LMSのセキュリティの確かめ方｜ログイン・権限・記録・データの守りのチェックリスト

LMS のセキュリティで確かめること

LMS(学習管理システム)には、社員の氏名・メールアドレス・所属に加えて、どの研修を受けたか、テストで何点だったかといった記録が集まります。外に漏れれば本人の評価や信用に関わり、会社としての信頼も損ないます。

セキュリティと聞くと難しく感じますが、研修の担当者が確かめることは、次の 6 つに分けると整理できます。

事業者に任せる部分と、自社で担う部分

クラウドの LMS では、建物やサーバー、通信の暗号化、バックアップなどは事業者が担います。一方で、パスワードの規則をどうするか、誰にどの権限を配るか、退職した人のアカウントをいつ止めるかは、使う側が設定し、運用する部分です。どんなに守りの機能が揃っていても、設定しなければ働きません。

LMS を選ぶときは「機能があるか」と一緒に、「自社で設定・運用できるか」を確かめます。LMS のタイプごとの違いはどのタイプ?重視するポイントから LMS を絞り込むで扱っています。

守る相手は社外だけではない

セキュリティというと社外からの攻撃を思い浮かべがちですが、研修のデータで起きやすいのは、見えてはいけない人に見えてしまうことです。権限の配りすぎ、退職者のアカウントの放置、書き出したファイルの置きっぱなしなど、社内の運用で防げるものが多くあります。

ログインの守り

ログインは、LMS の入口です。本人だけがログインできるように、いくつかのしくみを組み合わせて守ります。

シングルサインオン

シングルサインオン(SSO)は、会社で使っている ID の仕組み(社内のアカウントの管理基盤)でログインすると、LMS にもそのまま入れるしくみです(SSO)。

• 社員が覚えるパスワードが減り、使い回しを防げる
• 社内の ID の仕組みで決めたログインの規則(2段階認証など)を、LMS にもそのまま効かせられる
• 社内の ID の仕組みでアカウントを止めると、LMS にも入れなくなる

確かめることは、自社の ID の仕組みと同じ方式に対応しているか、どの契約で使えるか、受講者と管理者の両方に使えるか、です。ユーザーの登録や停止を ID の仕組みから自動で送る SCIM という方式に対応しているかも、合わせて確かめます。

2段階認証

パスワードに加えて、スマートフォンの認証アプリに表示されるコードなど、もう 1 つの確かめ方を求めるしくみです(2段階認証)。パスワードが知られても、それだけではログインできません。

特に、管理者のように多くの人の情報を見られる役割には、2段階認証を使うことを強くおすすめします。確かめることは、どの役割で使えるか、スマートフォンを失くしたときにどう解除するか、です。

パスワードの規則

シングルサインオンを使わない人は、パスワードでログインします。組織として、パスワードの長さや使う文字の種類、変更の時期、何度か失敗したときにログインを止める扱いを決められるかを確かめます(パスワードポリシー)。

規則は厳しければよいわけではありません。複雑すぎると、メモに書いて貼る、似たパスワードを使い回す、といった別の危なさが生まれます。長く覚えやすいパスワードを勧め、ほかのサービスと使い回さないよう案内するほうが効果的です。

自動ログアウトと同時ログイン

操作が無いまま一定の時間が過ぎたら、自動でログアウトするしくみです。共用のパソコンでログインしたまま席を離れても、ほかの人に使われにくくなります。同じアカウントで複数の端末から同時にログインできないようにする設定も、アカウントの貸し借りを防ぐのに役立ちます。

ログインの記録

いつ、どこから、どの方法でログインしたかが記録されていると、見覚えのないログインに気づけます(ログイン履歴)。本人が自分の記録を見られるか、管理者が組織の全員分を確かめられるかを確かめます。

接続元と利用者の制限

ログインの守りに加えて、「どこから使えるか」「誰が使えるか」を絞る方法もあります。

接続元の制限

会社のネットワークなど、許可した接続元からだけ LMS を使えるようにするしくみです(IPアドレス制限)。社外から使われる心配を減らせます。

一方で、在宅勤務や外出先、スマートフォンで学ぶ人が多い会社では、制限が強すぎると研修が進みません。次のように、範囲を決めて使い分けます。

管理の画面だけを社内からに絞る、という考え方もあります。確かめることは、組織全体と研修ごとのどちらにかけられるか、です。

使えるメールアドレスを絞る

招待や登録ができるメールアドレスを、会社のドメインだけに絞るしくみもあります。個人のメールアドレスで登録されたまま退職後も使われる、といったことを防げます。取引先や協力会社の人にも研修を受けてもらう場合は、例外の扱いを決めておきます。

制限をかける前に確かめること

• 在宅勤務の人、出張の多い人が受講できなくなっていないか
• 会社のネットワークの接続元が変わる予定はないか(回線の変更、拠点の移転)
• 制限で入れなかった人の問い合わせ先を決めたか

権限の分け方

LMS を使う人は、研修を受ける人だけではありません。研修を作る人、採点する人、部署の進み具合を見る人がいます。誰にどこまで任せるかを決めるのが、権限の分け方です(権限とロール)。

仕事に要る範囲だけを配る

権限を決めるときの原則は、一人ひとりに、その仕事に要る範囲だけを配ることです。「念のため」で管理者の権限を配ると、見えなくてよい情報まで見えてしまいます。

確かめること

• 役割の種類が自社の運用に合っているか(講師や部署の管理者のように、範囲を絞った役割があるか)
• 部署の管理者に、受け持つ部署の人だけを見せられるか
• 管理者の数を絞れているか(多すぎないか)
• 役割を変えたとき、外したときに、すぐに見えなくなるか

管理者の役割や、運用の分担の考え方はLMS管理者の仕事でも扱っています。

共有のアカウントを作らない

「研修担当」「人事部」のように、複数の人で 1 つのアカウントを使い回すと、誰が操作したのかが記録から分からなくなります。担当が替わってもパスワードが変わらず、離れた人が使い続けられる状態にもなりがちです。アカウントは一人に 1 つを配り、担当が替わったら権限を付け替えます。

定期的に見直す

異動や担当の交代があると、権限は少しずつ増えていきます。半年に 1 回など時期を決めて、役割ごとの人の一覧を見直し、要らなくなった権限を外します。

操作の記録

誰が、いつ、何をしたかを残す記録を、監査ログ(操作履歴)と呼びます(監査ログ)。問題が起きたときに原因を調べる、間違いの操作に気づく、社内や取引先の監査に答える、といった場面で使います。

記録に残すこと

確かめること

• 管理の画面での主な操作(ユーザーの登録と停止、権限の変更、設定の変更、データの書き出し)が記録に残るか
• 記録を、分類や期間、キーワードで探せるか
• 記録を書き出して、社内で保管できるか
• 記録を、管理者を含めて画面の操作で書き換えたり消したりできないか
• 記録を見られる人が絞られているか

記録は見る時期を決めておく

記録は、残すだけでは役に立ちません。月に 1 回、権限の変更やデータの書き出しのような大事な操作に絞って目を通す、と決めておくと、見覚えのない操作に早く気づけます。記録を残す期間が決まっている場合は、長く残したい分を書き出して保管します。

データの置き場所と暗号化

LMS に預けたデータが、どこに、どのように守られて置かれているかを確かめます。

通信の暗号化

ブラウザと LMS の間の通信が暗号化されているかを確かめます(暗号化)。今のクラウドサービスでは、暗号化されていない通信を受け付けないのが一般的です。

保存の暗号化

保存されたデータが暗号化されているか、パスワードが元に戻せない形で保管されているかを確かめます。

保存する国と地域

データがどの国のデータセンターに保管されているかを確かめます(データの保存場所)。社内の規程や取引先との約束で、国内に保管することを求められる場合があります。

メールの送信や動画の配信、障害の監視などは、別の事業者(委託先)のサービスを使っていることがあり、その処理が外国で行われることもあります。「原則として国内」という説明のときは、例外にどんな処理があるかも確かめます。

委託先

LMS の事業者が、ほかの事業者にどんな処理を任せているか(委託先)を確かめます。個人情報を扱う処理を外に任せている場合、その委託先をどう管理しているかも、社内の審査でよく尋ねられます。

ほかの組織とのデータの分け方

クラウドの LMS は、多くの会社が同じしくみを使っています。会社ごとにデータが分けられ、ほかの会社のデータに届かない作りになっているかを確かめます。

契約を終えるときのデータ

LMS の契約を終えるときに、データを書き出せるか、事業者の側のデータがどう消されるか(削除の証明を出せるか)も、最初に確かめておきます。乗り換えの段取りはLMSの乗り換えの進め方で扱っています。

バックアップと復旧

障害や操作の誤りでデータが失われたときに、どこまで戻せるかを確かめます(バックアップと復旧)。

取る頻度

バックアップをどのくらいの間隔で取っているかです。間隔が長いほど、戻したときに失われる期間が長くなります。

残す期間

取ったバックアップを、どのくらいの期間残しているかです。誤って消したことに気づくのが遅れると、残す期間を過ぎて戻せなくなることがあります。

復旧の目標

障害が起きたとき、どのくらいの時間で使える状態に戻すことを目標にしているか、どこまでのデータを戻せるかです。手順が決まっているかも確かめます。

ファイルの扱い

教材の動画や資料、受講者が提出したファイルが、バックアップの対象に入っているかを確かめます。対象に入っていない場合は、教材の元のファイルを社内でも保管しておく運用にします。

自社で備えておくこと

• 教材の元のファイルを、社内の決まった場所に保管する
• 受講の記録を、年度の終わりなど決まった時期に書き出して保管する
• LMS が使えないときの連絡の方法と、研修の期限の扱いを決めておく

退職者・異動者のアカウントの扱い

退職した人のアカウントが残っていると、本人やほかの人に使われるおそれがあります。研修のデータで起きやすい事故の 1 つです(退職者のアカウント処理)。

退職のときの段取り

1. 人事から退職の予定を受け取る流れを決める — 研修の担当者が知らないうちに退職していた、ということを防ぎます
2. 退職の日にアカウントを止める — 消すのではなく、ログインできない状態にします。日付を指定して止められると、退職日を待たずに準備できます
3. 受講の記録を残す — 記録を消すと、過去の研修の実績や年度の数字が変わってしまいます。止めても記録が残るかを確かめます
4. 権限を持っていた人は引き継ぐ — 管理者や講師だった人が担当していた研修や採点を、ほかの人に移します

シングルサインオンや SCIM を使っていれば、社内の ID の仕組みでアカウントを止めると、LMS にも入れなくなります。手で止める作業を減らせるので、退職者の多い時期の漏れを防げます。

異動のときに気をつけること

異動では、アカウントは止めずに、所属と権限を変えます。前の部署の管理者の権限が残ったままになりやすいので、異動の時期に権限の一覧を見直します。

本人から消去を求められたとき

退職した人から、記録の消去を求められることがあります。氏名などの本人を特定できる部分だけを消し、受講の事実は数字として残す(匿名にする)方法が、LMS で取れるかを確かめておきます。

LMS を選ぶときのチェックリスト

ここまでの内容を、LMS を比べるときのチェックリストにまとめます。「対応している」だけでなく、「どう対応しているか」を説明してもらいます。

ログインと利用者

• 自社の ID の仕組みでシングルサインオンを使えるか。どの契約で使えるか
• 2段階認証を使えるか。スマートフォンを失くしたときの解除の方法はあるか
• パスワードの長さや文字の種類、ログインに失敗したときの扱いを組織で決められるか
• 自動ログアウト、同時ログインの禁止を設定できるか
• 接続元の制限を、組織全体と研修ごとのどちらにかけられるか
• 登録できるメールアドレスを、会社のドメインに絞れるか

権限と記録

• 役割の種類が自社の運用に合っているか。部署ごとに見える範囲を絞れるか
• 管理の画面での操作が記録に残り、探して書き出せるか
• ログインの記録を、本人と管理者が確かめられるか

データ

• データを保存する国と地域、例外になる処理は何か
• 通信と保存が暗号化されているか
• 委託先を一覧で示してもらえるか
• バックアップの頻度、残す期間、復旧の目標、ファイルが対象に入るか
• 契約を終えるときにデータを書き出せるか、削除の証明を出せるか

運用

• アカウントを日付を指定して止められるか。止めても記録が残るか
• 稼働率の目標と、メンテナンスや障害のお知らせの方法が示されているか
• 本人からの開示・消去の求めに、管理の画面で応えられるか

社内の審査への答え方

LMS を導入する前に、情報システム部門からセキュリティチェックシート(質問票)への回答を求められることがよくあります(セキュリティチェックシート)。研修の担当者が間に入って進めるときの段取りです。

1. 候補が絞れた段階で早めに始める — 審査には時間がかかることがあります。導入の時期が決まっているなら、逆算して始めます
2. 公開の資料を先に読む — 事業者のセキュリティのページや利用規約で分かることを先に集めます。分からないことだけを質問すると、やりとりが減ります
3. 社内の分担を決める — 情報システム部門・法務・個人情報の担当など、誰がどの項目を確かめるかを決めます
4. 扱うデータを書き出す — 氏名・メールアドレス・所属・受講の記録・テストの点数など、LMS に入れるデータの種類を一覧にすると、審査の重点が決めやすくなります
5. 自社で担う設定を書き添える — パスワードの規則、権限の配り方、退職者の扱いなど、自社で決めて運用することを回答に添えると、審査が通りやすくなります

導入した後の運用で守ること

セキュリティは、導入の時に設定して終わりではありません。運用の中で崩れていくのを防ぎます。

書き出したファイルにも気をつける

LMS の中がどれだけ守られていても、書き出した CSV がメールで回されたり、共有のフォルダに置きっぱなしになったりすれば、そこから漏れます。書き出したファイルを置く場所、見られる人、消す時期を決めておきます。

受講者にも伝える

パスワードをほかのサービスと使い回さない、共用のパソコンではログアウトする、見覚えのないログインの知らせが来たら連絡する、といったことを、研修の案内と一緒に伝えます。

パレットLMS でできること

パレットLMS では、次のような守りを使えます。

• シングルサインオン(SAML 2.0)とアカウントの自動同期(SCIM) — スタンダードプラン以上のご契約で使えます(詳しくは料金プラン)
• 2段階認証 — 認証アプリのコードによる 2段階認証に対応しています。管理・運営する方のログインは、共通のアカウント「パレットID」で行います
• パスワードの規則 — 組織の管理者が、最小の文字数・文字の種類・有効期限と、ログインに失敗したときのアカウントのロックを設定できます。規則が効くのは、パスワードでログインする受講者です
• 自動ログアウトと同時ログインの禁止 — セキュリティの設定で決められます。本人は、ほかの端末のログインを終わらせられます
• 接続元の制限と許可するメールドメイン — 接続元の制限は組織全体とコース単位の両方にかけられます
• 4 つの役割 — 管理者・講師・部署管理者・受講者。講師のレポートは担当するコースの受講者に、部署管理者は受け持つグループとその配下の受講者に絞られます
• 監査ログとログイン履歴 — 管理画面の操作を日本語の文で記録し、絞り込みと CSV の書き出しができます。成功したログインは、日時・入口・認証の方法・接続元・端末とともに記録します
• データの守り — 通信と保存するデータを暗号化しています。データは原則として日本国内(東京)で保管・処理しています(例外はセキュリティのページに掲載しています)
• バックアップ — データベースは日次でバックアップを取得しています。アップロードしたファイルはバックアップの対象外のため、原本はお手元でも保管してください
• アカウントの無効化 — 1 人ずつ・まとめて・CSV の一括更新で無効化でき、日付を指定した予約もできます。受講履歴と修了証は残ります
• 個人データの開示・消去と、退去のとき — 本人の求めに管理画面の操作で応えられます。退去のときは全データの書き出しと削除証明の発行に対応しています