企業固定IP VPN導入ガイド：第7段階の手順と役割別に行うこと

企業固定IP VPNとは何ですか？

企業固定IP VPNとは、メンバーのインターネットトラフィックを会社専用VPNサーバーに集めた後、会社のみに割り当てられた変わらないIPアドレスにエクスポートする方式です。社内システムや業務用SaaSの立場では、メンバーが家にいても出張地にいても、いつも同じ住所から接続しているようです。

IPホワイトリストとは、事前に登録した出発地IPからのアクセスのみを受け入れるアクセス制限方式です。パスワードが流出しても登録されていない場所ではログイン画面に到達できないため、防御線がもう1つ発生します。問題は、在宅インターネットとモバイルデータのIPが人によって異なり、頻繁に変わることです。メンバーごとに自宅IPを登録すると管理が無限に増え、便宜のために範囲を広く開くとホワイトリストの意味が弱くなります。静的IP VPNは、この問題を「登録するIPを1つに減らすこと」で解決します。

デバイスと専用サーバーの間は、WireGuard暗号化トンネルで保護されています。専用サーバーとターゲットシステムの間は、そのシステムが提供するHTTPSなどの暗号化によって保護レベルが決まります。専用IPは会社にのみ割り当てられるため、ホワイトリストに登録しても、他の組織の利用者が同じIPに入る心配が少なくなります。 WireGuardの構造は WireGuardを簡単に理解するで詳しく取り上げました。

導入7段階はどのような順番で行われますか？

導入は相談から接続確認まで7段階に進み、ホワイトリスト登録(4段階)をメンバー招待(5段階)より先に終えれば、最初の接続ですぐに業務システムを書くことができます。 1～2段階は経営陣とIT担当者が一緒に、3段階はStageVPNが、4～5段階はIT担当者が、6～7段階はメンバーとIT担当者が引き受けます。

1つのアカウントは1つの会社にのみ参加でき、座席がいっぱいになると新しいメンバーは招待を受け入れることができません。人数を増やす予定がある場合は、カウンセリング段階で座席数に余裕を持たせることをお勧めします。

運営規則：導入後に何を守るべきですか？

運営の中核は、退職者即時除外、ホワイトリスト最新の維持、専用IP評判保護の3つです。固定IPは「どこから来るのか」だけ確認するので、アカウント・機器・権限制御とともに運営しなければなりません。

退職者と部門の移動者の処理

退社または役割の変更が確定したら、企業コンソールからそのメンバーをすぐに除外する必要があり、除外するとすぐに会社の資格のVPN接続が切断されます。利用規約第24条第4項は、権限がなくなった構成員を遅滞なく削除することを企業顧客の義務で定めています。

専用IPはサーバ移転、障害対応、ホスティング事業者の事情のように避けられない事由があれば事前通知（緊急なら事後遅滞なし）後に変更することができ、契約が終わると回収されます（利用約款第24条第6項）。回収されたIPをホワイトリストに残しておくと、他のユーザーに割り当てられた後に不要な許可になるので、契約終了前に削除スケジュールをつけておいてください。

運用チェックリスト

• 固定IPを登録したシステムのリストと各システムの担当者を文書で管理します。
• 専用IP変更通知を受け取る担当者と請求連絡先を企業コンソールで最新の状態に保ちます。
• 毎月メンバーリストを人事名簿と対照して退社・移動者をまとめます。
• 企業コンソールの監査記録で招待・除外・設定変更履歴を確認します。
• ホワイトリストを持っていても、すべてのビジネスアカウントに複数の認証（MFA）を維持します。許可されたIPからのアクセスであっても、消臭されたアカウントや感染したデバイスから来た場合、固定IPは妨げられません。
• 専用IPや企業VPN接続権限を会社外の個人・組織に共有したり、再販しません。
• スパム発送、一括自動収集のようにIPレピュテーションを落とし、ブロックリストに上がる使用を禁止します。
• 契約で定められた人員、国、用途を超えないことを確認します。
• 海外出張前には、現地の法令と利用条件を確認するようご案内いたします。

導入前の質問チェックリスト

以下の質問にすべて回答できる場合は、カウンセリング段階で構成をすぐに確認できます。答えにくい項目は相談時にそのまま質問すればいいです。

• 固定IPで保護したいシステムとは何ですか？各システムにIPホワイトリスト機能がありますか？
• ホワイトリストシステムだけを書くか、または一般的なWeb利用も一緒にするか。 （アクセス方式「専用IPのみ」または「専用IPとパブリックサーバー」）
• 予想利用人数は何人で、1年以内にどれだけ増えることができるか？ (座席数)
• メンバーが使う機器は何ですか？ （iPhone・iPad、Android）
• 勤務先と主要出張国はどこですか？ (利用可能国、専用IP数)
• 企業コンソールを運営する管理者と専用IP変更通知を受ける担当者は誰ですか？
• メンバーに個人情報処理と管理者が見る情報の範囲をどのように知らせるのか？
• 退社・移動時に人事担当者が管理者に知らせる手続きがあるか？
• ホワイトリストで複数の認証、デバイスの更新、最小限の権限を運営していますか？
• 希望の導入時点はいつであり、その前にホワイトリスト登録を終了できますか？

相談は StageVPNビジネスページで申請できます。期待される人員と使用機器、勤務先と出張国、専用IPを必要とする業務システム、希望導入時点を一緒に知らせれば相談が早くなります。