顧客管理、在庫管理、人事管理、申請・承認などの社内システムを構築するとき、
「インターネット上に公開したくない」
「社員しかアクセスできないシステムにしたい」
「クラウド上に構築しても外部から見えないようにできるのか」
と考える企業は少なくありません。
結論からいうと、社内システムを外部公開しない構成は可能です。
代表的な方法には、
- 社内LANからのみアクセスさせる
- VPN経由でのみアクセスさせる
- 固定IPからのみアクセスを許可する
- クラウド上のプライベートネットワークへ配置する
- ゼロトラスト型のアクセス制御を利用する
などがあります。
ただし、「外部公開しない」という言葉には複数の意味があります。
インターネットからサーバーそのものへ到達できない構成と、インターネット上には存在するものの認証やIP制限によって利用者を限定する構成は別物です。
そのため、社内システムを構築するときは、
誰が・どこから・どの端末で利用するのかを整理したうえで、適切なアクセス経路を設計することが重要です。
この記事では、外部公開しない社内システムの構築方法と、それぞれのメリット・デメリット、VPN・IP制限・プライベートネットワークなどの違いを分かりやすく解説します。
「外部公開しない社内システム」とは何か
まず、「外部公開しない」の意味を整理しておきましょう。
社内システムには大きく分けて次のような構成があります。
1．インターネットから到達できないシステム
社内ネットワークやVPNなど、限定されたネットワークからしか接続できない構成です。
例えば、
社員PC
↓
社内LAN
↓
社内システム
という構成です。
インターネット上からシステムへ直接アクセスする経路がないため、外部公開しない構成として分かりやすい方法です。
2．インターネット経由だがアクセスを限定するシステム
システム自体はインターネット経由でアクセスできる場所にありますが、
- IP制限
- SSO
- MFA
- アクセスプロキシ
- 端末認証
などによって利用者を限定します。
例えば、
社員PC
↓
インターネット
↓
認証・アクセス制御
↓
社内システム
という構成です。
利用者から見るとブラウザでアクセスできますが、誰でも自由に利用できるわけではありません。
この2つは似ていますが、セキュリティ設計や運用方法が異なります。
社内システムを外部公開しない主な5つの構築方法
代表的な構成を比較すると次のようになります。
| 方法 | 外出先利用 | 構築難易度 | 運用負荷 | 向いているケース |
|---|---|---|---|---|
| 社内LAN限定 | △ | 低〜中 | 低〜中 | オフィス内のみ利用 |
| IP制限 | ○ | 低〜中 | 低 | 固定拠点中心 |
| VPN | ○ | 中 | 中 | リモートワーク対応 |
| プライベートネットワーク | ○ | 中〜高 | 中〜高 | 重要な業務システム |
| ゼロトラスト型アクセス | ◎ | 中〜高 | 中 | 場所を問わず安全に利用 |
どの方式が最適かは、利用環境によって変わります。
方法1．社内LANからのみアクセスできるようにする
最も分かりやすいのが、会社のネットワーク内からしかアクセスできない構成です。
例えば、
社員PC
↓
社内LAN
↓
Webサーバー
↓
データベース
という構成です。
サーバーを社内に設置するオンプレミス構成などで利用できます。
メリット
- インターネットから直接アクセスされにくい
- 利用場所が明確
- 構成を理解しやすい
デメリット
- 自宅から利用しにくい
- 出張先から利用しにくい
- サーバー管理が必要になる場合がある
- 災害やオフィス障害の影響を受ける可能性がある
「会社の中でしか利用しないシステム」であれば検討しやすい方法です。
一方、リモートワークを行う会社では使いにくくなります。
方法2．固定IPによるIP制限を行う
クラウド上にシステムを構築し、会社の固定IPアドレスからのアクセスだけを許可する方法もあります。
例えば、
会社
↓
固定IP
↓
クラウド上の社内システム
という構成です。
それ以外のIPアドレスからアクセスした場合は拒否します。
IP制限のメリット
- 比較的導入しやすい
- 外部からのアクセスを大幅に限定できる
- クラウド上にシステムを構築できる
- 社内サーバーを持たなくて済む
IP制限のデメリット
- 自宅から利用できない場合がある
- 固定IPの管理が必要
- 複数拠点になると設定が増える
- スマートフォン回線との相性が悪い
例えば、
- 東京本社
- 大阪支社
- 福岡営業所
から利用する場合は、それぞれの固定IPを許可する方法があります。
オフィス利用が中心で、比較的シンプルにアクセス制御したい場合に向いています。
方法3．VPN経由でアクセスさせる
リモートワークにも対応したい場合に代表的なのがVPNです。
例えば、
自宅PC
↓
VPN接続
↓
会社またはクラウドのプライベートネットワーク
↓
社内システム
という構成にします。
社員はまずVPNへ接続し、その後で社内システムへアクセスします。
システム自体を一般のインターネットへ直接公開せずに、社外から利用できるようにすることが可能です。
VPNのメリット
- 自宅から社内システムを利用できる
- システムを直接インターネット公開しない構成を取りやすい
- 既存の社内ネットワークと組み合わせやすい
VPNのデメリット
- VPNアカウント管理が必要
- 接続設定が必要
- VPN障害時にシステムを利用できなくなる可能性がある
- 利用者が増えると管理負荷が増えることがある
例えば、
「顧客情報を扱うため外部公開したくないが、社員は週3日在宅勤務をしている」
という会社であれば、VPNは有力な選択肢です。
方法4．クラウドのプライベートネットワークへ配置する
AWSなどのクラウドサービスでも、システムを完全に一般公開する必要はありません。
クラウド上にプライベートなネットワーク領域を作り、その内部へアプリケーションやデータベースを配置する設計ができます。
概念的には、
インターネット
↓
直接アクセス不可
VPN・専用アクセス経路
↓
プライベートネットワーク
↓
社内Webシステム
↓
データベース
という構成です。
特にデータベースは、インターネットから直接アクセスできる状態にせず、アプリケーションサーバーからのみ接続できるようにする設計が一般的です。
メリット
- クラウドの拡張性を利用できる
- インターネットから直接到達できない構成を作れる
- サーバーごとにアクセス経路を細かく設計できる
デメリット
- ネットワーク設計の知識が必要
- VPNやルーティング設定が必要になる場合がある
- 小規模システムでは構成が過剰になる可能性がある
重要な業務システムや、長期的に拡張するシステムで検討しやすい構成です。
方法5．ゼロトラスト型のアクセス制御を利用する
近年では、
「会社のネットワークに入っているから安全」
という考え方だけに依存しないアクセス制御も利用されています。
いわゆるゼロトラスト型の考え方です。
例えば、
社員
↓
本人認証
↓
端末確認
↓
アクセス権限確認
↓
社内システム
という形で、ユーザーや端末の状態を確認してアクセスを許可します。
この構成なら、
- 自宅
- オフィス
- 出張先
など場所に依存せずアクセスさせることもできます。
メリット
- リモートワークとの相性がよい
- ユーザー単位でアクセスを管理しやすい
- MFAや端末管理と組み合わせやすい
デメリット
- 認証基盤の設計が必要
- 導入サービスによって運用方法が変わる
- 従来のIP制限より設計項目が多い
「固定IPからしかアクセスできない」という考え方だけでは対応しにくい企業では、有力な方法です。
クラウドに置くと「外部公開」になるわけではない
よくある誤解の一つが、
「クラウドにシステムを置いたらインターネットへ公開される」
というものです。
クラウド上に構築しても、ネットワーク設定によってアクセス範囲を限定できます。
例えば、
Webアプリ
↓
プライベートネットワーク内
データベース
↓
プライベートネットワーク内
社員
↓
VPN
という構成にすれば、社員はクラウド上のシステムを利用できますが、一般のインターネット利用者から直接アクセスさせない設計が可能です。
そのため、
「社内システムだからオンプレミス」
と決める必要はありません。
利用人数、運用体制、予算、リモートワークなどを踏まえて判断します。
社内システムはオンプレミスとクラウドのどちらがよい？
外部公開しないシステムを考えると、オンプレミスとクラウドのどちらがよいのか迷うことがあります。
オンプレミス
自社内にサーバーやネットワーク機器を設置します。
メリット：
- 社内ネットワーク内で完結させやすい
- 機器を自社で管理できる
デメリット：
- サーバー管理が必要
- ハードウェア故障への対応が必要
- バックアップや災害対策が必要
- 初期投資が大きくなる場合がある
クラウド
クラウドサービス上にサーバーやデータベースを構築します。
メリット：
- 物理サーバーを管理しなくてよい
- バックアップや冗長化を設計しやすい
- システムを拡張しやすい
デメリット：
- クラウドのネットワーク設計が必要
- 設定を誤ると意図せず公開する可能性がある
- 継続的なクラウド利用料が発生する
どちらが安全かを単純には比較できません。
適切に設計・運用されているかどうかのほうが重要です。
「URLを知らなければ安全」ではない
社内システムのセキュリティで避けたいのが、
「URLを社員しか知らないので大丈夫」
という設計です。
例えば、
というURLを社員にしか知らせていなくても、URLそのものをアクセス制御として考えることはできません。
URLが第三者に知られる可能性はあります。
そのため、
- 認証
- ネットワーク制御
- IP制限
- MFA
- VPN
などを利用して、システム側でアクセスを制御する必要があります。
BASIC認証だけで十分とは限らない
小規模な社内システムでは、BASIC認証によってページ全体を保護する方法もあります。
簡易的なシステムでは有効な場合がありますが、
- ユーザーごとの権限
- 退職者のアクセス停止
- 操作ログ
- MFA
- 部署別権限
などを管理する必要がある場合は、本格的な認証・認可設計を検討したほうがよいでしょう。
重要な業務システムを「共通ID・共通パスワード」だけで運用すると、誰が操作したのか追跡しにくくなります。
外部公開しないシステムでもログイン認証は必要
VPNやIP制限を導入すると、
「会社からしか接続できないのでログインは不要ではないか」
と思うかもしれません。
しかし、基本的にはユーザー認証も行うことを検討します。
理由は、ネットワーク制限とユーザー認証では役割が違うからです。
ネットワーク制御
「どこからアクセスできるか」を制御します。
認証
「誰がアクセスしているか」を確認します。
例えばIP制限だけの場合、会社のネットワークへ接続できる人なら、全員が同じ権限で利用できてしまう可能性があります。
そのため、
IP制限
＋
ユーザー認証
のように複数の仕組みを組み合わせることが重要です。
RBACによる権限管理も組み合わせる
ログインできる社員全員に、すべての情報を見せる必要はありません。
例えば顧客管理システムなら、
営業担当
- 自分の顧客を閲覧
- 案件を登録
- 商談情報を編集
営業部長
- 自部署の案件を閲覧
- 見積を承認
経理
- 契約を閲覧
- 請求情報を管理
システム管理者
- ユーザー管理
- 権限管理
- システム設定
というように分けられます。
このようにロールごとに権限を設定する方法をRBAC（Role-Based Access Control）と呼びます。
外部からのアクセス制御と、ログイン後の権限管理は分けて設計することが重要です。
外部公開しない社内システムの構成例
具体的な業務システムを例に考えてみましょう。
例1．10人程度で利用する顧客管理システム
条件：
- オフィス勤務中心
- 外出先では利用しない
- 顧客情報を管理
- 小規模
構成例：
社員PC
↓
会社固定IP
↓
IP制限
↓
ログイン認証
↓
顧客管理システム
比較的シンプルな構成で実現できます。
例2．リモートワーク対応の案件管理システム
条件：
- 50人程度
- 自宅勤務あり
- 顧客先からアクセスする場合もある
- 個人情報あり
構成例：
社員PC
↓
VPNまたはアクセス制御サービス
↓
MFA
↓
ログイン
↓
案件管理システム
IPアドレスだけで管理するより、ユーザーや端末を確認できる仕組みが適しています。
例3．重要な基幹業務システム
条件：
- 顧客・契約・請求情報を管理
- 数百人が利用
- 複数拠点
- 外部公開したくない
構成例：
社員
↓
VPN・専用アクセス経路
↓
クラウドプライベートネットワーク
↓
Webアプリケーション
↓
プライベートDB
さらに、
- MFA
- RBAC
- 操作ログ
- 監視
- バックアップ
などを組み合わせます。
社内システムのデータベースは外部公開しない
Webシステムでは、Webアプリケーションとデータベースを分けて考えることも重要です。
例えば、
社員
↓
Webアプリ
↓
データベース
という構成の場合、ユーザーがデータベースへ直接アクセスする必要はありません。
そのためデータベースは、
「Webアプリケーションからのみ接続可能」
という設計にできます。
インターネット
↓
データベースへ直接接続不可
Webアプリ
↓
データベースへ接続可能
という構成です。
顧客情報や個人情報を扱う場合は、こうしたネットワーク分離も重要な設計ポイントです。
社内システムを非公開で構築するときの設計手順
実際に構築するときは、最初からサーバーやVPNを選ぶのではなく、業務要件から整理します。
1．利用者を整理する
まず誰が利用するのか確認します。
- 社員
- 管理職
- システム管理者
- 業務委託
- 取引先
外部ユーザーがいるかどうかで構成は大きく変わります。
2．利用場所を整理する
次に利用場所を確認します。
- 本社
- 支社
- 工場
- 倉庫
- 自宅
- 顧客先
- 出張先
オフィスだけなら固定IP制限が使いやすく、場所を問わず利用するならVPNやユーザー単位のアクセス制御を検討します。
3．利用端末を整理する
利用端末も重要です。
- 会社PC
- 個人PC
- スマートフォン
- タブレット
会社管理端末だけに限定するのであれば、端末認証なども選択肢になります。
4．扱う情報を整理する
例えば、
- 顧客情報
- 従業員情報
- 契約情報
- 請求情報
- 売上情報
- 社内資料
などです。
情報の重要度によって必要なセキュリティレベルを決めます。
5．必要なアクセス経路を決める
ここまで整理したうえで、
- 社内LAN
- 固定IP
- VPN
- プライベートネットワーク
- ゼロトラスト型アクセス
などから適切な構成を選びます。
6．認証・権限を設計する
ネットワーク構成とは別に、
- ID・パスワード
- SSO
- MFA
- RBAC
- 管理者権限
などを整理します。
7．ログと監視を設計する
重要なシステムでは、
- 誰がログインしたか
- 誰がデータを変更したか
- 誰がCSVを出力したか
- 不正なログイン試行がないか
などを記録できるようにします。
【チェックリスト】外部公開しない社内システムの要件整理
社内システムを検討するときは、次の項目を整理しておくと構成を決めやすくなります。
利用者
- 利用人数：
- 利用部署：
- 管理者：
- 外部ユーザーの有無：
利用場所
- 本社：
- 支社：
- 自宅：
- 外出先：
- 顧客先：
利用端末
- 会社PC：
- 私物PC：
- スマートフォン：
- タブレット：
管理する情報
- 顧客情報：
- 個人情報：
- 契約情報：
- 請求情報：
- 社内機密情報：
アクセス制御
- IP制限：
- VPN：
- MFA：
- SSO：
- 端末制御：
- RBAC：
運用
- ユーザー追加方法：
- 退職者のアカウント停止：
- 操作ログ：
- バックアップ：
- 障害時の対応：
すべてを最初から決める必要はありません。
分からない部分を含めて要求整理を行い、必要な構成を決定します。
社内システムを非公開にするときによくある失敗
1．「社内システムだから安全」と考える
社内向けであっても、
- アカウント漏えい
- 端末紛失
- 誤操作
- 内部不正
などのリスクがあります。
外部公開を制限するだけでなく、ユーザー認証や権限管理も必要です。
2．セキュリティを強くしすぎて使いにくくする
例えば営業担当者が外出先で頻繁に利用するシステムなのに、
「本社のネットワークからしかアクセスできない」
という設計にすると、現場では使われなくなる可能性があります。
セキュリティと業務効率のバランスが重要です。
3．管理者用の経路を考えていない
IP制限やVPN設定に問題が発生すると、管理者自身もアクセスできなくなる場合があります。
緊急時の復旧方法や管理手順も事前に決めておく必要があります。
4．開発環境や管理ツールを公開したままにする
本番システムだけを非公開にしていても、
- 開発環境
- 管理画面
- データベース管理ツール
- 監視ツール
などが不用意に公開されていればリスクになります。
システム全体でアクセス経路を確認することが重要です。
社内システムの非公開構築に関するよくある質問
クラウドでも外部公開しない社内システムを作れますか？
可能です。
クラウド上にプライベートネットワークを構築し、VPNなど決められた経路からのみアクセス可能にする方法があります。
データベースもインターネットから直接アクセスできない構成にできます。
社内システムならVPNは必須ですか？
必須ではありません。
会社内からしか利用しない場合は固定IP制限などで対応できることもあります。
リモートワークを行う場合はVPNやゼロトラスト型アクセスなどを検討します。
IP制限だけでも安全ですか？
IP制限は有効な対策ですが、それだけですべてのリスクを防げるわけではありません。
ユーザー認証、MFA、RBAC、操作ログなどと組み合わせることが重要です。
社内システムはインターネットに接続しないほうが安全ですか？
インターネットから完全に分離すれば外部からの攻撃経路を減らせる場合がありますが、利便性や保守性とのトレードオフがあります。
必要なセキュリティレベルと業務要件を整理して判断します。
社員だけが使うWebシステムも作れますか？
可能です。
ブラウザで利用できるWebシステムでも、VPN、IP制限、SSO、MFAなどを利用して社員だけがアクセスできるように設計できます。
オンプレミスとクラウドではどちらが安全ですか？
一概には決められません。
どちらもネットワーク設計、認証、権限管理、バックアップ、アップデートなどが適切に運用されていることが重要です。
外部公開しないシステムでもHTTPSは必要ですか？
基本的には通信暗号化を検討します。
社内ネットワークだからといって通信内容を無条件に安全と考えるのではなく、HTTPSなどを利用して通信経路を保護する設計が望まれます。
hiro-dev-labでは社内システムの構成設計から相談できます
「社内でしか利用しないシステムを作りたい」と考えても、
- オンプレミスにするのか
- クラウドにするのか
- IP制限で十分なのか
- VPNが必要なのか
- MFAまで導入するのか
- どこまで外部公開を制限するのか
を最初から判断するのは簡単ではありません。
重要なのは、技術から決めるのではなく、
「誰が、どこから、どの情報を扱うのか」
を先に整理することです。
hiro-dev-labでは、Webシステム・業務システム開発の観点から、
- 現在の業務ヒアリング
- 要求整理
- 要件定義
- 利用者・利用場所の整理
- ネットワーク構成の検討
- IP制限・VPNを考慮したアクセス設計
- 認証・MFAの設計
- RBACによる権限設計
- データベース設計
- クラウド構成の検討
- Webシステム開発
など、必要な段階から相談できます。
例えば、
「社員しか使わない顧客管理システムをクラウドに作りたい」
「リモートワークには対応したいが、一般公開はしたくない」
「顧客情報を扱うため、どの程度のセキュリティが必要か分からない」
といった段階でも、まず利用環境と業務要件を整理することで適切な構成が見えてきます。
外部公開しない社内システムを構築するときは、単純にサーバーを閉じるだけではなく、ネットワーク・認証・権限・端末・ログを含めてアクセス経路全体を設計することが重要です。