ITトレンドがおすすめする製品・サービス
- ■重視するセキュリティ対策別
- 社外メンバーの権限を細かく設定：HUE Project Board
- SSOや多要素認証でログインを保護：Backlog、プロジェクトマネジメントDX Flagxs（フラッグス）、OBPM Neo、MyRedmine
- IPアドレスによる接続制限：Backlog、プロジェクトマネジメントDX Flagxs（フラッグス）
- 操作ログの確認と出力：Backlog
- 通信の暗号化：Mammoth Project
- ■提供事業者の体制別
- ISO/IEC 27001などの第三者認証を取得：Planisware Enterprise、プロジェクトマネジメントDX Flagxs（フラッグス）、Lychee Redmine、PROJECTINDEX
- ■提供形態別
プロジェクト管理ツールで守るべき情報とリスク
セキュリティ対策を考える前に、プロジェクト管理ツールにどのような情報が集まり、どのような経路で漏れる可能性があるのかを整理しておくことが大切です。守る対象と経路が分かれば、優先して設定すべき項目が見えてきます。
ツールに集まる情報
プロジェクト管理ツールには、タスクの内容や担当者、スケジュールだけでなく、さまざまな情報が集まります。例えば、顧客の担当者名や連絡先、見積もりや契約の資料、開発中の製品の仕様書、会議の議事録などです。
コメント欄でのやり取りにも、社外に出せない検討の経緯が含まれることがあります。添付ファイルとして保存された資料は、ダウンロードされると社外へ持ち出されやすい点にも注意が必要です。どの情報をツールで扱ってよいかを、社内の情報区分にあわせて決めておきましょう。
情報漏えいにつながる経路
プロジェクト管理ツールからの情報漏えいは、外部からの不正なアクセスだけで起こるわけではありません。パスワードの使い回しによるアカウントの乗っ取り、権限の設定の誤り、共有リンクの転送といった複数の経路が考えられます。
特に、社外のメンバーを招待する場面では、本来見せる必要のないプロジェクトまで閲覧できる状態になっていないかを確認する必要があります。契約が終わった協力会社のアカウントが残っていると、意図しない閲覧が続くおそれもあります。経路ごとに対策を考えることが大切です。
社外メンバーとの共有で設定したい権限
プロジェクト管理ツールは、取引先や協力会社とプロジェクトを進める場面で特に役立ちます。その分、社外のメンバーに見せる範囲を正しく設定することが、セキュリティの土台です。権限設定で確認したい3つの項目を紹介します。
プロジェクトごとの閲覧と編集の範囲
社外のメンバーには、関わるプロジェクトだけを閲覧できるように設定するのが基本です。プロジェクトごとに参加者を指定できるか、閲覧のみ・編集可能といった権限を分けられるかを確認しましょう。
ツールによっては、同じプロジェクトの中でも、特定のタスクやフォルダだけを非公開にできるものがあります。社内向けの原価や評価に関する情報を同じプロジェクトで扱う場合は、こうした細かい設定ができるかも選定時の確認項目です。権限は必要最小限から与え、必要に応じて広げる考え方が安全です。
ゲストの招待と共有リンク
社外の人をゲストとして招待する機能や、ログインせずに閲覧できる共有リンクの機能は便利な一方、管理が行き届かないと情報が広がる原因になり得ます。共有リンクは転送されると、意図しない人にも見られる可能性があるためです。
ゲストを招待できる人を管理者に限定できるか、共有リンクに有効期限やパスワードを設定できるかを確認しましょう。社内のルールとして、機密性の高い資料は共有リンクで渡さないと決めておくことも有効です。
契約終了時のアカウントの削除
プロジェクトが終わったり、協力会社との契約が終了したりしても、アカウントがそのまま残っているケースがあります。使われていないアカウントは、パスワードが漏れた場合に気づかれにくく、不正なアクセスの入口になるおそれがあります。
プロジェクトの完了時に社外メンバーの権限を見直す手順を決め、管理者が定期的にアカウントの一覧を確認しましょう。最終ログイン日時を一覧で確認できるツールであれば、長く使われていないアカウントを見つけやすくなります。
プロジェクト管理ツールのログインと通信を守る機能
権限を正しく設定しても、アカウントそのものが乗っ取られると情報は守れません。ログインの仕組みと、データの通り道や保存先を保護する機能もあわせて確認しましょう。代表的な3つの機能を紹介します。
SSOと多要素認証
SSOとは、1回のログインで複数のサービスを使えるようにする仕組みです。社内で使っている認証基盤とプロジェクト管理ツールをSSOでつなげると、退職者のアカウントを認証基盤で止めるだけで、ツールにもログインできなくなります。
多要素認証は、パスワードに加えてスマートフォンのアプリなどで本人確認を行う仕組みです。パスワードが漏れても、それだけではログインできない状態にできます。SSOや多要素認証が全プランで使えるのか、上位プランに限られるのかは製品ごとに異なるため、料金とあわせて確認しましょう。
IPアドレスや端末による接続制限
接続できる場所を限定したい場合は、IPアドレスによる制限が役立ちます。IPアドレスとは、インターネット上で機器を識別するための番号です。社内ネットワークやVPNからの接続だけを許可すれば、自宅や外出先からの不正なログインを防ぐ効果が期待できます。
一方で、社外のメンバーやテレワーク中の社員も使う場合は、制限が業務の妨げになることがあります。社内のメンバーと社外のゲストで制限を分けられるか、会社が管理する端末からの接続に限定できるかといった選択肢も確認しておきましょう。
通信と保存データの暗号化
プロジェクト管理ツールとWebブラウザの間の通信が暗号化されていれば、通信の途中で内容を読み取られるリスクを抑えられます。あわせて、サーバーに保存されたデータや添付ファイルが暗号化されているかも確認しましょう。
暗号化の方式や対象の範囲は、提供事業者のセキュリティに関する資料に記載されていることがあります。記載がない場合は、資料請求や問い合わせの段階で確認しておくと安心です。オンプレミス型の場合は、暗号化の設定を自社で行う必要があるかも確かめておきましょう。
ITトレンドでは、最新の製品・サービスを多数比較・掲載しています。まず資料請求して、さまざまな製品の機能や特徴を比較してみてください。忙しい業務時間内でも、各社に問い合わせる手間なく、たった1回の入力（約60秒）でプロジェクト管理ツールの一括資料請求が可能です。浮いた時間で、じっくりと製品の比較検討を進めましょう。
提供事業者のセキュリティ体制
クラウド型のプロジェクト管理ツールでは、データを保管するサーバーの管理を提供事業者が担います。そのため、ツールの機能だけでなく、提供事業者がどのような体制でデータを守っているかも確認対象です。確認しやすい2つの項目を紹介します。
第三者認証と公開資料
提供事業者の情報管理の体制は、第三者による認証の取得状況から確認できる場合があります。例えば、情報セキュリティの国際規格であるISO/IEC 27001や、クラウドサービス向けのISO/IEC 27017などです。
認証の対象範囲が、プロジェクト管理ツールのサービスを含んでいるかも確認しましょう。セキュリティの取り組みをまとめた資料や、セキュリティに関する質問票への回答を用意している事業者もあります。社内の情報システム部門が確認する項目と照らしあわせて、必要な資料を依頼すると効率的です。
データの保存場所とバックアップ
データがどの国や地域のサーバーに保存されているかは、社内規程や取引先との契約に関わる場合があります。国内での保存を求められている場合は、保存場所を選べるか、国内に限定されているかを確認します。
あわせて、障害や災害に備えたバックアップの頻度と保管期間、誤って削除したデータを復元できるかも確認しておきましょう。解約したときにデータがいつ削除されるのか、事前にデータを出力できるのかも、情報管理のうえで大切なポイントです。
運用で続けるプロジェクト管理のセキュリティ
セキュリティの設定は、導入時に一度行えば終わりではありません。メンバーの入れ替わりや使い方の変化にあわせて、定期的に見直す運用が欠かせません。日々の運用で続けたい3つの対策を紹介します。
操作ログの定期的な確認
操作ログとは、誰がいつどのような操作をしたかの記録です。ログインの履歴や、ファイルのダウンロード、権限の変更などを記録できるツールであれば、不審な操作に早く気づけます。
ログは記録されていても、確認しなければ役立ちません。深夜のログインや大量のダウンロードなど、確認する観点を決めて定期的にチェックしましょう。確認の担当を1人に任せず、複数人で見られる体制にしておくと、見落としを防ぎやすくなります。ログの保存期間も確認しておきたい項目です。
外部アプリ連携と添付ファイルの管理
プロジェクト管理ツールは、チャットやストレージ、カレンダーといった外部のアプリと連携できるものがあります。連携を許可すると、外部のアプリがツール内のデータにアクセスできるようになるため、連携の範囲は管理者が把握しておく必要があります。
連携を追加できる人を限定し、使われていない連携は解除しましょう。添付ファイルも、プロジェクトの完了後に不要なものが残り続けると、管理の手間とリスクが増えます。保存期間を決めて整理する運用を取り入れておくと安心です。
利用ルールの整備と教育
ツールの設定だけでは、利用者の操作による情報漏えいを防ぎきれません。パスワードの管理方法、社外への共有のルール、扱ってよい情報の範囲を、利用ルールとして文書にまとめておきましょう。
新しいメンバーが加わるときや、社外メンバーを招待するときには、ルールを説明する機会を設けます。誤った操作に気づいたときの報告先を決めておけば、問題が大きくなる前に対応できます。ルールは使い方の変化にあわせて見直し、最新の状態を保つことが大切です。
セキュリティ機能で比べるプロジェクト管理ツール
ログインの保護や接続制限、社外メンバーの管理、提供事業者の第三者認証など、セキュリティの観点で確認したいポイントを製品ごとに整理しました。
| 製品名 | 特徴 |
|---|---|
| Backlog | 2段階認証・IP制限・アクセスログに対応。有料のNulab PassでSAML認証も可能 |
| プロジェクトマネジメントDX Flagxs（フラッグス） | ISO/IEC 27001・27017を取得し、SSOとIPアドレス制御をオプションで提供 |
| Planisware Enterprise | ISO/IEC 27001とSOC 2を取得し、オンプレミスとクラウドで提供 |
| Lychee Redmine | ISO/IEC 27701を取得し、ロールと権限の設定やオンプレミス版での運用に対応 |
| HUE Project Board | 社外ユーザーとゲストを分けて管理し、招待できるドメインをプロジェクトごとに制限 |
| OBPM Neo | Microsoft 365のアカウントで利用でき、Azure ADによる多要素認証を設定できる |
| MyRedmine | Redmineをクラウドで提供し、エンタープライズプランでSAML認証（SSO）に対応 |
| PROJECTINDEX | ISO27001認証を取得し、タスク・進捗・リソース・コストを一元管理できる |
| Mammoth Project | 256bitSSLの暗号化通信を用い、プライベートクラウド版やオンプレミス版も選べる |
社外共有の安全性を高めるプロジェクト管理ツール
認証や接続制限の機能、提供事業者の認証取得状況など、取引先や協力会社と情報を共有する前に確かめておきたい点に対応した製品を紹介します。
Backlog
- 担当者と期限が明確で、確認漏れや遅延を防止
- 直感的な操作と親しみやすいデザインで誰でも使いやすい
- 人数無制限の定額制で、チーム拡大も安心
株式会社ヌーラボが提供する「Backlog」は、2段階認証やIP制限、アクセスログの提供といったセキュリティ機能を備えたプロジェクト管理ツールです。有料のNulab Passを導入すれば、利用中のIDプロバイダーと連携したSAML認証や監査ログのダウンロードにも対応できます。セキュリティシートも提供されており、導入前の確認に役立ちます。課題の作成・更新の通知をチャットツールで受け取れるなど、外部サービスとの連携機能も搭載。クラウドの利用が難しい企業向けにオンプレミス製品も用意されています。
プロジェクトマネジメントDX Flagxs（フラッグス）
- 計画から実行、レポートまで考え抜かれた設計思想
- 現場の定着にこだわった圧倒的に使いやすいExcelライクな操作性
- 円滑なマネジメントサイクルを実現するコンサルティングサポート
フラッグス株式会社が提供する「プロジェクトマネジメントDX Flagxs（フラッグス）」は、ISO/IEC 27001・27017を取得した国産のクラウド型プロジェクト管理基盤です。セキュリティオプションとしてSSOとIPアドレス制御を利用でき、権限定義やユーザー管理の機能も備えています。WBSを標準化して複数のプロジェクトを同じ尺度で管理でき、作業実績の入力にあわせて進捗をリアルタイムに集計します。対象従業員規模は50名以上で、参考価格は22,000円～です。
Planisware Enterprise
- AI搭載の統合プロジェクト管理システム
- 研究開発、IT、エンジニアリングなど多様なプロジェクトに対応
- 世界中の主要企業がプロジェクトおよびポートフォリオ管理に活用
プラニスウェア・ジャパン株式会社が提供する「Planisware Enterprise」は、ISO/IEC 27001とSOC 2を取得した統合プロジェクト管理システムです。オンプレミスとクラウドの両方で提供されているため、社内規程にあわせてデータの置き場所を検討できます。スケジュールやリソース、コスト、リスクのデータを連動させて一元管理でき、WBSの提案やリスクの検知などAIを活用した機能も搭載。研究開発やIT、エンジニアリングなど、多様なプロジェクトの管理に対応しています。
Lychee Redmine
- ガントチャートで進捗を見える化
- 工数と予算をリアルタイムに管理
- プロジェクトレポートを自動作成
株式会社アジャイルウェアが提供する「Lychee Redmine」は、セキュリティ認証としてISO/IEC 27701を取得している国産のプロジェクト管理ツールです。ロールと権限の設定機能を備えており、メンバーの役割に応じて操作できる範囲を分けられます。クラウド版に加えてオンプレミス版も提供されているため、データを自社のサーバーで管理したい場合にも選べます。ガントチャートや工数・予算の管理で、プロジェクトの進捗状況と作業負荷を見える化できる点も特徴です。
HUE Project Board （株式会社ワークスアプリケーションズ）
- 使い慣れた表計算ソフトの操作感！直感的な操作で利用が可能
- オンラインシェア型でプロジェクト進捗状況をリアルタイム確認
- プロジェクト毎に招待制限をかけられ、セキュリティも安心
OBPM Neo （株式会社システムインテグレータ）
- 240社以上の導入実績！PMBOK準拠の質の高い管理が可能！
- 工数・原価管理や進捗管理、要員管理や品質管理を統合できる！
- 短期間で運用できるような導入支援サービスを提供！
MyRedmine （ファーエンドテクノロジー株式会社）
- ファーエンドテクノロジー運営のRedmine開発協力。
- Redmineの新機能にいち早く対応するRedMicaを提供
- エンタープライズプランでSAML認証（SSO）に対応
PROJECTINDEX （特定非営利活動法人エティック）
- 導入実績1,000社以上。
- ISO27001認証取得済みでセキュリティも万全。
- 既存業務システムとの連携が可能。
Mammoth Project （パラダイスウェア株式会社）
- 5つのビュー機能で抜け漏れのないタスク管理を実現！
- 議事録等の記録保存で「言った、言わない」のトラブル回避！
- 外部ツール連携やイン・エクスポートでより効率的な業務が可能！
まとめ
プロジェクト管理ツールのセキュリティは、社外メンバーの権限設定、SSOや多要素認証、IPアドレス制限や暗号化といった機能を土台にします。そのうえで、提供事業者の体制と日々の運用を組み合わせて考えます。顧客情報や開発計画が集まり、社外とも共有するツールだからこそ、操作ログの確認や利用ルールの整備も欠かせません。自社に必要なセキュリティ機能を備えたプロジェクト管理ツールを選ぶため、まずは資料請求して比較してみてください。
