルプデスクも用意されており、運用面の支援も受けられるでしょう。ISO/IEC 27001の認証も取得しています。
Biware EDI Station 2 （株式会社インターコム）
- ワークフローを自動処理し、受発注業務の効率化に最適
- 簡単操作でバックアップ・リストアでき、安心した運用を実現
- 導入企業は60,000社以上！業界・業種を問わず利用可能
REDISuite 汎用EDIサービス （株式会社日立システムズ）
- 医療・金融・物流・メーカーなど他業界の取引先へ導入可能！
- 取引先が接続できるインターフェイスの種類が多様！
- サービス導入時に、スムーズで効率な移行を実現！
まとめ
EDIソフトのセキュリティは、通信手順による暗号化や相手の確認、ソフト側の権限設定と操作ログ、データを保存する方法という3つの面から確認します。従来の電話回線を使う手順を使っている場合は、インターネットEDIへの移行も検討しましょう。電子帳簿保存法への対応や証明書の管理範囲は製品によって異なるため、複数のEDI製品の資料請求をして比較してみてください。
