「LINE WORKS」は、近年注目を集めているビジネスチャットツールです。この記事では、LINE WORKSを安心して利用できるよう、セキュリティ対策としてどのような機能があるのかに絞って、分かりやすく解説します。さらに利便性を高め、セキュリティを向上させられるソリューションも紹介しますので、ぜひ併せて導入をご検討ください。
LINE WORKSのセキュリティ認証レベルは世界標準
チャットツールは便利である一方、社内での機密情報をやり取りするには、セキュリティは本当に大丈夫なのか、懸念されがちです。そこで、まずLINE WORKSが確保している、外部専門機関によるセキュリティ評価(認証レベル)について解説します。
SOC2/SOC3(System and Organization Controls)
LINE WORKSを提供しているワークスモバイルジャパン株式会社は2015年の設立時から、LINE WORKSのセキュリティやプライバシーについて、「SOC2/SOC3認証」の報告書を取得しています。
「SOC2およびSOC3認証」とは、米国公認会計士協会(AICPA)によるTrustサービスの原則(Trust Services Principles and Criteria)に照らし、サービス業務プロセスどおり設計・運営されているかを外部監査機関が評価しているものです。評価ポイントは以下の5点です。
- セキュリティ
- 可用性
- 処理のインテグリティ
- 機密保持
- プライバシー
例えば、1つめのセキュリティに関する事項では、次の2点が挙げられています。
- 暗号化をはじめ、利用者認証、アクセス統制、物理的セキュリティなどで統制し、顧客のデータを不正アクセスなどから安全に保護すること
- 誤用や濫用の防止、周期的なモニタリングを行うこと
ISO/IEC 27001、27017、27018
近年はランサムウェアや標的型攻撃などネットワークを介した脅威がより高度化しているため、企業はそれに対応したISMS(情報セキュリティマネジメントシステム)の構築が不可欠です。
そこでLINE WORKSでは、ISO/IEC 27001、27017、27018の認証報告書を2016年から取得し、適切な運用に努めています。これらは、自社で保護すべき情報資産について、機密性(Confidentiality)、完全性(Integrity)、可用性(Availability)を担保し、不具合があった場合には改善できる体制を整えるための国際規格です。なお、27001、27017、27018には、それぞれ以下の違いがあります。
ISO/IEC 27001
組織が保有する情報について、さまざまなリスクを適切に管理する、情報セキュリティマネジメントシステム(ISMS)の国際規格。
ISO/IEC 27017
ISO/IEC 27017はISMSの管理範囲をクラウドサービスまで拡大したもので、クラウドサービスを提供する組織と利用する組織それぞれに適用される規格。ISO/IEC 27018
管理範囲をクラウド上に保管されている個人情報のみとし、クラウドサービスを提供している組織だけに適用されるガイドライン。
LINE WORKSに乗っ取りや情報漏えいの危険性は本当にないのか？
コミュニケーションツールとして高いシェアを誇るのが「LINE WORKS」です。しかし、便利な反面、情報漏えいなどのセキュリティリスクも懸念されています。ここでは、LINE WORKS乗っ取りや情報漏えいのリスクについて、具体的な事例を交えながら詳しく解説していきます。
ログイン情報の漏えいによる不正アクセスの可能性
LINE WORKSへのログインには、IDとパスワードを使用するため、アカウントのIDとパスワードが漏えいすると重大なセキュリティ事故となります。
社員のふりをする「なりすまし」で社員のIDやパスワードを聞き出し、不正アクセスをするケースが多いです。不正アクセスによって、アカウントを乗っ取り、企業イメージを損なう行為をする被害も発生しています。
アカウントの乗っ取りや不正アクセスの被害を防ぐために、ID管理を徹底し、パスワードを定期的に変更、アクセス権限の設定などの対策が重要になります。
有害データへのアクセスによるウイルス感染の恐れ
LINE WORKSを通じて受信したファイルやリンクには、有害なデータやウイルスが含まれている可能性があります。ユーザーが不正なファイルを開いたり、悪意のあるリンクをクリックしたりすることで、端末がウイルスに感染し、重要なデータが侵害されるおそれがあります。
組織全体がウイルスやマルウェアの影響を受ける可能性があるため、セキュリティ対策が必須です。
ファイル誤送信による情報漏えいリスク
LINE WORKSでは、利用者の人為的ミスによる情報漏えいの危険性もあります。人為的ミスによる情報漏えいの代表例が、メッセージ誤送信、ファイル誤送信です。
LINE WORKSには、ファイル共有機能が備わっていますが、送り先を間違えて重要なデータが第三者の手に渡ると重大なセキュリティ事故につながります。
また、マルウェアやウイルスに感染したファイルとは知らずにファイル共有をしてしまい、共有先の相手もウイルス感染するおそれもあります。ファイル共有などで、データをやり取りする場合は、安全なファイル化を確認し、宛先の二重チェックも欠かさず行いましょう。
LINE WORKSのデータ管理体制は厳重
LINE WORKSは、そのデータ管理体制において、厳格なセキュリティ対策を施しています。以下にその主要なポイントを紹介します。
LINE WORKSのすべての通信を暗号化している
LINE WORKSは、すべての通信を最新かつ強固な暗号化技術で保護することにより、情報漏えいや不正アクセスなどのリスクを徹底的に排除しています。利用されている代表的な暗号化技術は、TLS暗号化やRSA暗号化です。
また、暗号化技術に加えて、ユーザーとLINE WORKSサーバー間の通信にはサーバー証明書による認証が行われたり、暗号化キーの定期的な更新などさまざまなセキュリティ対策を組み合わせて高い安全性を実現しています。
日本国内のデータセンターで管理されている
LINE WORKS内で扱うデータは全て、日本国内にある専用のデータセンターで厳重に管理されています。その理由は、日本国内の法令に基づいたデータ保護基準を遵守し、ユーザーのプライバシーを最大限に保護するためです。
データセンターは、厳格なセキュリティ対策が施された高セキュリティな施設であり、不正アクセスや災害からデータを守る仕組みが構築されています。国内の専用データセンターでデータが管理されていることで、ユーザーは安心して利用できるでしょう。
24時間365日体制でモニタリング
LINE WORKSのデータは、24時間365日体制でセキュリティ専門チームによって監視されています。セキュリティの管理体制が整っていることは、LINE WORKSの特徴の1つです。
セキュリティ専門チームが、システムの稼働状況やセキュリティログを常に監視し、異常をいち早く検知・対応します。また、最新の脅威情報に基づいて防御策を更新し、常にユーザーのデータを安全に守る体制を維持しています。
LINE WORKSの豊富なセキュリティ機能
便利な機能を安心して使えるように、LINE WORKSではさまざまなセキュリティ機能を提供しています。
監査･監視(モニタリング)機能
まず、メンバーの利用履歴をチェックできる監査機能があります。ログは180日間保存され、一定期間内の検索も可能です。また、必要に応じて、トーク内容や送信ファイルの中身も確認できる(モニタリング)機能もあるので、不正防止に役立ちます。
確認方法は、以下のとおりです。
- メニューの「監査」から管理者画面を開く
- 上部にある「期間」あるいは虫眼鏡アイコンをクリックし、自由に条件を設定して検索する
- ログを表示させて、画面右側の「ダウンロード」から監査ログのダウンロードも可能
ただし、フリープランの場合は検索期間が14日間に限られるほか、ログダウンロードも対応していないため注意が必要です。
アドミン権限(管理者権限)
LINE WORKSを運用するにあたり、複数の管理者権限を実装できます。2023年2月16日以降開設したドメインから与えられる既定の権限としては、以下の3つです。
- 最高管理者
- 副管理者
- 運用担当者
ただし、権限ランクによってアクセスできるメニューや、行える管理範囲には差異があるため、注意が必要です。
例えば、最高管理者はすべてのメニューへのアクセス権限を保有しますが、副管理者及び運用管理者には「サービス解約」の権限はありません。また、運用管理者は、基本設定やメンバー、サービスの3メニューしかアクセスできなくなっています。
契約プランによっては、以下のように新しく管理者権限を作成可能です。
管理者画面左側メニューの「セキュリティ」から「管理者権限」を選択し、「+権限の作成」をクリックし、権限名を入力します。アクセスできる範囲を設定するには、「権限の設定」タブから「権限の修正」をクリックし、アクセスを許可する管理者画面のメニューを選択して完了です。
さらに既定、新規いずれでも管理者権限をメンバーに付与するには、管理者画面の左側メニューの「セキュリティ」から「管理者権限」を選択します。「管理者権限」で権限を選択、「管理者」タブから「管理者の追加」をクリックし、メンバーを選択して完了です。
遠隔デバイス管理(MDM)
LINE WORKSアプリがインストールされたデバイスを紛失するリスクに備えて、遠隔から初期化できる遠隔デバイス管理機能(MDM）も搭載されています。
管理者は、遠隔からデバイスにインストールされたLINE WORKSモバイル版アプリのデータを削除できるほか、デバイスの初期化まで行えるのが特徴です。
ここでの注意点として、管理者画面での有効化ならびに、各メンバーがデバイスでMDMを「有効」にしなければ遠隔操作は実行できません。MDMを必ず有効にしたければ、「必須」にチェックを入れておきましょう。
OSの制約により、MDMのプロファイルはひとつしか利用できません。ただし、すでに他社のMDMを利用している場合は、外部MDM連携により、LINE WORKSにログインするモバイル端末を制限することも可能です。
認証方式(ログイン方式)
LINE WORKSでは、管理者が許可した複数のログイン方法から選べるようになっています。
例えば、一般的なIDとパスワードの入力方式や、スマホ端末の生体認証などです。
一方で、ログインの入り口が多数あるため、紛失や失念などセキュリティ面での不安を感じられるかも知れません。LINE WORKSの利便性を確保しながらより安全に運用したい場合は、併せてセキュリティを強化できるソリューション導入もおすすめです。
メールのアクセス制限
LINE WORKSはメールのセキュリティを重視し、情報管理を強化しています。個別に「公開」「社外秘」「機密」などのステータスを付与することで、情報のセキュリティレベルを柔軟に設定可能です。
特に、「社外秘」「機密」ステータスでは、ドキュメントの有効期限設定や転送禁止などの機能が提供されています。これにより、ヒューマンエラーによる情報漏えいのリスクを大幅に軽減できるでしょう。このように、LINE WORKSは企業の機密情報を守るための信頼性の高いセキュリティ機能を提供しています。
【ケーススタディ】LINE WORKSをより安全に利用するための対策
企業内コミュニケーションツールとして便利なLINE WORKですが、ここまで説明してきた通り、さまざまなリスクが伴います。ここでは、LINE WORKSをより安全に利用するための対策を具体例を交えて解説します。
LINE WORKSの利用端末を紛失した場合の対応
社員がLINE WORKSの利用端末を紛失した場合、即座に対応することが重要です。
まず、紛失が発覚した場合、LINE WORKSの管理コンソールにログインし紛失した端末からLINE WORKSの強制ログアウトを実施しましょう。合わせて、パスワードの変更も行いましょう。別端末で、IDとパスワードを入力すると継続してアカウントを利用できます。
紛失のリスクに備えて、紛失時の対応方針をあらかじめ決めておくことが重要です。社内規定に基づき、紛失を速やかに報告することで、被害を最小限に抑えることができます。また、社内で利用するすべての端末にはパスコードや指紋認証などのセキュリティ機能を設定し、不正利用を防止することも有効です。
LINE WORKSを私用スマホで利用していた社員が退職した場合の対応
続いて、社員が退職した場合の対処法です。私用スマホでLINE WORKSを利用していた社員が退職した場合には、退職者がLINE WORKS内のトーク履歴や共有ファイルを閲覧できないようにアカウントを削除する必要があります。
アカウントを削除すると、退職者のデータは削除されますが、他のメンバーに共有されたメッセージやノート、退職者が共有したファイルが消えることはありません。
また、退職者が利用していた端末にファイルやメールをダウンロードしていた場合、このダウンロードされたデータも削除されないことに注意が必要です。私用スマホでのLINE WORKS利用を許可する場合は、誰がどの端末で利用しているかしっかりと管理しておきましょう。
LINE WORKSのセキュリティをより強固に! HENNGE Oneで情報漏えい対策
「HENNGE One」は国内シェア1位を誇る、クラウド型セキュリティサービスです。LINE WORKS公式でも、セキュリティ向上を目的とした連携ソリューションとして推奨されています。HENNGE Oneとは
HENNGE Oneは、HENNGE株式会社が提供するクラウドサービス向けの認証基盤サービスです。「安全性」と「利便性」の両面から、クラウドサービスの利用をサポートしています。HENNGE Oneの主なサービスは以下の3種類です。
- Identity Edition
シングルサインオンや多要素認証機能でユーザーのアクセス管理を行うサービス - DLP Edition
メールサービスと連携して情報漏えいやデータの紛失を防止するサービス - Cybersecurity Edition
標準的対策ではカバーしきれないメール脅威からの保護及び標的型攻撃メールへの対策訓練を行うサービス
LINE WORKSの不正アクセスが防げるHENNGE Oneの「Identity Edition」とは
HENNGE OneのIdentity Editionは、HENNGE株式会社が提供する、LINE WORKSを含むクラウドサービスの不正アクセスを防ぐための認証基盤サービスです。従来のパスワード認証に加え、多要素認証（MFA）や生体認証などの高度な認証機能で、セキュリティを強化します。
さらに、IPアドレス制御をしたり、アクセスログ管理でいつ誰がアクセスしたか確認したり、不正アクセスを防ぐ機能も備わっています。
LINE WORKSとHENNGE Oneの「Identity Edition」連携のメリット
HENNGE One の「Identity Edition」のメリットは、シングルサインオン(SSO)でIDとパスワードを一元管理できることです。デバイス証明書によって許可された端末からのみLINE WORKSを利用できる機能のほか、導入にあたって手厚いサポート体制も魅力です。
また、HENNGE Oneの「Identity Edition」は、LINE WORKSとシームレスに連携できます。LINE WORKSへのログインもHENNGE Oneの「Identity Edition」経由で行うことで、パスワード管理の手間を省き、セキュリティを強化できます。
ユーザーの利便性を損なわずに安全性を確保したい場合にぴったりのサービスです。
まとめ
ビジネス版LINEの「LINE WORKS」は、セキュリティについてさまざまな国際規格を取得し対策しているため、ビジネスシーンでも安心して使えます。しかしログイン認証をSSO化し、より便利に、かつセキュアな情報漏えい対策を施したいなら「HENNGE One」も併せて導入するのがおすすめです。LINE WORKSと連携することで、よりスムーズに運用でき、高いセキュリティ効果が期待できます。また、導入前、導入後の手厚いサービスも魅力です。ぜひご検討ください。
