ITトレンドがおすすめする製品・サービス
- ■重点を置きたいリスク対策別
- 部署・役職ごとに閲覧権限を設定したい：Garoon、desknet's NEO、GroupSession、キントーン、LINE WORKS、HotBiz8
- 操作ログを確認・保存したい：desknet's NEO、キントーン、LINE WORKS
- 接続できる端末やIPアドレスを制限したい：Garoon、GroupSession、キントーン、HotBiz8、J-MOTTOグループウェア
- ■提供形態別
グループウェアで想定したい3つのリスク
グループウェアには、スケジュールや掲示板、ファイル、申請書など社内の情報が集まります。便利になる一方で、集まった情報の扱いを誤ると影響が広がります。まずはリスクの全体像を3つに分けて把握しましょう。
情報漏えいにつながるリスク
1つ目は、社内向けの情報が意図しない相手に見られるリスクです。グループウェアには人事の連絡や取引先との打ち合わせ資料、顧客情報を含むファイルが保存されることがあります。
原因は外部からの不正アクセスに限りません。公開範囲の設定誤りや、退職者のアカウントが残っていること、パスワードの使い回しなど、複数の要因が重なって起こるケースがあります。技術面と運用面の両方で対策を考えることが大切です。
サービス停止・障害のリスク
2つ目は、グループウェアが使えなくなるリスクです。クラウド型では提供会社側のシステム障害や回線の不具合、オンプレミス型では自社サーバーの故障や停電によって、一時的に利用できなくなる場合があります。
連絡や申請をグループウェアに集約しているほど、停止したときの影響は大きくなります。承認待ちの申請が止まる、会議の予定を確認できないといった状況を想定し、代わりの手段を決めておくと業務への影響を抑えやすくなります。
運用が定着せず形骸化するリスク
3つ目は、導入しても使われなくなるリスクです。メールやチャット、紙の回覧が併用されたままだと、情報がどこにあるかわからなくなり、かえって確認の手間が増えることがあります。
形骸化は目に見えにくいものの、費用だけがかかり続ける点で経営上のリスクといえます。また、使われない機能の権限設定が放置されると、情報漏えいのリスクにもつながります。利用ルールと定期的な見直しで防ぐことが重要です。
権限と公開範囲から生じるグループウェアのリスク
グループウェアの情報漏えいは、設定の誤りや確認不足から起こる場合があります。総務省も2022年10月に「クラウドサービス利用・提供における適切な設定のためのガイドライン」を公表し、利用者側の設定管理の重要性を示しています。
掲示板やファイルの公開範囲を誤る
掲示板やファイル共有の公開範囲を「全社」のままにして、本来は一部の部署だけに見せる情報を登録してしまうケースがあります。初期設定が全員に公開される仕様になっている場合もあるため、注意が必要です。
対策として、部署や役職ごとのグループを先に作り、情報の種類ごとに公開先の基準を決めておきましょう。人事や経理など機密度の高い情報を扱うフォルダは、閲覧できる人を定期的に棚卸しすると安心です。
退職者や異動者のアカウントが残る
退職した社員のアカウントが削除されずに残っていると、社外から社内情報にアクセスできる状態が続くおそれがあります。異動者が前の部署の情報を見られるままになっているケースも、同じく見落とされがちです。
防ぐには、人事異動や退職の連絡を受けたら、決まった期限内にアカウントの停止や所属変更を行う手順を定めます。担当者1人に任せず、手順書と処理の記録を残し、複数人で確認できる体制にしておくとよいでしょう。
社外との共有機能の扱いがあいまいになる
取引先と資料をやり取りするために、ゲストアカウントや共有リンクを使うことがあります。リンクを知っていれば誰でも開ける設定のまま放置すると、転送先で情報が広がる可能性があります。
社外共有を使う場合は、有効期限やパスワードを設定できるか、共有を許可する担当者を限定できるかを確認しましょう。共有した履歴を後から一覧で確認できると、不要になった共有の停止も進めやすくなります。
グループウェアの停止や終了に備える方法
障害やサービスの提供終了は、自社だけでは防ぎきれないリスクです。止まった場合に業務をどう続けるか、データをどう守るかを事前に決めておくことで、影響を小さくできます。
障害時に使う代わりの連絡手段を決めておく
グループウェアが使えない間の連絡手段を、あらかじめ決めておきましょう。例えば、緊急時は電話やメールで連絡する、急ぎの申請は紙の様式で受け付けるといったルールです。
あわせて、提供会社が障害情報をどこで公開しているかを確認しておくと、復旧の見込みを早く把握できます。クラウド型を選ぶ場合は、稼働率の目標値を示すSLA（サービス品質保証）の有無や、障害時の通知方法も確認しておきたい項目です。
データのバックアップと書き出し方法を確認する
誤って削除した掲示板の投稿や、障害で失われたデータを戻せるかどうかは、製品や契約内容によって異なります。復元できる期間や範囲を事前に確認しておきましょう。
また、スケジュールやファイル、申請履歴をCSVなどの形式で書き出せるかも重要です。書き出せる形式がわかっていれば、自社でもバックアップを取れます。オンプレミス型の場合は、バックアップの取得と保管を自社で担う必要があります。
提供終了や契約条件の変更に備える
クラウドサービスでは、機能の廃止や料金体系の見直し、サービス自体の提供終了が起こる可能性があります。突然の変更で困らないよう、利用規約で事前通知の期間がどう定められているかを確認しておきましょう。
特定の製品にデータや業務手順が依存しすぎると、移行が難しくなります。データの書き出し方法とあわせて、申請書の様式や承認経路を自社の資料として残しておくと、別の製品へ移る場合にも対応しやすくなります。
ITトレンドでは、最新の製品・サービスを多数比較・掲載しています。まず資料請求して、さまざまな製品の機能や特徴を比較してみてください。忙しい業務時間内でも、各社に問い合わせる手間なく、たった1回の入力（約60秒）でグループウェアの一括資料請求が可能です。浮いた時間で、じっくりと製品の比較検討を進めましょう。
情報漏えいが起きたときの対応手順
対策をしていても、漏えいのリスクをゼロにはできません。万一の際に慌てないよう、報告の義務と原因調査の方法を事前に確認しておきましょう。初動の速さが被害の拡大を抑えることにつながります。
個人情報の漏えい等報告の義務を確認する
2022年4月に施行された改正個人情報保護法により、一定の条件にあたる個人データの漏えい等が起きた場合、個人情報保護委員会への報告と本人への通知が義務化されました。不正アクセスによる個人データの漏えいや、1,000人を超える本人の個人データの漏えいなどが対象です。
グループウェアに顧客や従業員の個人情報を保存している場合は、この義務の対象になりえます。誰が判断し、誰が報告するかを社内で決め、個人情報保護委員会が公表している報告の手順を確認しておきましょう。
操作ログで影響範囲を特定する
漏えいが疑われるときは、いつ、誰が、どの情報にアクセスしたかを確認する必要があります。そのためには、ログイン履歴やファイルの閲覧・ダウンロード履歴といった操作ログが残っていることが前提です。
ログの保存期間や、管理者が検索・出力できる範囲は製品によって異なります。導入前に確認しておくと、調査の際に必要な記録が残っていないという事態を避けられます。原因の特定が難しい場合は、提供会社や専門事業者に相談しましょう。
グループウェアのリスクを減らす社内ルール
設定やバックアップだけでなく、使う人のルールが整っていることもリスク対策の一部です。形骸化と情報漏えいの両方を防ぐために、社内で決めておきたいことを紹介します。
情報の置き場所と使い分けを決める
グループウェアとチャットツール、メールを併用する場合は、何をどこに書くかを決めておきましょう。例えば、全社への通知は掲示板、日々のやり取りはチャット、社外とのやり取りはメールといった使い分けです。
置き場所が決まっていないと、同じ資料が複数の場所に保存され、古い版が使われたり、削除漏れが起きたりします。ルールは短くまとめて掲示板に掲載し、新しく入った社員にも伝わるようにしておくと定着しやすくなります。
教育と定期的な見直しを続ける
パスワードの管理や社外共有の注意点は、導入時に一度説明するだけでは忘れられがちです。年に1回など時期を決めて、情報セキュリティの研修や設定の点検を行いましょう。
見直しの際は、使われていない機能やフォルダ、不要になった共有設定やアカウントを洗い出します。多要素認証のように、ログイン時に複数の確認を組み合わせる仕組みが使えるかも確認するとよいでしょう。点検の結果は記録し、担当者が替わっても引き継げるようにしておきます。
セキュリティ面の特徴で比べるグループウェア
情報漏えいや運用の不備に備えるうえで確認したい、権限管理やログ、接続制限などの特徴を一覧にまとめました。
| 製品名 | 特徴 |
|---|---|
| Garoon | 複雑なアクセス権も設定しやすい中堅・大規模向けグループウェア |
| desknet's NEO | 詳細なアクセス権管理とアクセスログの記録に対応。クラウド・オンプレ両対応 |
| GroupSession | ファイルのアクセス権限設定に対応。無料版・クラウド・大規模版から選択 |
| キントーン | 操作権限の細かな管理と監査ログに対応。ノーコードで業務アプリを作成 |
| サイボウズ Office | 250名未満向け。誤送信を防ぐメッセージ機能とファイルの版管理 |
| LINE WORKS | 権限設定とログ検索の監査機能を搭載。端末紛失時の遠隔データ削除に対応 |
| HotBiz8 | IP制限と二段階認証に対応。200名まで定額のクラウド型 |
| J-MOTTOグループウェア | 接続IPアドレスの制限とAWS運用。26機能を標準搭載のクラウド型 |
リスクへの備えを確認したいグループウェア
公開範囲の設定やアカウント管理、障害時の備えといったリスクへの対策を進めやすい製品を紹介します。製品ごとの違いは資料で確認しながら比較してください。
Garoon
- 使いやすくベテランから若手社員まで社員全員に浸透する
- 管理者の負担を軽減できるシステム管理
- プラグインやAPIによる高い拡張性や豊富な連携製品
サイボウズ株式会社が提供する「Garoon」は、中堅・大規模組織向けのグループウェアです。スケジュールや施設予約、掲示板、ファイル管理、ワークフローをそろえ、複雑なアクセス権も直感的に設定できる管理画面を備えています。クライアント証明書をインストールした端末だけに接続を絞るセキュアアクセスはオプションで追加できます。なお、パッケージ版は2027年10月から順次ライセンスの販売を終了し、2033年1月末でサポートを終了すると案内されています。
desknet's NEO
- 情報の集約と、業務改善を 完全ノーコードで実現できる
- 生成AIとの連携により、アシスタントを構築、社内データの分析も
- クラウド・オンプレミス両対応で、多様な環境へ対応可能
株式会社ネオジャパンが提供する「desknet's NEO」は、管理機能が充実したグループウェアです。ユーザーと組織の階層管理、詳細なアクセス権管理、管理権限の委譲、柔軟なパスワードポリシー、アクセスログの記録といった機能を備え、公開範囲の管理や操作の追跡に役立ちます。ポータルやスケジュール、ワークフロー、文書管理などもそろえており、クラウド版とオンプレミスのパッケージ版から選べる点も特徴です。
GroupSession
- 日本企業の商習慣に沿う承認経路や座席表を用意
- テーマ変更やメニュー追加など画面を自由にカスタマイズ
- 無料版・クラウド版・大規模版から導入形態を選択
日本トータルシステム株式会社が提供する「GroupSession」は、アクセス権限やパスワードルールの設定に対応した国産のグループウェアです。ファイル管理ではアクセス権限の設定や世代管理、編集中のロックに対応し、ログイン失敗時のロックアウトも設定できます。掲示板やワークフロー、スケジュールなども備えています。自社サーバで運用する無料版、クラウド型のbyCloud、大規模環境向けのエンタープライズZIONから導入形態を選べます。
キントーン
- 表計算ソフトや専門システムよりも快適・柔軟に
- 自社よりもスピーディー＆低コストな開発
- 思いついた業務改善をすぐに実行できる
サイボウズ株式会社が提供する「キントーン」は、アクセス権や監査ログを備えた業務改善プラットフォームです。ノーコードで業務アプリをつくれ、グループウェアとしても活用できます。アプリ作成やデータ閲覧などの操作権限をアクセス権で細かく管理でき、重要な操作を通知する監査ログや変更履歴も備えています。接続できる端末を制限するセキュアアクセス（有料）やモバイルアプリによる2要素認証にも対応し、情報の取り扱いを統制しながら使いたい組織向けです。
サイボウズ Office
- チームのコミュニケーションを助ける誰でもかんたんに使える機能
- パソコン、タブレット、スマートフォンなど様々なデバイスに対応
- ユーザーのニーズに合わせて進化しつづけ、累計導入80,000社突破
サイボウズ株式会社が提供する「サイボウズ Office」は、250名未満の中小企業向けのグループウェアです。スケジュールや掲示板、メッセージ、ワークフロー、ファイル管理などをまとめて使えます。メッセージ機能では社内向けの連絡を社外の人に誤って送るミスを防げるほか、ファイル管理ではバージョン管理により誰がどのように更新したかも記録できます。オプションとしてセキュアアクセスも用意されています。
LINE WORKS
- LINEのような操作性で、誰でもすぐに使えます
- カレンダー・掲示板などの機能も充実
- 外部サービスとの連携で、もっと便利に活用いただけます
LINE WORKS株式会社が提供する「LINE WORKS」は、チャットを中心に掲示板やカレンダー、Driveなどを使えるビジネス向けサービスです。管理者向けに、組織・メンバー情報や権限の管理に加え、監査対象のサービスを選んで日時や作業内容、IPアドレスなどの条件でログを確認できる機能を備えています。端末紛失時の遠隔データ削除やファイル保存の制限にも対応し、モバイル利用に伴う情報漏えいのリスクに備えたい組織に向いています。
HotBiz8
- 一人あたり71.3円～ 圧倒的コストパフォーマンス
- 社内業務を支える豊富な機能
- まずは60日間たっぷり無料でお試しいただけます
株式会社ASJが提供する「HotBiz8」は、IP制限や二段階認証に対応したクラウド型のグループウェアです。予定表や設備予約、ワークフロー、掲示板などを備え、アクセスや保存されるデータはSSL通信で暗号化されます。アクセス権限の設定にも対応しています。IP制限は全体または機能ごとにかけられ、社外からのアクセスを遮断することもできます。ISO/IEC 27001とプライバシーマークの認証を取得している点も、導入前に確認したい項目です。
J-MOTTOグループウェア
- 1人当たり200円～の低コスト！
- 直感的にわかる画面と使いやすい26機能
- 専門知識がなくても安心。充実のサポート
リスモン・ビジネス・ポータル株式会社が提供する「J-MOTTOグループウェア」は、不正アクセス対策を講じたクラウド型のグループウェアです。スケジュールやワークフロー、文書管理など26機能を標準で備えています。ID・パスワード認証や接続IPアドレスの制限、ファイアーウォールなどを用意しており、サーバーはAWSで運用されています。機器の破損や障害に備えた低障害設計も採用しているため、サービス停止のリスクもあわせて確認したい組織の選択肢です。
まとめ
グループウェアのリスクは、情報漏えい、サービスの停止、運用の形骸化に分けて考えると、取るべき対策が見えてきます。公開範囲や権限、アカウントの管理を手順化し、障害時の代わりの連絡手段とデータの書き出し方法を確認しておきましょう。漏えい時の報告体制や操作ログの確認方法も、導入前に把握しておきたいポイントです。権限設定やログ管理の範囲は製品ごとに異なるため、資料請求をしてグループウェアを比較してみてください。
