IPアドレス制限は本当に必要か。決める前に確かめること

結論

IPアドレス制限は、接続元が決まっている仕組みには効きます。社内からしか使わない管理画面や、事務所の回線からしか触らないサーバーがそれにあたります。一方で、外出先や自宅から使う仕組みに同じ制限をかけると、業務が止まる側の代償のほうが大きくなります。入れるかどうかは「どれくらい大事なデータか」ではなく「誰がどこから接続するか」で決めてください。

何を守っている仕組みなのか

IPアドレス制限は、通信の入口で接続元のアドレスを見て、許可した範囲以外を通さない仕組みです。仮にパスワードが外に出てしまっても、許可していない回線からはログイン画面にたどり着けません。守っているのは認証よりも手前の段階だ、と考えると分かりやすいです。

ここで見落としやすいのは、アドレスが合っていれば中身は調べない、という点です。許可した事務所の回線につながっている端末がウイルスに感染していれば、その端末からはこれまでどおりアクセスできます。外から手当たり次第にログインを試す行為は減りますが、アプリケーション側の弱点はそのまま残ります。

向く場面と向かない場面

向いている場面

• 事務所に固定IPがあり、対象が社内向けの管理画面や会計ソフトのサーバーに限られる
• 取引先とのデータ連携で、相手側のサーバーのアドレスが契約書で決まっている
• 委託先に渡す作業用アカウントを、作業期間だけ相手の事務所からに限定する

3つ目のように期間と対象を区切る使い方は、全社の全システムへ恒久的にかけるより無理がありません。IPアドレス制限は、対象を絞るほど使いやすくなります。

向いていない場面

困るのは、接続元が動くときです。代表的なものを挙げます。

1. 家庭向けの回線は、契約の種類によってアドレスが変わります。昨日は通ったのに、ルーターを再起動したら弾かれる、ということが起こります。
2. モバイル回線やテザリングは、通信事業者の設備側でアドレスが割り当てられます。現場から勤怠を打刻する、といった使い方とは相性がよくありません。
3. 在宅勤務の社員ごとにアドレスを登録すると、そこから登録簿の管理が始まります。引っ越し、回線の乗り換え、自宅の設備の入れ替えのたびに、誰かが申請して誰かが設定を直すことになります。
4. 出張先のホテルや空港、取引先の会議室からの接続は、前もって分かりません。

運用の手間を見積もる

判断するときは、設定作業そのものより、その後にかかる手間を見てください。見積もる項目は次の3つです。

3つ目が抜けていることが多いです。設定画面そのものがIP制限の内側にある場合、外から直せません。管理会社に連絡して解除してもらう手順を、紙かオフラインのメモに残しておいてください。

多要素認証などとの組み合わせ

接続元を絞れない仕組みでは、IPアドレス制限の代わりに、認証そのものを強くする方向で考えます。多要素認証は、パスワードに加えて、スマートフォンのアプリや物理キーなど別の要素を求めるものです。パスワードが漏れただけでは入れなくなるため、接続元が動く働き方と両立します。

VPNを使えば、社員がどこからつないでも会社側から見た接続元は同じになります。ただしこれは「IP制限が使えるようになる」だけで、VPNの認証情報が漏れればその内側に入られます。VPN機器そのものの更新も必要です。どれを入れても、一つで足りるという話にはなりません。

実務ではこうなる

従業員10人の設計事務所を例にします。会計ソフトのサーバーと、図面を置いた社内のファイルサーバーは事務所からしか使いません。ここには事務所の固定IPだけを許可します。一方、勤怠の打刻と経費精算は現場や自宅から使うため、IP制限はかけず、多要素認証を有効にします。

グループウェアは全員が外から使うので、IP制限は見送ります。代わりに、退職者のアカウントを止める手順を月末の作業に入れました。この形なら、許可リストを触るのは事務所を移転したときだけになります。

まとめ

IPアドレス制限は、接続元が固定できる仕組みに限れば有効な一手です。動的IP、モバイル回線、在宅勤務が絡むと、守りより運用の負担が先に立ちます。かける対象を絞り、締め出されたときの戻し方を先に決め、接続元が動く仕組みには多要素認証で対応する。この順で考えると、判断がぶれません。