ITトレンドがおすすめする製品・サービス
- ■署名方式別
- 当事者型（電子証明書で署名）に対応：電子印鑑GMOサイン、WAN-Sign - ワンサイン -、paperlogic電子契約、CECTRUST-Light、イースタンプ
- 立会人型（メール認証などで署名）に対応：クラウドサイン、freeeサイン、マネーフォワード クラウド契約、電子印鑑GMOサイン、Docusign eSignature（ドキュサインの電子署名）、WAN-Sign - ワンサイン -、paperlogic電子契約、イースタンプ
- 当事者型と立会人型を使い分け：電子印鑑GMOサイン、WAN-Sign - ワンサイン -、paperlogic電子契約、イースタンプ
- ■認証・セキュリティ機能別
- シングルサインオン（SSO）連携：マネーフォワード クラウド契約、Docusign eSignature（ドキュサインの電子署名）、Dropbox Sign
- IPアドレス制限：マネーフォワード クラウド契約、WAN-Sign - ワンサイン -
- 契約書の閲覧権限や操作履歴の管理：マネーフォワード クラウド契約、電子印鑑GMOサイン、WAN-Sign - ワンサイン -、Digital Sign
- 電子署名とタイムスタンプによる改ざん検知：クラウドサイン、freeeサイン、paperlogic電子契約、イースタンプ
電子契約システムで想定されるセキュリティリスク
電子契約システムのセキュリティを考えるときは、まず何から契約書を守るのかを整理すると判断がぶれません。主なリスクは、内容の改ざん、署名者のなりすまし、契約データの漏えいの3つです。
契約内容の改ざん
電子データは、紙と違って書き換えた跡が目に見えません。締結後に金額や期間が書き換えられると、どちらの内容が正しいのかを示すことが難しくなります。
そのため電子契約では、文書が締結時点から変わっていないことを技術的に確かめられる仕組みが欠かせません。後述する電子署名やタイムスタンプは、この改ざんを検知するための仕組みです。改ざんそのものを物理的に不可能にするのではなく、変更があれば分かるようにする点を押さえておきましょう。
署名者のなりすまし
なりすましとは、本来の署名者ではない人物が本人を装って契約を締結することです。電子契約では対面で確認できないため、メールアドレスやアカウントを不正に使われると、本人の意思によらない署名が行われるおそれがあります。
リスクの大きさは、署名者の確認方法と、ログインの保護方法によって変わります。取引先の担当者が退職した後もメールアドレスが残っている場合のように、運用側の事情で生じるケースもあるため、技術と運用の両方で対策を考えます。
契約データの漏えい
契約書には取引条件や個人情報など、外部に知られたくない情報が含まれます。電子契約システムでは、通信経路での盗み見、権限のない社員による閲覧、誤送信などが漏えいの原因として考えられます。
紙の契約書も、紛失や書庫の持ち出しによって情報が外部に出る可能性があります。どちらが安全かを一律に比べるより、電子化した後の情報の出口を洗い出し、それぞれに対策を当てるほうが現実的です。
改ざんを検知する電子署名とタイムスタンプ
電子契約システムのセキュリティの土台は、電子署名とタイムスタンプです。この2つを組み合わせることで、「誰が」「いつ」「どの内容で」合意したかを後から確かめられるようにします。
電子署名で示す「誰が」と「改ざんの有無」
電子署名とは、電子文書に付ける署名情報で、文書を作成した人物と、署名後に内容が変更されていないことを確かめる仕組みです。公開鍵暗号という技術を使い、署名後に内容を書き換えると、検証の際に変更があったことが分かります。
電子署名法では、本人による一定の要件を満たす電子署名がある電子文書は、真正に成立したものと推定されると定められています。署名の検証は、PDFの閲覧ソフトで署名パネルを開くなどの方法で確かめられる場合があるため、導入時に確認手順を社内で共有しておきましょう。
タイムスタンプで示す「いつ」
タイムスタンプは、ある時刻にその文書が存在し、それ以降に改ざんされていないことを証明する仕組みです。時刻認証業務を行う事業者が発行するため、自社のパソコンの時計を書き換えても締結日時は変わりません。
電子署名に使う電子証明書には有効期間があるため、長期間保存する契約書では、タイムスタンプを重ねて付与し検証できる期間を延ばす「長期署名」という方式も使われます。契約書の保存期間が長い企業は、長期署名への対応状況を確認しておくと安心です。
締結後に内容を変更したいときの扱い
電子署名を付けた契約書は、締結後に中身を書き換えると署名の検証でエラーが出ます。これは改ざんを検知する仕組みが正しく働いている状態であり、締結済みのファイルを直接編集して差し替えることはできません。
条件の変更や誤りの訂正が必要な場合は、元の契約書はそのまま残し、変更内容を定めた覚書や変更契約を新たに締結します。新旧の契約書をひも付けて保管できるか、関連文書として検索できるかも、改ざん防止とあわせて確認したい点です。
電子契約システムのなりすまし対策と認証方式
なりすまし対策は、契約の相手方が本人かを確かめる「署名時の本人確認」と、自社の利用者のアカウントを守る「ログイン時の認証」に分けて考えます。どちらも製品によって選べる方式が異なります。
当事者型と立会人型の違い
当事者型は、署名する本人が認証局から電子証明書を取得し、その証明書で署名する方式です。本人確認を経て証明書が発行されるため、本人性を示す根拠が強い一方、取引先にも証明書の取得を求める手間があります。
立会人型は、メール認証などで本人を確認し、電子契約サービスの提供会社が署名を付ける方式です。取引先の負担が少ない半面、メールアドレスだけの確認では不安が残る場合もあります。アクセスコードやSMS認証を追加できるかなど、契約の重要度にあわせて確認方法を選べるかを確かめましょう。
二要素認証とシングルサインオン
自社の利用者アカウントが乗っ取られると、契約書の閲覧や送信を不正に行われるおそれがあります。対策として、パスワードに加えてスマートフォンのアプリなどで確認する二要素認証を必須にする方法があります。
社内で使う他のシステムとログインを共通化するシングルサインオン（SSO）に対応していれば、退職者のアカウントを一か所で停止できる利点もあります。また、社外のネットワークからの接続を制限したい場合は、IPアドレス制限の設定可否も確認しましょう。
ITトレンドでは、最新の製品・サービスを多数比較・掲載しています。まず資料請求して、さまざまな製品の機能や特徴を比較してみてください。忙しい業務時間内でも、各社に問い合わせる手間なく、たった1回の入力（約60秒）で電子契約システムの一括資料請求が可能です。浮いた時間で、じっくりと製品を比較検討し進めましょう。
社内からの情報漏えいを抑える権限と記録
電子契約システムのセキュリティは、外部からの攻撃だけでなく、社内の誤操作や権限設定の不備にも左右されます。誰が何を見られるのかを決め、操作の記録を残すことが漏えい対策の基本です。
部署や役職に応じた閲覧権限の設定
すべての社員がすべての契約書を見られる状態では、人事関連の契約や取引条件が必要以上に共有されてしまいます。部署ごと、契約の種類ごとに閲覧や送信の権限を分けられるかを確認しましょう。
あわせて、異動や退職があった際に権限を変更する手順も決めておきます。権限の変更を一人の管理者だけが把握している状態では、確認漏れが起きる可能性があります。変更の申請と承認の流れを文書にし、複数人で状況を確認できるようにしておくと安全です。
操作ログと提供会社の管理体制
操作ログとは、誰がいつ契約書を閲覧、送信、ダウンロードしたかを記録したものです。ログを出力して定期的に確認すれば、不審な操作に早く気づけます。保存期間やCSV出力の可否は製品によって異なります。
提供会社側の管理体制は、情報セキュリティの国際規格であるISO/IEC 27001（ISMS）の認証取得状況で確かめられます。データセンターの所在地や、通信と保存データの暗号化の有無もあわせて確認します。公開されていない項目は、資料請求や問い合わせで回答を得ましょう。
取引先とのやり取りに潜むセキュリティの盲点
電子契約は社外の相手と文書をやり取りするため、自社の設定だけでは防げない部分があります。取引先との運用の取り決めまで含めて考えると、セキュリティ上の抜け漏れを減らせます。
署名依頼メールの宛先と転送
署名依頼は取引先担当者のメールアドレスに届くため、宛先の入力ミスがあると、無関係の第三者に契約書が届くおそれがあります。送信前に宛先を別の担当者が確認するルールや、アクセスコードの併用が有効です。
また、受信者が社内で署名依頼メールを転送すると、署名の権限がない人が操作してしまう場合があります。転送後の署名を制限できるか、署名者の変更に送信者の承認が必要かといった設定も確認しておきましょう。
取引先側の署名権限の確認
電子契約では、相手先の担当者が会社を代表して契約する権限を持っているかが見えにくくなります。紙の契約書で代表者印を確認していたのと同じように、署名者の役職や権限を事前に確かめる手順が必要です。
例えば、署名者として代表者や契約権限のある役職者を指定してもらう、重要な契約では取引先の窓口に電話で意思を確認するといった方法があります。システムの機能だけに頼らず、契約の重要度に応じた確認手順を社内規程に定めておくと安心です。
署名方式と認証で比べる電子契約システム一覧
改ざん・なりすまし・漏えいへの備えという観点から、署名方式や認証機能、契約書の管理方法を比べやすいよう、この記事で紹介する電子契約システムを一覧にしました。
| 製品名 | 特徴 |
|---|---|
| クラウドサイン | 立会人型の電子契約サービス。電子署名とタイムスタンプによる改ざん検知に対応し、契約書をクラウド上で管理できる |
| freeeサイン | 契約書の作成から社内承認、締結、保管まで対応。通信の暗号化やタイムスタンプの付与などのセキュリティ対策を備える |
| マネーフォワード クラウド契約 | タイムスタンプの自動付与や監査ログ、IPアドレス制限、SSOに対応。契約書の申請・承認から締結、保管まで一元管理できる |
| 電子印鑑GMOサイン | 立会人型と当事者型の２つの署名タイプに対応。フォルダ設定や閲覧制限、延長タイムスタンプによる文書保護も可能 |
| Docusign eSignature（ドキュサインの電子署名） | ISO 27001やSOC 2 Type 2などの第三者認証を取得。SSOやAES 256ビット暗号化による情報保護に対応 |
| WAN-Sign - ワンサイン - | 当事者型・立会人型・ハイブリッド署名に対応。IPアドレス制限や操作ログ管理、承認者固定機能を標準搭載 |
| paperlogic電子契約 | 立会人型と当事者型の使い分けに対応。締結完了時の認定タイムスタンプ自動付与や文書の一元管理が可能 |
| CECTRUST-Light | 電子証明書を使った当事者型の電子契約サービス。リモート署名方式を採用し、契約文書の長期保管にも対応 |
| Dropbox Sign | 署名依頼から締結までの操作履歴を監査証跡として記録。SSOや一括送信、外部ツールとの連携にも対応 |
| イースタンプ | メール認証による立会人型と電子証明書を使う当事者型を選択可能。タイムスタンプ付与や紙の契約書管理にも対応 |
| Digital Sign | 契約書のテンプレート作成やフォルダ管理、詳細な権限設定に対応。紙と電子の契約書を一元管理できる |
改ざん・なりすまし対策を備えた電子契約システム
署名時の本人確認からログイン保護、閲覧権限や操作記録まで、この記事で解説したセキュリティ対策を機能面で支える製品を紹介します。重視するリスクに応じて比較してください。
クラウドサイン
- 累計契約送信件数3000万件超！ 導入実績250万社以上※
- 弁護士監修。日本の法律に関する知見を活かした開発・サポート
- 電子帳簿保存法の要件を満たしたデータ保存が可能
弁護士ドットコム株式会社が提供する「クラウドサイン」は、弁護士の監修のもとで運営されているクラウド型の電子契約サービスです。取引先はアカウント登録なしで契約内容を確認し、電子署名による締結を行えます。電子署名とタイムスタンプによって、締結済み文書の改ざん検知や締結日時の確認を支援します。締結した契約書はクラウド上で管理でき、検索によって必要な文書を探せるため、契約情報の一元管理にも役立ちます。
freeeサイン
- 受領者も使いやすい 画面設計と充実サポート
- 文書の種類や受領者に合わせて選べる
- 自社運用にあった使い方が最安値で可能
フリー株式会社が提供する「freeeサイン」は、契約書の作成から締結、保管までをクラウド上で一元管理する電子契約システムです。テンプレートを登録して入力項目を設定でき、社内承認に対応したワークフロー機能も備えています。通信の暗号化や時刻認証事業者によるタイムスタンプの付与に対応し、契約データの保護と改ざん検知を支援します。締結済み文書は検索機能で管理でき、有効期限のリマインドにも対応。契約業務を効率化しながらセキュリティ対策を整えたい企業に適しています。
マネーフォワード クラウド契約
- 法務相談-作成-申請-承認-締結-保存-管理までまるっとサポート
- 送信料・保管料がずっと0円。定額制のシンプルな料金体系
- 紙の契約書も電子契約書もまとめて一元管理
株式会社マネーフォワードが提供する「マネーフォワード クラウド契約」は、改ざん検知と社内の操作管理をまとめて整えたい企業に向く契約管理サービスです。電子署名とタイムスタンプによる長期署名に対応し、締結済み文書の信頼性を確保します。詳細な監査ログやIPアドレス制限、SSO（シングルサインオン）など、内部統制を支えるセキュリティ機能も搭載。ワークフローによる社内申請・承認から締結、保管まで一元管理でき、紙や他サービスで締結した契約書もまとめて管理できます。
電子印鑑GMOサイン
- 導入企業数No.1※導入企業数300万社以上
- 圧倒的なコストパフォーマンス
- フォルダ設定や閲覧制限などの文書管理機能が充実
GMOグローバルサイン・ホールディングス株式会社が提供する「電子印鑑GMOサイン」は、契約の重要度に応じて署名方式を使い分けられるクラウド型電子契約サービスです。立会人型と当事者型の２種類の署名方式に対応し、契約内容や取引先に応じた運用が可能です。フォルダ設定や閲覧制限によって契約書のアクセス権限を管理でき、延長タイムスタンプによる長期保存にも対応しています。日常的な契約から重要な取引まで、本人確認や文書管理の要件にあわせて利用したい企業に適しています。
Docusign eSignature（ドキュサインの電子署名）
- 世界中で160万社以上の組織・団体と10億人超のユーザーが利用
- 900以上のプレビルド・インテグレーション
- 世界標準のセキュリティとコンプライアンス管理でリスクを軽減
ドキュサイン・ジャパン株式会社が提供する「Docusign eSignature（ドキュサインの電子署名）」は、第三者認証に裏付けられたセキュリティ管理体制を重視する企業向けの電子署名サービスです。ISO 27001やSOC 1 Type 2、SOC 2 Type 2などの認証を取得しており、AES 256ビット暗号化による契約データの保護にも対応しています。SSO（シングルサインオン）を利用すれば、社内アカウントの管理を効率化し、パスワード管理に伴うリスクの軽減につながります。外部システムとの連携機能も豊富で、既存の業務フローに電子署名を組み込みたい企業にも適しています。
WAN-Sign - ワンサイン -
- 立会人型・当事者型の両方に対応。ハイブリッド署名も可能
- 初期費用・月額基本料0円の従量制。内部統制機能も標準搭載
- 紙原本の保管・電子化から締結後の契約管理まで一元化
株式会社ＮＸワンビシアーカイブズが提供する「WAN-Sign - ワンサイン -」は、契約の重要度にあわせて署名方式を選びたい企業に適した電子契約・契約管理サービスです。電子証明書による当事者型（実印版）とメール認証による立会人型（認印版）に対応し、自社と取引先で異なる署名方式を組み合わせるハイブリッド署名も利用できます。IPアドレス制限やフォルダごとの閲覧制限、操作ログ管理、承認者固定機能を標準搭載。契約書の締結だけでなく、社内の不正操作や情報漏えいを防ぐための管理体制も整えやすいでしょう。
paperlogic電子契約 （ペーパーロジック株式会社）
- 立会人型の認印と当事者型の実印どちらにも対応！
- 契約相手も電⼦証明書の取得や利⽤ができる！
- 締結完了時に自動で認定タイムスタンプを付与！
CECTRUST-Light （株式会社コンストラクション･イーシー･ドットコム）
- NTTグループ/大手建設会社/空港会社様もご使用。長期保管も安心
- 万全なセキュリティ確保(電子証明書発行)＋利便性(リモート署名)
- 取引先側の費用負担なし！
Dropbox Sign （Dropbox Japan株式会社）
- 契約フローを電子化！最大80％の手間を削減
- 監査証跡を残すので法的拘束力あり！
- ウェブサイト・アプリにも署名フォームを設置可能！
イースタンプ （株式会社サポリス）
- 2種類の電子署名方法を顧客や書類によって自由に切り替え！
- 電子契約に必要な機能をすべてワンパッケージで提供！
- 徹底したサポート体制で安心した運用が可能！
Digital Sign （株式会社C-mind）
- 契約業務に関わる幅広い機能をオールインワンで提供
- 20～100名規模で、電子契約の初心者様でも使いやすいUI/UX
- 蓄積されたデータを分析でき、改善施策を考えられる
まとめ
電子契約システムのセキュリティは、3つの層で考えると整理できます。電子署名とタイムスタンプによる改ざん検知、本人確認とログイン認証によるなりすまし対策、権限設定と操作ログによる漏えい対策です。さらに、宛先確認や署名権限の確認といった取引先との運用も欠かせません。自社が重視するリスクを決めたうえで、資料請求で各製品の署名方式や認証設定を比べてみてください。
