クラウドPBXのセキュリティは安全？リスクと対策・確認ポイントを解説

クラウドPBXにも、ログイン情報の漏洩や不正アクセスなどのセキュリティリスクがあります。
ただし、安全性はサービス側の対策だけでなく、利用企業側のアカウント・端末管理や運用ルールによっても変わります。

導入前には、認証やアクセス制御、データの管理方法などを確認するとともに、利用する端末やアカウントを自社で適切に管理する必要があります。

この記事では、クラウドPBXで想定されるセキュリティリスク、サービス側の対策、自社でできる対策を解説します。あわせて、クラウドPBXの安全性を判断するうえで確認したい法規制・緊急通報、停電・災害・BCPについても整理します。

クラウドPBXで想定されるセキュリティリスク

クラウドPBXでは、アカウントや端末をインターネット経由で利用するため、ログイン情報の漏洩や不正アクセスなどに注意が必要です。ただし、これらはクラウドPBXだけに特有の問題ではなく、クラウドサービス全般で想定しておきたいリスクでもあります。

ログイン情報の漏洩

クラウドPBXを利用する際は、IDやパスワードなどのログイン情報の漏洩に注意が必要です。

ログイン情報が第三者に知られると、管理画面やアプリへ不正にログインされる可能性があります。
推測されやすいパスワードを設定するほか、複数のサービスで同じパスワードを使い回すこともリスクを高める要因です。

また、IDやパスワードを記載したメモの紛失、第三者から見える場所での保管、フィッシングなどによって認証情報が漏れることも考えられます。

クラウドPBXそのものの対策だけでなく、利用者側で認証情報を適切に管理することが欠かせません。

電話帳・顧客情報の流出

電話帳や通話履歴などをクラウド側で扱うサービスでは、業務上の情報へ第三者がアクセスするリスクも考えておく必要があります。

たとえば、不正に取得されたアカウントでログインされた場合や、ログインしたままのスマートフォン・PCを紛失した場合には、権限の範囲内にある情報を閲覧される可能性があります。

どの情報をクラウド側へ保存するか、誰が閲覧できるか、退職者や異動者のアカウントをどのように停止するかなど、データと権限の管理方法まで含めて運用を決めておきましょう。

不正アクセス・アカウントの乗っ取り

クラウドPBXでは、第三者による不正アクセスやアカウントの乗っ取りにも注意が必要です。

漏洩したID・パスワードの悪用や、推測されやすいパスワードへの攻撃、フィッシングなどによって認証情報が取得されると、正規の利用者になりすましてログインされる可能性があります。

サービス側の不正アクセス対策だけに任せず、利用企業でもパスワード管理や多要素認証、不要アカウントの停止など、アカウントを守る運用が必要です。

端末のマルウェア感染

クラウドPBXのアプリを利用するスマートフォンやPC自体がマルウェアに感染するリスクもあります。

端末が侵害されると、保存されている情報や認証情報が外部へ送信されたり、業務で利用するほかのサービスにも影響が及んだりする可能性があります。

クラウドPBXのアプリだけでなく、端末のOSや利用しているソフトウェアも更新し、サポートされている状態で利用することが基本です。

通信の盗聴・なりすまし

インターネットを利用するクラウドPBXでは、通信経路の安全性も確認しておきたいポイントです。

特に社外からスマートフォンやPCを利用する場合、接続先となるネットワークの安全性にも注意します。誰でも接続できる公衆Wi-Fiなど、管理状況が分からないネットワークを業務利用する場合は、自社のセキュリティルールに沿った判断が必要です。

クラウドPBXを選ぶ際は、通信や認証情報をどのように保護しているかを確認してください。暗号化の有無や方式、利用できるセキュリティ機能はサービスによって異なります。

クラウドPBXのセキュリティはどう守られている？

クラウドPBXの安全性は、ベンダー側でどのような対策が行われているかによって変わります。「クラウドだから安全」と判断するのではなく、認証、データ管理、脆弱性対応、通信保護などの仕組みを確認することがポイントです。

ベンダー側で行うセキュリティ対策

クラウドPBXのベンダーは、サービスを安定して提供するために、サーバーやネットワーク、アカウントなどに対するセキュリティ対策を行います。

ただし、具体的な対策や管理体制はサービスによって異なります。
そのため「クラウドPBXだから安全」と考えるのではなく、導入候補のサービスがどのような対策を公開しているかを確認しましょう。

法人で利用する場合は、セキュリティに関する問い合わせ窓口や障害・インシデント発生時の対応方法についても事前に確認しておくと、導入後の運用を整理しやすくなります。

ソフトウェアアップデート・脆弱性対応

安全性を維持するうえでは、新たに確認された脆弱性へ継続的に対応できる体制も確認したいポイントです。

クラウド基盤をベンダー側で管理するサービスでは、利用企業がサーバーを直接更新する必要がないケースがあります。
一方、スマートフォンやPCで利用するアプリは、利用者側で更新が必要になる場合があります。

サービスの更新情報やサポート情報を確認するとともに、利用端末側でもOS・アプリのアップデートを適用できる運用にしておきましょう。

データの保管・管理体制

クラウドPBXを導入するときは、電話帳や通話履歴などのデータがどこで、どのように管理されるのかを確認します。

確認したい内容には、データへのアクセス権限、保存期間、バックアップ、ログの扱い、解約時のデータ処理などがあります。ただし、保存される情報や管理方法はサービスによって異なります。

自社で機密性の高い情報を扱う場合は、必要なセキュリティ要件を整理したうえで、その要件を満たせるサービスか確認してください。

認証・アクセス制御・通信保護を確認する

クラウドPBXを比較するときは、不正ログインを防ぐ認証機能やアクセス制御、通信を保護する仕組みも確認しましょう。

すべてのクラウドPBXが同じ機能を備えているわけではありません。自社で必要なセキュリティ要件を先に整理すると、サービスを比較しやすくなります。

自社でできるクラウドPBXのセキュリティ対策

クラウドPBXを安全に利用するには、ベンダー側の対策だけでなく利用企業側でアカウント・端末・社内ルールを適切に管理することも欠かせません。特に複数の従業員がスマートフォンやPCから利用する場合は、運用ルールを統一しておきましょう。

ログイン情報を安全に管理する

まず取り組みたいのが、ID・パスワードなどの認証情報を安全に管理することです。

複数人で1つのアカウントを共有すると、誰が操作したのかを把握しにくくなり、退職や異動の際にも管理が複雑になります。
サービス側で個別アカウントを発行できる場合は、利用者ごとに適切な権限を設定する方法を検討してください。

退職者や利用しなくなった端末のアカウントを放置せず、不要になった権限を速やかに見直せる運用も必要です。

推測されにくいパスワードと多要素認証を利用する

パスワードは、長く複雑で、ほかのサービスと使い回さないものを設定しましょう。

会社名、電話番号、生年月日、単純な数字の並びなど、第三者が推測しやすい文字列は避けます。
複数のサービスで同じパスワードを使用していると、別のサービスから認証情報が漏れた際に不正ログインへつながる可能性があります。

また、利用するクラウドPBXが対応している場合は、多要素認証を有効にすることで、IDとパスワードだけに依存しない認証へ強化できます。

IPA（独立行政法人情報処理推進機構）も、不正ログイン対策として長く複雑で使い回さないパスワードと、多要素認証の利用を推奨しています（参考：IPA「インターネットサービスへの不正ログインによる被害が増加中」）。

端末・アプリ・OSを最新の状態に保つ

クラウドPBXを利用するスマートフォンやPCでは、OSやアプリをサポートされている状態に保ち、提供されたセキュリティ更新を適用することが基本です。

古いOSやアプリを使い続けると、すでに修正されている脆弱性が端末側に残る可能性があります。
自動更新の利用可否や社内での更新ルールを決め、長期間アップデートされていない端末を放置しないようにしましょう。

社内の利用ルールと端末管理を徹底する

クラウドPBXをスマートフォンやPCで利用する場合は、どの端末・ネットワークから利用してよいかを社内ルールとして決めておくと管理しやすくなります。

特にBYODを認める場合は、会社が管理できる範囲と利用者本人が管理する範囲を曖昧にしないことがポイントです。

セキュリティ対策を確認してサービスを選ぶ

利用企業側で十分に対策していても、サービス側のセキュリティ機能や管理体制が自社の要件に合っていなければ、運用上の不安が残ります。

そのため、クラウドPBXを選ぶ際は料金や機能だけでなく、自社が必要とするセキュリティ要件を満たせるかを確認して比較しましょう。

必要なセキュリティ機能は、扱う情報や業務内容、社内のセキュリティ基準によって変わります。
導入前に自社の要件を整理し、確認できない点はベンダーへ問い合わせてください。

クラウドPBXの安全性でセキュリティ以外に確認したいこと

クラウドPBXを安全に運用するには、サイバーセキュリティだけを確認すればよいわけではありません。法人電話として利用するなら、法規制・緊急通報への対応や、停電・災害時に電話をどう継続するかまで含めて確認する必要があります。

法規制・緊急通報の条件を確認する

クラウドPBXを導入する際は、利用する電話サービスや接続方法に応じて、法規制や緊急通報に関する条件を確認しておきましょう。

110番・119番などの緊急通報への対応は、電話番号やサービス、利用方法によって異なります。たとえば、警察庁は「050」番号で始まるIP電話には110番通報機能が備わっていないと案内しており、消防庁も「050」から始まる電話番号のIP電話等では原則として119番通報ができないと案内しています。

従来の固定電話と同じように使えると決めつけず、契約前に提供事業者へ確認してください。
出典：警察庁「携帯電話、IP電話等からの110番通報における位置情報通知システムの運用について」、消防庁「正しい119番緊急通報要領」

クラウドPBXに関係する法規制や緊急通報について詳しく確認したい方は、クラウドPBXの法規制・緊急通報を解説した記事をご覧ください。

停電・災害時の電話継続とBCPを確認する

クラウドPBXはインターネット回線や利用端末を使うため、停電や通信障害が発生した際にどのような影響が出るかも確認しておく必要があります。

災害時にも電話業務を継続したい場合は、電源やインターネット回線、代替となる連絡手段などを含め、平常時から運用方法を決めておきましょう。

停電・災害時の注意点やBCP対策については、クラウドPBXの停電・災害対策とBCPを解説した記事で詳しく紹介しています。

クラウドPBXの安全性・導入環境はOFFICE110へご相談ください

クラウドPBXを安全に導入するには、セキュリティ機能だけでなく、現在の電話環境やネットワーク、運用方法まで含めて自社に合う構成を検討することがポイントです。

たとえば現在の電話番号を継続できるか、何台の端末・IDが必要か、同時に何通話必要かによって、適した構成は変わります。既存のPBX・主装置を残したい場合や、拠点・テレワーク先でも利用したい場合は、その条件もあわせて確認する必要があります。

「どのクラウドPBXなら自社のセキュリティ要件に合うのか分からない」「現在の電話環境からどう切り替えればよいか判断できない」という場合も、現在の利用環境を整理したうえでご相談いただけます。

クラウドPBXのセキュリティに関するよくある質問

まとめ

クラウドPBXでは、ログイン情報の漏洩、不正アクセス、端末のマルウェア感染などのリスクを想定しておく必要があります。一方で、クラウドPBXだから危険と判断するのではなく、サービス側の対策と利用企業側の運用をあわせて確認することがポイントです。

導入時には、認証・アクセス制御・データ管理・通信保護などのセキュリティ面に加え、法規制や緊急通報、停電・災害時の運用まで確認しておくと、自社に必要な条件を整理しやすくなります。

OFFICE110では、現在の電話番号、必要な端末・ID数、同時通話数、既存PBX・主装置、電話回線やインターネット環境などを踏まえたクラウドPBXの導入相談を受け付けています。サービスや構成に迷っている方は、クラウドPBXの総合ページもあわせてご確認ください。