社内システムを開発するとき、
「会社のIPアドレスからしかアクセスできないようにしたほうがよいのか」
「ログイン機能があればIP制限までは不要なのか」
と悩むことがあります。
IP制限とは、あらかじめ許可したIPアドレスからのアクセスだけを認める仕組みです。
例えば会社の固定IPアドレスだけを許可すれば、社外のインターネット回線から直接システムへアクセスすることを制限できます。
顧客情報、契約情報、従業員情報、売上情報などを扱う業務システムでは、有効なセキュリティ対策の一つです。
ただし、結論からいうと、すべての社内システムでIP制限を必須にすればよいわけではありません。
リモートワーク、スマートフォン利用、複数拠点、クラウドサービスなどが一般化した現在では、IP制限だけに依存すると業務上の不便が大きくなることもあります。
重要なのは、
- 誰が利用するのか
- どこから利用するのか
- どの端末から利用するのか
- どの程度重要な情報を扱うのか
- 万が一アカウント情報が漏えいした場合にどう防ぐのか
を整理し、IP制限、MFA、VPN、端末制御、RBACなどを組み合わせてアクセス制御を設計することです。
この記事では、IP制限の仕組みからメリット・デメリット、必要なシステム、IP制限以外のセキュリティ対策まで具体的に解説します。
IP制限とは
IP制限とは、アクセス元のIPアドレスを確認し、許可されたIPアドレスだけシステムへ接続できるようにするアクセス制御です。
IPアドレスは、インターネット上で通信先を識別するために使われる情報です。
例えば、会社のインターネット回線に固定IPアドレスが割り当てられている場合、
許可IP：
203.0.113.10
だけシステムへのアクセスを許可する、といった設定ができます。
この場合、
会社
↓
許可された固定IP
↓
業務システム
↓
アクセス可能
となります。
一方、自宅やカフェなど別のIPアドレスからアクセスすると、
自宅・カフェ
↓
許可されていないIP
↓
業務システム
↓
アクセス拒否
となります。
ログインIDやパスワードが正しくても、その前段階でアクセスそのものを拒否できる点が特徴です。
IP制限とログイン認証の違い
IP制限とログイン認証は、役割が異なります。
IP制限
「どこからアクセスしているか」を確認します。
ID・パスワード認証
「誰としてログインしようとしているか」を確認します。
例えば、ログインIDとパスワードが何らかの理由で漏えいした場合を考えてみましょう。
IP制限がなければ、
攻撃者
↓
ログインページへアクセス
↓
漏えいしたID・パスワードを入力
↓
ログイン
となる可能性があります。
会社の固定IPだけにアクセスを制限していれば、
攻撃者
↓
社外IPからアクセス
↓
IP制限で拒否
↓
ログイン画面へ到達できない
という追加の防御になります。
そのためIP制限は、認証機能の代わりではなく、認証とは別の防御層として利用するものと考えると分かりやすいでしょう。
社内システムでIP制限を導入するメリット
IP制限には主に次のメリットがあります。
1．不特定の場所からのアクセスを防げる
最大のメリットは、システムへアクセスできる場所を限定できることです。
例えば、
- 顧客管理
- 人事管理
- 給与管理
- 契約管理
- 会計管理
- 社内管理画面
など、基本的にオフィス内でしか使用しないシステムであれば、会社の固定IPだけを許可する方法があります。
インターネット上にシステムを公開していても、アクセス元を限定することで攻撃対象を狭められます。
2．ID・パスワード漏えい時のリスクを減らせる
IP制限があることで、仮にログイン情報が漏えいしても、許可されたネットワーク外からのアクセスを防げる場合があります。
つまり、
ID・パスワード
＋
アクセス元IP
という複数条件でシステムを守ることになります。
単一のセキュリティ対策に依存しない「多層防御」という考え方です。
3．管理画面などを限定公開しやすい
一般ユーザー向けのサービスと、管理者向け画面を分ける場合にも利用できます。
例えばECサイトなら、
一般ユーザー向け
インターネットから誰でもアクセス可能。
社内管理画面
会社またはVPN経由のIPからのみアクセス可能。
という構成です。
管理画面には、
- 顧客情報
- 注文情報
- 売上情報
- 決済関連情報
- 商品管理
など重要な情報が集まるため、アクセス経路を限定する意味があります。
IP制限のデメリット
IP制限にはメリットがありますが、万能ではありません。
特に現在の働き方では、次のような問題が発生することがあります。
1．リモートワークとの相性が悪い場合がある
会社の固定IPだけを許可していると、自宅からアクセスできません。
例えば、
会社
↓
固定IP
↓
アクセス可能
自宅
↓
家庭用インターネット
↓
アクセス不可
となります。
リモートワークを行う場合は、
- VPN経由で会社ネットワークへ接続する
- ゼロトラスト型のアクセス制御を利用する
- MFAなど別の認証方式を組み合わせる
といった方法を検討する必要があります。
2．外出先から利用しにくい
営業担当者が顧客先からシステムを利用する場合も問題になります。
例えば営業支援システムで、
訪問先で商談
↓
その場で案件情報を更新
という使い方をしたいにもかかわらず、会社のIPアドレスからしか接続できなければ業務効率が下がります。
セキュリティだけでなく、実際の利用シーンも考えて設計する必要があります。
3．固定IPが必要になる場合がある
安定してIP制限を行うには、固定IPアドレスを利用したほうが管理しやすくなります。
インターネット回線によってはIPアドレスが変わるため、
昨日までアクセスできた
↓
IPアドレスが変わる
↓
突然アクセスできなくなる
という可能性があります。
固定IPサービスの利用には、追加費用が発生する場合があります。
4．複数拠点になると管理対象が増える
例えば、
- 東京本社
- 大阪支社
- 福岡営業所
- 倉庫
- 店舗
など複数拠点からシステムを利用する場合、それぞれのIPアドレスを管理する必要があります。
新しい拠点が追加されるたびに許可設定を変更するなど、運用負荷も考慮する必要があります。
5．IP制限だけでは利用者本人までは特定できない
非常に重要なのがこの点です。
会社のIPアドレスからアクセスしているからといって、
「正しい社員が操作している」
とは限りません。
例えば会社のネットワーク内で、
他人のアカウント情報を使う
という問題まではIP制限だけでは防げません。
そのため、
- ID・パスワード
- MFA
- RBAC
- 操作ログ
など、別の対策も必要です。
IP制限が向いているシステム
次のようなケースでは、IP制限を導入しやすいでしょう。
オフィス内でしか利用しない社内システム
例えば、
- 社内マスター管理
- 会計管理
- 基幹システム管理画面
- システム管理者向け画面
などです。
利用場所が明確に決まっているため、IP制限との相性がよいケースです。
高い権限を持つ管理画面
一般社員向け画面は広くアクセスできても、
- ユーザー管理
- 権限管理
- システム設定
- 全データ出力
- マスターデータ変更
などを行う管理者画面だけIP制限する方法もあります。
すべてのユーザーに同じ制限を設ける必要はありません。
特定拠点から利用する業務
例えば工場や倉庫など、
「このシステムは基本的に特定施設内でしか操作しない」
という業務なら、アクセス元を限定しやすくなります。
IP制限だけでは不十分になりやすいシステム
一方で、次のようなシステムではIP制限だけでアクセス制御を設計するのは難しくなります。
リモートワークを前提としたシステム
自宅や出張先から利用するのであれば、利用するIPアドレスが一定とは限りません。
スマートフォンから利用するシステム
モバイル回線では接続元IPが変化するため、単純なIP制限とは相性がよくありません。
顧客や取引先も利用するシステム
例えば、
- 会員サイト
- 顧客ポータル
- 予約システム
- 発注システム
- 取引先向けWebシステム
などは、不特定のネットワークから利用されます。
この場合は、IP制限ではなく認証・権限管理を中心に設計する必要があります。
IP制限とVPNの違い
IP制限を検討するときによく登場するのがVPNです。
VPNを利用すると、社外からでも特定のネットワークを経由して社内システムへ接続できます。
例えば、
自宅PC
↓
VPNへ接続
↓
会社ネットワーク
↓
固定IP
↓
業務システム
という構成です。
システム側から見ると、会社やVPNの出口となる決められたIPアドレスからアクセスしているように見えます。
これにより、
「社外から利用したい」
かつ
「アクセス元は限定したい」
という要件を両立できる場合があります。
ただしVPNにも、
- VPNアカウントの管理
- 接続設定
- 障害時の対応
- VPN装置・サービスの管理
といった運用が必要です。
IP制限とMFAはどちらが重要？
MFAとはMulti-Factor Authenticationの略で、多要素認証のことです。
例えば、
ID・パスワード
＋
スマートフォンの認証コード
という形で、複数の要素を利用して本人確認します。
IP制限とMFAは役割が違うため、「どちらか一つ」というものではありません。
IP制限
アクセスできるネットワークを限定する。
MFA
ログインしようとしている利用者の本人確認を強化する。
例えば、
許可IP
＋
ID・パスワード
＋
MFA
という構成にすれば、防御を重ねることができます。
ただしセキュリティを強くするほど利用者の手間も増えるため、情報の重要度に応じて設計します。
IP制限とRBACの違い
RBACとはRole-Based Access Controlの略で、ユーザーの役割に応じて権限を付与する仕組みです。
例えば、
営業担当
- 顧客閲覧
- 顧客登録
- 案件編集
営業部長
- 部署全体の案件閲覧
- 見積承認
経理
- 請求閲覧
- 請求確定
システム管理者
- ユーザー管理
- 権限変更
という設計です。
IP制限が、
「どこからアクセスできるか」
を制御するのに対して、RBACは、
「ログイン後に何ができるか」
を制御します。
そのため、業務システムでは両方を組み合わせるケースがあります。
社内システムのアクセス制御は多層で考える
セキュリティ設計では、一つの仕組みだけで守ろうとしないことが重要です。
例えば重要な社内システムなら、
第1層：ネットワーク
- IP制限
- VPN
- ファイアウォール
第2層：認証
- ID・パスワード
- SSO
- MFA
第3層：認可
- RBAC
- 部署別権限
- データアクセス範囲
第4層：端末
- 会社端末のみ利用
- MDM
- セキュリティ設定
第5層：監査
- ログイン履歴
- 操作ログ
- データ変更履歴
という複数の層で考えることができます。
これが多層防御の基本的な考え方です。
IP制限だけに依存しないほうがよい理由
以前は、
「社内ネットワークからしかアクセスできない」
という設計が比較的一般的でした。
しかし現在は、
- クラウドサービス
- リモートワーク
- SaaS
- スマートフォン
- BYOD
- 複数拠点
など、利用環境が多様化しています。
そのため、
「会社のネットワーク内なら安全」
「社外ネットワークなら危険」
と単純に分けることが難しくなっています。
そこで重要になるのが、
「どこからアクセスしたか」
だけではなく、
「誰が」
「どの端末で」
「どの情報へ」
「何をしようとしているのか」
を組み合わせて判断する考え方です。
ゼロトラストとIP制限の関係
ゼロトラストとは、ネットワーク内外だけで安全性を判断せず、アクセスごとにユーザーや端末などを確認する考え方です。
従来型の考え方では、
社内ネットワーク
＝
比較的信頼する
という設計が中心でした。
ゼロトラストでは、
社内からでも無条件には信頼しない
という考え方をします。
例えば、
- ユーザー認証
- MFA
- 端末状態
- アクセス対象
- ユーザー権限
- 操作内容
などからアクセス可否を判断します。
だからといって、IP制限が不要になるとは限りません。
IP制限も一つの防御策として利用しながら、他の認証・認可と組み合わせる方法があります。
業務システムのIP制限を設計する手順
実際にIP制限が必要か判断するときは、次の順番で整理すると分かりやすくなります。
1．利用者を整理する
まず誰がシステムを使うのか確認します。
例えば、
- 一般社員
- 営業担当
- 管理者
- 経営者
- 外部委託先
- 顧客
- 取引先
などです。
2．利用場所を整理する
次にどこからアクセスするかを確認します。
- 本社
- 支店
- 工場
- 倉庫
- 自宅
- 顧客先
- 外出先
例えば本社だけならIP制限を導入しやすいですが、営業担当が外出先から利用するなら別の方法も必要です。
3．端末を整理する
利用する端末も確認します。
- 会社PC
- 私物PC
- 会社スマートフォン
- 私物スマートフォン
- タブレット
会社管理端末だけに限定できるなら、端末制御を利用する方法もあります。
4．情報の重要度を整理する
すべてのシステムを同じ強度で守る必要はありません。
例えば、
重要度が比較的低い
社内のお知らせ、一般的なマニュアル。
重要度が高い
顧客情報、契約情報、給与情報、個人情報、決済情報、経営情報。
情報の重要度によって必要なセキュリティ対策を変えます。
5．アクセス制御を組み合わせる
最後に、
- IP制限
- VPN
- MFA
- SSO
- RBAC
- 端末制御
- 操作ログ
などから必要なものを組み合わせます。
【チェックリスト】社内システムにIP制限は必要？
次の項目を確認してみてください。
IP制限を検討しやすいケース
- 基本的に会社内でしか利用しない
- 固定IPを利用している
- 顧客情報や個人情報を扱う
- 管理画面へのアクセスを限定したい
- 利用拠点が少ない
- 管理者権限が強い
- VPNを利用できる
複数該当するなら、IP制限を検討する価値があります。
IP制限以外の方法も重要なケース
- リモートワークが多い
- 外出先から利用する
- スマートフォンから利用する
- 顧客や取引先も利用する
- 利用場所が頻繁に変わる
- 複数拠点がある
この場合は、MFA、VPN、端末制御などと組み合わせる必要があります。
【コピペ用】アクセス制御ヒアリングシート
社内システムのセキュリティ要件を整理するときは、次のような項目を確認します。
利用者
- 社内ユーザー：
- 外部ユーザー：
- 管理者：
- 利用人数：
利用場所
- 本社：
- 支社：
- 自宅：
- 外出先：
- 顧客先：
利用端末
- 会社PC：
- 私物PC：
- スマートフォン：
- タブレット：
扱う情報
- 顧客情報：
- 個人情報：
- 契約情報：
- 売上情報：
- 社内機密情報：
必要な対策
- IP制限：
- VPN：
- MFA：
- SSO：
- RBAC：
- 端末制御：
- 操作ログ：
最初からすべて決まっていなくても問題ありません。
現在の利用環境と扱う情報を整理すると、必要な対策を判断しやすくなります。
IP制限を実装するときの注意点
実際のWebシステムでIP制限を実装する場合には、いくつか注意点があります。
プロキシやロードバランサーを考慮する
クラウド環境では、
ユーザー
↓
CDN
↓
ロードバランサー
↓
Webサーバー
のような構成になることがあります。
この場合、アプリケーションから単純に接続元IPを見ると、実際のユーザーではなくロードバランサーのIPが取得される場合があります。
どのHTTPヘッダーを信頼するのかも含めて、インフラ構成に応じた設計が必要です。
IPv4だけでなくIPv6も考える
ネットワーク環境によってはIPv6が利用されます。
IPv4だけを前提にアクセス制御を設計すると、想定外の挙動につながる場合があります。
管理者が設定を変更できる仕組みを考える
IPアドレスが変更されたとき、
「開発会社へ毎回連絡しないと変更できない」
という状態は運用負荷になります。
必要に応じて、
- 管理画面から変更する
- 設定ファイルで管理する
- クラウド側の設定で管理する
など、変更方法も設計します。
緊急時のアクセス方法を考える
IP設定を間違えると、管理者自身がアクセスできなくなることがあります。
そのため、
- 緊急管理用経路
- 設定変更方法
- 復旧手順
なども考えておくことが重要です。
IP制限に関するよくある質問
社内システムならIP制限は必須ですか？
必須とは限りません。
利用場所、システムの重要度、リモートワークの有無、MFAやVPNなど他のセキュリティ対策を含めて判断します。
IP制限があればMFAは不要ですか？
基本的には別の役割を持つ対策です。
IP制限はアクセス元を制限し、MFAは利用者本人の認証を強化します。
重要なシステムでは両方を組み合わせる方法があります。
自宅からも利用する場合はIP制限できませんか？
VPNなどを利用し、一定のIPアドレスを経由させる方法があります。
ただし業務要件によっては、MFAや端末制御など別の方法が適している場合もあります。
スマートフォンから利用するシステムでもIP制限できますか？
技術的に制限できる場合はありますが、モバイル回線では接続元IPが固定されないことが多いため、単純なIP制限とは相性がよくありません。
認証・端末管理など別の対策を検討することが一般的です。
IP制限とVPNはどちらを使えばよいですか？
利用方法によって異なります。
社内からしか利用しないならIP制限だけでも設計しやすいですが、社外から利用するならVPNとIP制限を組み合わせる方法があります。
管理画面だけIP制限することはできますか？
可能です。
一般ユーザー向け画面はインターネットからアクセス可能にし、管理画面だけ特定IPからアクセス可能にする構成はよく検討されます。
hiro-dev-labではアクセス制御を含むシステム設計から相談できます
業務システムのセキュリティを考えるとき、
「とりあえずIP制限を付ける」
だけでは十分とは限りません。
重要なのは、
- 誰が利用するのか
- どこから利用するのか
- どの端末を利用するのか
- どの情報を扱うのか
- それぞれのユーザーが何を操作できるのか
を整理したうえで、適切なアクセス制御を設計することです。
hiro-dev-labでは、Webシステム・業務システム開発の観点から、
- 業務ヒアリング
- 要求整理
- 要件定義
- セキュリティ要件の整理
- IP制限の設計
- VPN利用を考慮した構成検討
- RBAC・権限設計
- 認証・認可設計
- Webシステム設計
- API設計
- システム開発
など、必要な段階から相談できます。
例えば、
「顧客情報を扱うので、どこまでセキュリティ対策が必要か分からない」
「リモートワークにも対応したいが、社内システムをインターネットへ公開するのが不安」
「IP制限・VPN・MFAのどれを導入すればよいのか判断できない」
といった段階でも、利用環境と業務要件を整理することで必要な対策が見えてきます。
IP制限は、社内システムを守る有効な手段の一つです。
しかし、IP制限だけで安全性を確保しようとするのではなく、認証・権限・端末・ネットワーク・ログを組み合わせてアクセス制御全体を設計することが重要です。