ワークフローのIPアドレス制限は1つの設定では足りない

こんにちは。シンプルなのに多機能で圧倒的に使いやすい、クラウドワークフロー「kickflow」のメディア運営チームです。

「ワークフローのIPアドレス制限をかければ、社外からの利用の禁止という条件は満たせるのか」
本番稼働を前に、情報セキュリティ部門から社外利用の禁止を求められた情シスで、こうした声が出ることがあります。
設定そのものは許可するIPアドレスを並べるだけでも、有効にした日から承認の進み方や管理者の入り方まで変わるためです。

許可リストに書くIPアドレスは、ネットワークの資料から拾えます。
ただ、その持ち主は1人ではなく、管理者の締め出しや止まる承認への備えはリストの外側で用意するものです。
そこで今回は、IPアドレス制限で影響が出る先と、有効にする前後に見ておくことを解説します。

この記事の要点

• ワークフローのIPアドレス制限で満たせるのは、許可リストに無い出口からの利用の禁止までです。社外からの利用の禁止は、どの端末をどの出口に通すかを決めて、はじめて制限の設定に置き換わります
• 許可リストに書くIPアドレスには、社内の出口、VPNの出口、クラウドプロキシの出口、連携元のサーバという4つの出どころがあります。持ち主が別々のため、変更の知らせがリストの担当者に届く道を先に作ります
• 止まるのは、許可リストに載った出口を通らない端末からの承認と参照、そして社外のゲストからの申請です。承認の軽減策はステップによって違い、参照は代わりを立てにくい操作です
• 見ておくことは、有効化の前、当日と翌朝、その後の期間という3つの時点で違います。当日の試験で示せるのはその日に制限が効いていたことまでで、監査に備える記録は期間を通じて残します

ワークフローのIPアドレス制限の仕組みと影響が出る先

ワークフローのIPアドレス制限とは、接続元のグローバルIPアドレスを見て、許可リストに無いネットワークからの利用を遮断する仕組みです。
判定しているのは場所ではなく、通信がインターネットへ出ていく出口のため、社外からの利用の禁止という要件は、そのままでは設定に写せません。
影響は、許可リストの中身、承認と参照、管理者の入り方、監査の記録の4か所に出ます。

社内の席でも在宅のVPN経由でも、許可リストに載った出口を通れば使え、携帯回線のスマートフォンは出口が載っていないため遮断されます。

例えば、従業員1,200名の会社で、来月の本番稼働を前に制限を有効にする場面です。
営業部から上がった300万円のノートPC購入稟議は、規程で営業本部長の決裁と決まっています。
本部長は週の半分を外出しており、承認の多くを移動中のスマートフォンで済ませてきました。

制限を有効にした日から、この稟議は本部長が許可リストに載った出口を通るまで止まります。

相談の場で、IPアドレス制限の影響を、社外のスマートフォンからはVPNを通さないと使えなくなる、と説明したことがあります。
そこで、チャットに届いた通知からその場で承認しても通らないのか、と聞かれました。
私の説明は画面を開く話で、チャットの承認ボタンの通り道には触れていませんでした。

チャットの通知に承認ボタンが付く製品では、ボタンの操作がチャットサービスのサーバからワークフローへ届きます。
空港で押した承認がIPアドレス制限にかかるかは、製品の作りによります。
どちらに当たるかは、制限を保存したあとに社外の回線から1件押してみれば分かります。

許可リストに載せるIPアドレスの4つの出どころ

許可リストに書くIPアドレスは、自社が自由に決められるものばかりではありません。
出どころは、社内の出口、VPNの出口、クラウドプロキシの出口、連携元のサーバの4つで、持ち主もそれぞれ違います。

クラウドプロキシの出口は、多くの場合、提供元が公開しているレンジで、予告を経て変わります。
自社のネットワークを何も変えていなくても、許可リストが合わなくなる型です。
共有のレンジをそのまま載せると、同じサービスを使うほかの会社の通信も許可リストを通ります。
自社専用の出口IPアドレスを持てるサービスなら、そちらを載せるかも、プロキシの担当者と決めます。
レンジの変更通知はネットワークの担当者に届き、許可リストを直すのは情シスの別の人、という分担は珍しくありません。
許可リストの担当者に変更の知らせが届く道を、有効化の前に作っておく必要があります。

連携元のサーバは見落とされやすい出どころです。
人事システムから組織と所属をAPIで流し込んでいる場合は、注意が要ります。
その呼び出しが制限の対象になる製品では、サーバのIPアドレスを載せないと夜間の連携が止まります。
一方で、サーバのIPアドレスを載せると、そのサーバを経由した人の操作も通ります。
サーバから人が画面を開ける構成かを、連携を組んだ担当者に聞いておきます。

許可リストの外で止まる承認と参照

止まるのは、許可リストに載った出口を通らない端末からの承認と参照です。
社用端末をVPNやクラウドプロキシに通せば、社外でも両方とも通ります。
申請と管理設定は社内の席で済むことが多く、社外を閉じても表に出にくい操作です。

300万円の稟議にいちばん効くのは、本部長の社用スマートフォンをVPNやクラウドプロキシ経由にすることです。
情報セキュリティ部門の「社外からの利用の禁止」という要件は、制限の言葉に直すと「社用端末なら社外でも可、私物端末と知らない回線は不可」になります。
社内の出口だけを載せる線と、この線のどちらで合意するかは、情報セキュリティの規程を持つ部門と決めます。

社用端末を通さない承認者がいる場合、軽減策は承認のステップによって違います。

• 課長や部長など途中のステップは、代理承認や、後ろの承認者が止まったステップを次へ進める引き上げで、止まりを短くできます。規程上省けないステップがあるなら、その後ろのステップの承認者には引き上げを許可しません
• 規程で決裁者が決まっている最後のステップは、決裁権限規程に代決の定めがある範囲でしか代理承認に回せません。後ろに承認者がいないため、引き上げも使えません

決裁のステップで代理承認をどこまで使うかは、代理承認の設定は、本人だけに持たせて足りるかで扱っています。

代わりを立てにくいのは参照です。
社用端末を持ち出していない打ち合わせや、私物端末しか手元にない場面では、過去の稟議を開く操作をほかの人に代わってもらえません。
頻度は低くても、必要なときは急ぎます。
参照をどこまで社用端末に限るかも、同じ部門との合意に含めます。

外部公開フォームにもIPアドレス制限がかかる製品では、取引先や応募者など社外のゲストからの申請が、有効化の日から届かなくなります。
ゲストの接続元は分からないため、許可リストには載せられません。
外部公開フォームを使っている書式は有効化の前に洗い出し、受付を別の窓口に移すか、その書式のために有効化を見送るかを、書式を持つ部門と決めます。

IPアドレス制限を有効にする前後の3つの確認

IPアドレス制限で見ておくことは、有効化の前、当日と翌朝、その後の期間の3つの時点で違います。
前は締め出しと止まる受付への備え、当日と翌朝は動作、その後の期間は監査に備える記録を見ます。
IPアドレス制限は上位プランや追加契約でだけ使える製品もあるため、契約の範囲もあわせて確かめます。

許可リストに自分の今いるネットワークが無ければ、保存した本人が入れなくなります。
有効化は、許可リストに載ったネットワークから行います。
ただし、設定を変えられる人が増えるほど、社外を開ける操作をできる人も増えます。
設定を変えられる人は、締め出しに備えられる最小の人数にとどめるのが一つの考え方です。

チャットの承認ボタンが社外の回線から通った場合は、チャットからの承認を認めるかを、規程を持つ部門と決めます。
認めない場合は、チャットとの連携そのものを組まない形も選べます。

当日の試験で示せるのは、その日に制限が効いていたことまでです。
期間を通じて効いていたことを示すには、制限の設定を変えた操作が管理者の操作ログに残るかを、当日に見ておきます。
操作ログの保存期間が監査の対象期間を覆わなければ、書き出して保管します。
社外からの試験も、間隔を規程を持つ部門と決めて繰り返します。
管理者の操作ログを監査でどう使うかは、ワークフローの監査対応。閲覧権限では答えられない質問で整理しています。

有効化の日を本番稼働の前日に置くと、締め出しと連携の不具合が稼働初日の問い合わせと重なります。
切り替えの進め方は、一斉リリースと段階リリースは移行の負荷を置く場所が違うで扱っています。

まとめ

最初に決めるのは、許可リストの中身ではなく、情報セキュリティの規程を持つ部門と合意する線です。
本部長のような外出の多い承認者の社用端末を社外でも通すかが決まれば、許可リストに載せる出口も、社外で諦める参照の範囲も同じ場で決められます。
有効化の日取りは、そのあとで2人目の管理者と連携の担当者の予定に合わせて決めます。

この記事の整理が、有効化の前後の段取りを組むときの手がかりになれば幸いです。

よくある質問

私物のスマートフォンから承認したいと言われたらどうしますか

IPアドレス制限は端末ではなく出口を見るため、私物か社用かを区別しません。
私物のスマートフォンに社内のVPNを入れれば通り、入れなければ携帯回線の出口で弾かれます。
私物端末にVPNを入れることを認めるかは、端末の管理規程を持つ部門が決めます。
認めない場合は、承認のステップごとの手当てに戻ります。
途中のステップなら代理承認や引き上げ、規程で決裁者が決まったステップなら代決の定めの範囲の代理承認です。

IdP側でIPアドレス制限をかけていれば、ワークフロー側の制限は要りませんか

IdPの判定が入るのは認証のときで、ワークフロー側の判定とは別の許可リストになります。
SSOとパスワードなど別の認証方法を併用できる製品では、IdPを通らないログインにIdP側の制限はかかりません。
IdP側だけで判定する場合、社内でログインした端末を持ち出すと、セッションが切れるまでは社外からも使えることがあります。
一方で両方に置くと、拠点を足したときに片方だけ直して弾かれる、という切り分けの手間が生まれます。
どちらを取るかは、IdPを通らないログインを塞げるかと、許可リストを2か所で保つ手間で決まります。

社外から弾かれることの試験は誰が行いますか

許可リストを変えた本人とは別の人が行うと、監査で説明しやすくなります。
設定した人が自分で試した記録だけでは、設定と確認が同じ人の手で閉じてしまうためです。
回線は携帯回線など許可リストに無いものを使い、日時と接続元のIPアドレスを、弾かれた画面と一緒に残します。