セキュリティ
WEBサーバ対策とパスキーを中心とした認証・運用について
キューRクラウドは、単なる ID/パスワード強化ではなく、FIDO2規格に準拠したPasskey（パスキー）認証を中核としたモダンなセキュリティ基盤に移行しています。
セキュリティは大きく「WEBサーバ/インフラの技術的対策」「認証・アクセス制御（パスキー）」「事業者・利用者それぞれの運用」の3つのレイヤで構成されます。本ページでは、キューRクラウドがどのような前提でセキュリティを設計し、どこまでを標準機能として提供しているかを整理してご紹介します。
キューRクラウドでは、従来の ID/パスワード認証に加えて、FIDO2規格準拠のPasskey認証を標準提供しています。Passkey は、端末内に秘密鍵、サーバ側に公開鍵のみを保持する公開鍵暗号方式の認証であり、第三者によるパスワード詐取や総当たり攻撃が成立しません。
さらに、キューRクラウドでは次のような運用ルールを設け、より実務に即したセキュアな運用を実現しています。
これにより、「パスワードを強くする」のではなく、「パスワードに依存しない」設計へ移行し、クラウドサービスとして高いセキュリティレベルを維持します。
どれだけ技術的な対策やパスキーによる強固な認証を導入しても、運用が適切でなければセキュリティは維持できません。運用には「サービス事業者としての運用」と「お客様側での運用」の二つの責任があります。
弊社では、サービス事業者として次の運用ポリシーを採用しています。
万が一、サーバトラブルなどによりお預かりしたデータに毀損があった場合でも、バックアップデータを用いて可能な範囲で復旧できる体制を整えています。
また、お客様側においては、以下のような運用を推奨しています。
キューRクラウドは、このような「技術」「認証」「運用」の三位一体で、お客様の大切なデータを守ります。
ここでは、キューRクラウドを導入いただいた際に、標準状態で適用されるセキュリティ運用ルールの概要をご紹介します。
標準機能では、あえてパスワードの文字数・複雑さを厳しく制限しすぎず、
といった形で、「Passkeyを軸にしつつ、お客様側のポリシーに合わせて柔軟に選択できる」思想で設計しています。
さらに高いセキュリティ対策を求めるお客様には、次章「提供可能なセキュリティ」にてご紹介する追加オプションをご提案しています。
情報管理に厳しい企業様、社内規程や監査要件の厳しい組織向けに、標準機能に加えて利用できる高セキュリティ設定をご用意しています。
導入検討段階で、弊社に対してセキュリティチェックシートへの回答や個別の運用設計のご相談をいただく場合は、事前お見積りの上、オンライン打ち合わせにて詳細を調整させていただきます。
代表的な拡張機能には、パスワードポリシーの強化設定、セッション時間設定のカスタマイズ、ID/パスワード運用時の2要素認証（メール）追加、IPアドレスフィルタリングなどがあります。
アクセス権限は、契約者権限1つと複数の管理者権限、一般権限（ゲストユーザ）を基本とし、ご要望に応じて中間的なアクセス権限の追加も可能です。
Passkeyへの移行を前提としつつ、組織事情によりID/パスワード運用を併用したい場合には、パスワードの条件を強化するポリシー設定が可能です。
利用中のテナントごとに、次のようなポリシーから選択できます。
Passkeyを登録したユーザは、これらのパスワードポリシーに関わらず、ID/パスワードによるログインはできなくなります。
Passkey を利用しない運用、あるいは ID/パスワードログインを残したい場合には、ログイン時にメールで送信されるワンタイムパスワード（OTP）を組み合わせた2 要素認証を追加できます。
なお、Passkey登録自体については、標準機能として常にOTPによる本人確認を必須としています。
業務の性質や社内ポリシーに応じて、ログイン状態の有効期限を細かく設定することができます。
あらかじめ指定したグローバル IPアドレスからのアクセスに限定してログインを許可することで、社内ネットワークや特定拠点以外からのアクセスを遮断できます。
Passkey / SSOとIPアドレスフィルタリングを組み合わせることで、ゼロトラストの考え方に近い、より厳格なアクセス制御を実現可能です。
業務効率化をQRコードを使って簡単に導入できるWEBデータベース「キューRクラウド」では、エクセル1行単位でQRコードが作成でき、QR読み取り記録もリアルタイムでクラウド管理できるWebサービスです。こちらも無料でお使いいただけます。
