ITトレンドがおすすめする製品・サービス
- ■取引先アカウントと通信の保護別
- 接続元のIPアドレスを制限できる：W2 Commerce BtoB
- 企業ごとにアカウントの権限設定ができる：ecbeing BtoB
- パスワードやログインで閲覧を限定したサイトにできる：COREC、Bカート
- 通信を暗号化できる：W2 Commerce BtoB、CBP
- ■情報の出し分けと記録別
- 取引先ごとに商品や単価の表示を分けられる：W2 Commerce BtoB、ecbeing BtoB、EC-Rider B2B Ⅱ、EC-Connect+ BtoB、COREC、Bカート
- 注文の変更履歴を記録できる：CBP
- ■外部からの攻撃への備え別
- WAFを導入している：W2 Commerce BtoB、EC-Rider B2B Ⅱ
- 脆弱性診断を実施している：EC-Connect+ BtoB、CBP
受発注システムのセキュリティで想定したいリスク
受発注システムは、注文内容や取引条件、取引先の担当者情報など、社外に知られたくない情報を扱います。社外の利用者がいる仕組みならではのリスクを把握し、対策の優先順位を決めましょう。
なりすましによる不正な発注
取引先のIDとパスワードが第三者に知られると、本人になりすまして注文を入れられるおそれがあります。不正な注文に気づかず出荷してしまうと、商品の損失だけでなく、取引先との間で請求をめぐる確認作業も発生します。返品や再出荷の手配まで必要になると、対応にかかる時間はさらに増えます。
パスワードの使い回しや、フィッシングメールによる盗み取りなど、IDが漏れる経路は一つではありません。ログイン時の認証を強める対策と、普段と異なる注文に気づける運用の両方を組み合わせることが大切です。例えば、普段の注文量を大きく超える注文や、登録外の届け先への出荷依頼は、出荷前に取引先へ確認する手順を設けておくと安心です。
取引条件や注文履歴の漏えい
受発注システムには、取引先ごとの単価や掛け率、注文の履歴が蓄積されます。これらが他社に見えてしまうと、価格交渉や取引関係に影響が出る可能性があります。
漏えいの原因は、外部からの不正アクセスに限りません。権限設定を誤って他社向けの単価が表示される、退職した担当者のIDが残ったままになるといった、設定や管理の不備から起こるケースもあります。技術的な対策と運用のルールをあわせて見直しましょう。取引先から預かる担当者の氏名や連絡先も、個人情報として適切に扱う必要があります。
受発注システムのセキュリティと取引先アカウント管理
取引先が使うアカウントは、自社の従業員のアカウントと違い、利用者の異動や退職を自社で直接把握できません。発行から停止までの流れを決め、取引先と協力して管理する体制をつくります。
担当者ごとのID発行と認証の強化
取引先の社内で1つのIDを複数人が共有すると、誰が注文したのかを後から特定できません。可能な範囲で担当者ごとにIDを発行し、操作の記録と利用者を結びつけられるようにしましょう。
認証を強める方法には、パスワードに加えてスマートフォンのアプリなどで本人確認を行う多要素認証や、接続元のIPアドレスを限定する方法があります。対応している方式は受発注システムによって異なるため、取引先の利用環境で使えるかもあわせて確認しましょう。認証の手順が増えると取引先の負担も増えるため、導入時には操作方法の案内も用意します。
異動や退職に伴うIDの停止
取引先の担当者が異動や退職をしても、自社に連絡が来なければIDは使える状態のまま残ります。取引先に変更があったら連絡してもらうよう依頼し、窓口と手順を文書で共有しておきましょう。取引先の管理者が自社の担当者IDを追加や停止できる機能があれば、連絡の待ち時間を減らせる場合があります。
あわせて、一定期間ログインのないIDを定期的に洗い出して確認する運用も有効です。棚卸しの作業を特定の担当者だけに任せると滞る場合があるため、担当を複数人にし、実施した記録を残すようにします。
取引先ごとの単価や在庫情報を出し分ける権限設定
受発注システムでは、取引先によって見せる商品や単価、在庫の情報を変えるケースがあります。社内の担当者に与える権限とあわせて、誰に何を見せるかを設計します。
取引先ごとの商品と単価の表示制御
取引先ごとに異なる単価や、特定の取引先だけに扱う商品がある場合は、ログインした取引先に応じて表示を切り替える設定が必要です。設定を誤ると、別の取引先向けの単価が見えてしまうおそれがあります。
新しい取引先を登録したときや単価を改定したときは、本番で公開する前にテスト用のアカウントで表示を確認する手順を設けましょう。表示の切り替えをどの単位で設定できるかは製品によって異なるため、自社の価格体系で運用できるかを確認します。在庫数を取引先に公開する場合も、どこまでの情報を見せるかを決めておきましょう。
社内担当者の権限と操作ログ
社内でも、受注の登録、単価の変更、取引先マスタの編集といった操作ごとに、担当者が持つ権限を分けておくと誤操作の影響を抑えられます。単価を変更できる人を限定し、変更時には承認を経る運用も考えられます。
操作ログとは、誰がいつどの操作をしたかを記録したデータです。ログが残っていれば、注文内容の変更や単価の修正について後から経緯を確認できます。ログの保存期間や、検索や書き出しができるかも選定時に確かめておきましょう。
ITトレンドでは、最新の製品・サービスを多数比較・掲載しています。まず資料請求して、さまざまな製品の機能や特徴を比較してみてください。忙しい業務時間内でも、各社に問い合わせる手間なく、たった1回の入力（約60秒）で受発注システムの一括資料請求が可能です。浮いた時間で、じっくりと製品を比較検討し進めましょう。
FAXやメールから切り替えて減らせるリスク
受発注システムのセキュリティは、新たなリスクへの備えだけでなく、従来の受発注方法に潜んでいたリスクを減らす面もあります。FAXやメールで起こりうる事故と比べて考えると、導入の意義を整理できます。
誤送信と紙の書類の紛失
FAXでは番号の押し間違いで別の会社に注文書が届く、メールでは宛先の選び間違いで添付ファイルを誤送信するといった事故が起こる可能性があります。受信した紙の注文書を机に置いたままにして、紛失するおそれもあります。紙の注文書は保管場所や廃棄の方法まで管理する必要があり、手間もかかります。
受発注システムでは、注文データが決まった取引先と自社の間だけでやり取りされるため、宛先を誤る余地を小さくできます。ただし、システム内の権限設定が正しいことが前提のため、前の章で触れた表示の確認とあわせて運用しましょう。
注文内容の食い違いと変更履歴の記録
電話やFAXでの注文は、後から「その数量では頼んでいない」といった食い違いが起きた際に、記録をたどりにくい面があります。受発注システムでは、注文の日時や入力者、変更の履歴がデータとして残ります。
履歴が残ることで、注文内容の確認や、誤った変更の発見がしやすくなります。取引先との間で変更や取り消しをどの時点まで受け付けるかをルールとして決め、システムの設定とそろえておくと、確認の手間も抑えられます。
障害や攻撃で受注が止まったときの備え
受発注システムが止まると、取引先からの注文を受けられず、出荷や納品にも影響が広がります。停止の原因は一つに限らないため、復旧の手順と代わりの受付方法を事前に準備しておきます。
バックアップとランサムウェアへの備え
ランサムウェアとは、データを暗号化して使えなくし、復旧と引き換えに金銭を要求する不正なプログラムです。取引先とつながる業務システムが被害を受けると、自社だけでなく取引先の業務にも影響する可能性があります。
備えとして、バックアップを本番環境とは切り離して保管し、復元の手順を定期的に試しておく方法があります。クラウド型の場合は、ベンダーがどの範囲のバックアップを取得し、どの程度の時点まで戻せるのかを確認しましょう。オンプレミス型の場合は、サーバやOSの更新プログラムを適用する担当と手順も決めておきます。
停止時の連絡と代替の受付方法
停止の原因が自社側か、ベンダー側か、通信回線かによって、復旧までの時間や連絡先は変わります。障害の通知を誰が受け取り、取引先へどのように知らせるかを決めておきましょう。クラウド型であれば、ベンダーが障害情報を公開する方法や、稼働率の目標を示しているかも確認しておくと、取引先への説明にも役立ちます。
復旧までの間は、FAXやメールで一時的に注文を受け付けるなど、代替の方法を用意しておくと受注の取りこぼしを抑えられます。代替手段で受け付ける際の本人確認の方法も決めておくと、停止に便乗したなりすましにも備えられます。復旧後に代替手段で受けた注文をシステムへ登録し直す手順も、あわせて文書にしておきます。
セキュリティ面で比べる受発注システム一覧
取引先の利用を前提に、アカウントの保護や取引先ごとの表示制御、外部からの攻撃への備えといったセキュリティ面の特徴を製品ごとにまとめました。
| 製品名 | 特徴 |
|---|---|
| W2 Commerce BtoB | IP接続制限やSSL通信、WAFに対応。取引先ごとに商品・価格を出し分け |
| CBP | TLS1.3で通信を暗号化。注文の変更履歴や差異を記録して確認できる |
| ecbeing BtoB | 企業ごとのアカウント管理や権限設定・承認に対応。得意先別に商品を案内 |
| EC-Rider B2B Ⅱ | ISMAP対応インフラでWAFを標準搭載。バイヤーごとに卸価格を設定 |
| EC-Connect+ BtoB | オープン前や納品時に脆弱性を検査。攻撃と判断した通信は24時間体制で遮断 |
| COREC | パスワードを設定したクローズドな受注ページを作成。取引先別に価格を変更 |
| Bカート | ログインしないと閲覧できない会員専用サイトに対応。取引先別に表示を制御 |
取引先アカウントと取引条件を守る受発注システム
取引先に見せる情報の制御や、通信の暗号化、攻撃への対策を備えた受発注システムを紹介します。多要素認証への対応状況は製品詳細ページだけでは確認できないため、導入検討時に提供企業へ確認してください。
W2 Commerce BtoB
- 電話・FAXによる受発注のオンライン化
- 取引先管理 / 商品管理の一元化による運用効率化を実現
- お問い合わせ対応の業務負担を軽減
W２株式会社が提供する「W2 Commerce BtoB」は、法人取引向けのECプラットフォームです。SSL通信やIP接続制限、BASIC認証、WAFといったセキュリティ対策を備えています。取引先ごとにECサイトに表示する商品や価格、決済方法を出し分けられるため、他社向けの取引条件が見えないように設定できます。担当者とひも付けて、その担当者が所属する取引先を登録・管理することも可能です。取引先のランクに応じた割引率の設定や、基幹システムとのAPI連携にも対応しています。
CBP
- 取引先と同じ取引データを共有し、認識齟齬・突合・手戻りを削減
- 柔軟な個別仕様対応が可能、ERP側のクリーンコアに貢献
- 電帳法・インボイス制度対応、ISMS認証取得で安心
株式会社テクノスジャパンが提供する「CBP」は、セキュリティ対策を具体的に公開している企業間取引向けのSaaS型プラットフォームです。通信とデータの暗号化（TLS1.3対応）や脆弱性診断の実施が挙げられています。数量や納期の変更、分納の指示は後続工程へ一貫して連携され、変更履歴や差異も記録されるため、注文内容の食い違いを後からたどりやすくなります。権限や利用部門を管理する機能も備えており、社内で扱える範囲を担当ごとに分けたい企業にもあう製品です。
ecbeing BtoB
- BtoB EC構築で新規顧客を広く開拓し売上の拡大
- 作業の効率化や業務負担を軽減、案件の集中
- 商流の間に販売店などを仲介し3社間にメリットを付与
株式会社ecbeingが提供する「ecbeing BtoB」は、企業ごとにアカウントの管理や権限設定・承認ができる、中堅・大手向けのBtoB ECサイト構築プラットフォームです。得意先にあわせて商品やコンテンツの表示を選べるため、販売価格の異なる商品や販売できない商品を取引先ごとに分けて案内できます。セキュリティ対策はECシステム、社内体制、ネットワーク・インフラの3つの軸で示されており、IPSやファイアウォール、アンチウイルスによる保護も含まれます。
EC-Rider B2B Ⅱ
- 豊富な機能を搭載！セミオーダー式でのサイト構築が可能
- eマーケットプレイスで、販路の拡大や新規顧客の開拓を実現
- 安心・安全な利用環境を強固なセキュリティで実現
株式会社フライトソリューションズが提供する「EC-Rider B2B Ⅱ」は、ISMAP対応のインフラとWAFの標準搭載でサイバー攻撃に備える、受発注サイト構築ツールです。個店やチェーン店、代理店といったバイヤーの組織階層を管理でき、バイヤーごとの卸価格や商流を設定できます。会員制の販路設定や、会員ランク別の下代設定も主な機能に含まれます。取引先ごとに見せる商品と価格を細かく分けたい企業の選択肢です。
EC-Connect+ BtoB
- アナログな電話・FAX受発注業務をシステム化
- 既存業務を変えることなく、基幹システムや在庫管理と連携か可能
- 脆弱性診断ツール VEXの義務化で、万全のセキュリティ対策
トーテックアメニティ株式会社が提供する「EC-Connect+ BtoB」は、脆弱性診断ツール「VEX」によるセキュリティ検査を組み込んだBtoB-ECプラットフォームです。検査は、サイトのオープン前に加えて追加カスタマイズの納品時にも実施されます。サイトへの攻撃と認められ遮断できる通信には24時間365日で処置し、Webサーバのアクセスログも15分ごとにチェックし、不正な文字列の有無を確認する体制です。取引先ごとに表示する商品や価格を出し分ける機能や、会員登録の承認フロー機能も備えています。
COREC （株式会社ラクーンコマース）
- 受注情報を複数人でリアルタイムに共有！スマホ通知もOK！
- 取引先ごとのクローズドな受注ページを作成可能！
- スマホからFAX・メール送信可能！取引先ごとのニーズに対応！
Bカート （株式会社Dai）
- 導入企業1500社突破！モバイル受注にも対応！
- 即日からスモールスタートが可能！
- サービス連携で、幅広い業務をサポート！
まとめ
受発注システムのセキュリティは、社外の取引先が利用する前提で考えることが大切です。担当者ごとのID発行や多要素認証、異動や退職時のID停止、取引先ごとの単価の出し分けと操作ログの確認を組み合わせ、なりすましや情報漏えいに備えましょう。FAXやメールで起こりうる誤送信を減らせる一方、停止時の代替手段も欠かせません。複数の受発注システムを資料請求し、セキュリティ機能と運用支援を比較してください。
