Upgrade to Pro — share decks privately, control downloads, hide ads and more …

セキュアな Drive 外部共有に向けた freee の挑戦

freee
April 25, 2018

セキュアな Drive 外部共有に向けた freee の挑戦

2018/04/25
G Suiteユーザ会でのLT

from teppei-tosa

freee

April 25, 2018
Tweet

More Decks by freee

Other Decks in Technology

Transcript

  1. freee 株式会社
    セキュアな Drive 外部共有に向けた freee の挑戦

    View full-size slide

  2. 新卒で国内大手金融機関システム子会社に入社。
    前半8年間に基幹系システムの開発を担当し、
    銀行合併も経験。
    後半5年間は研究開発部門の担当マネージャーに従事。
    その後 freee に転職。
    当初は 会計freee の記帳系、請求書系の開発を担当。
    兼務で CSIRT を担当し、銀行提携に関わるセキュリティ調整を担
    当。その後、CISOに就任。さらに CIO も兼任。
    妻と子供2人と猫2匹との6人家族。
    Teppei Tosa
    土佐 鉄平
    freee株式会社 CISO 兼 CIO
    2

    View full-size slide

  3. 3
    Mission
    ビジネスに携わるすべての人が
    「創造的な活動」にフォーカスできるよう
    96億603万円 (資本準備金等含む)
    従業員数
    事業内容
    クラウド型バックオフィスサービスの開発・販売
    資本金
    設立年月日
    2012年7月
    530名(2017年12月末時点)
    生産年齢人口が劇的に減少し、慢性的な人手不足となる日本で
    労働生産性向上は緊急の課題となっております。
    その課題に対しfreeeは「人工知能」と「統合基幹業務システム」を
    クラウド技術を活用し全国へ提供し、
    業務効率化を実現するサポートを続けることで、
    中堅中小企業のバックオフィス業務効率化を目指しております。

    View full-size slide

  4. 市場からの評価:法人シェア No.1
    4
    * BCN調べ
    * MM総研調べ
    * 2017年8月より、クラウド給与計算ソフト freeeは、機能を強化し、新たに「人事労務 freee」というサービス名に変更しました。
    クラウド給与ソフト
    市場
    40%
    クラウド会計ソフト
    市場
    35.2%
    100万
    事業所
    以上
    10万
    事業所
    以上
     

    View full-size slide

  5. 会計freee と G Suite との API連携を促進して参ります
    G Suite ユーザは 会計freee をお安く利用いただけます
    5

    View full-size slide

  6. クラウドサービスを提供する freee が社内で利用するシステムは、G Suite を始めとして、
    ほぼ全てクラウドサービスとなっています。
    freee は G Suite を徹底活用しています
    6

    View full-size slide

  7. 7
    例:Google Form
    セキュリティ理解度確認に活用
    - 定期的なセキュリティ教育を兼ねた理解度確認を実施
    - Google Form の「テスト」モードの機能をフル活用

    View full-size slide

  8. テストモードを使うと、回答者の成績や、正解/不正解時の解説などを表示できる
    Google Form のテストモード
    8

    View full-size slide

  9. チェックボックスによる回答スタイルにして、「選択する個数」を指定可能
    回答者の無駄なケアレスミスを防ぐことができる
    選択必須数を指定
    9

    View full-size slide

  10. 簡単な分析結果も自動表示してくれて便利
    簡単な分析結果
    10

    View full-size slide

  11. 11
    まとめ
    - 簡単にテストが作れる
    - 自社独自ルールを基にした実体的な理解度確認ができる
    - [要望] 文章の装飾ができたらありがたい
    - [要望] 各質問の後に解説を表示する機能が欲しい

    View full-size slide

  12. 12
    Driveの外部共有を許可していますか?

    View full-size slide

  13. 13
    freee での Google Drive の外部共有は
    「積極的 且つ 安全に使ってもらいたい」のスタンス
    - メール添付より圧倒的に安全
    - 有効期限設定、コピー禁止・ダウンロード禁止等の設定ができる
    - 後から共有解除ができる
    - 実際に見られたかどうか、ダウンロードされたかをログで追える
    - とはいえ共有先を間違えるリスクはメール添付と同じなので、仕組みや運
    用で従業員をフォローしてあげる必要がある

    View full-size slide

  14. 以下の4つの基本ルールに基づき、様々な運用を構築(一部進行中)
    Drive外部共有4つの基本ルール
    14
    1. 「ウェブで一般公開」「リンクを知っている全員」への共有設定は原則禁止
    2. フォルダ単位の外部共有は禁止
    3. 外部共有設定は必要最低限に
    4. 外部共有ファイルのファイル名に [shared] と入れる

    View full-size slide

  15. - G Suite Report API を叩く 日次スクリプトを用意して運用をサポート
    - その日に上記設定がされたファイルを抽出
    - 例外登録(Google Form)されているか確認
    - 例外登録が無いようであれば、設定者にメールして共有範囲の見直しを依頼
    1.「ウェブで一般公開」「リンクを知っている全員」への共有
    設定は原則禁止
    15

    View full-size slide

  16. - 外部共有設定しているフォルダから設定をひっぺがし、配下のフォルダに同じ設定をつ
    けて回るスクリプトを定期実行
    - 受け取り専用外部共有フォルダを用意(後述)
    2. フォルダ単位の外部共有は禁止
    16

    View full-size slide

  17. 受取フォルダ
    ② ①で作ったフォルダのItemIdをURLから取得してそ
    れをフォルダ名にして外部受取親フォルダに、受取フォ
    ルダを作成
    受け取り専用外部共有フォルダ
    17
    最終格納フォルダ
    ① 外部から受け取るファイルを最終的に格
    納するフォルダを用意(外部共有設定しな
    い)
    外部受取親フォルダー(CSIRTにて外部共有済) ③ ②で作ったフォルダのURL
    を相手に伝える
    ⑤ Botアカウントが
    1時間毎にファイル格納を検知して、ファイ
    ルを移動させる
    ④ ③で伝えたURLに、
    ファイルを格納してもらう

    View full-size slide

  18. - 編集権限をつけないことで付与できる様々な制限について教育
    - コピー禁止、印刷禁止、ダウンロード禁止
    - 有効期限設定
    - 外部共有不要では?と思われるファイルを一定条件で抽出するスクリプトを稼働させ、
    設定見直し依頼メールを自動送信
    - 一定日数、アクセスのないファイル
    - 一定日数、外部ドメインのアクセスしかないファイル
    3. 外部共有設定は必要最低限に
    18

    View full-size slide

  19. - 外部共有しているのに、shared 入っていないファイルには強制的にファイル名を更新し
    て回るスクリプトを稼働
    4. 外部共有ファイルのファイル名に [shared] と入れる
    19

    View full-size slide

  20. 20
    G Suite のサードパーティアプリ DriveChecker を導入
    - G Suite Drive API だけでは、現状の外部共有状態を正確に把握できない
    (別途DBの用意がどうしても必要となる)
    - ファイル数が膨大でAPI利用制限に抵触してしまう
    - DriveChecker は 全ファイルの共有状態を CSV 出力できる

    View full-size slide

  21. 21
    まとめ
    - freee での Google Drive の外部共有は「積極的 且つ 安全に使ってもらい
    たい」のスタンス
    - 4つの基本ルールに基づいて運用を構築
    - G Suite API ではやりきれないので DriveChecker を活用

    View full-size slide

  22. スモールビジネスに携わるすべての人が
    創造的な活動にフォーカスできるよう

    View full-size slide