「クラウドに大切な顧客情報を置くのは不安」。基幹システムの入れ替えをご検討中の葬儀社さまから、最も多くいただくご相談です。
結論から申し上げると、安全性を左右するのは「クラウドかどうか」ではなく、「どのクラウドを選び、どう設定し、どう運用するか」です。本記事では、攻撃がどのような仕組みで行われるのかを踏まえたうえで、葬儀社がクラウド型の基幹システムを選ぶ際に確認すべき7つのポイントと、ブリッジ葬儀の考え方をご紹介します。専門用語も登場しますが、できる限り身近な例えを交えて解説します。
なぜ今、基幹システムのセキュリティが問われるのか
警察庁が2026年9月に公表した統計によると、2026年上半期に報告されたランサムウェア被害は123件で、半期として過去最多となりました。被害組織の約6割は中小企業で、調査・復旧に1,000万円以上を要した組織が6割を占めています。
攻撃はどのように進むのか
ランサムウェアというと「ある日突然データが暗号化される」印象がありますが、実際には次のような段階を踏んで進行します。
- 侵入：更新されていないVPN機器の弱点や、漏えいしたID・パスワードを使って社内に入り込む
- 権限の奪取：一般社員の権限から、システム全体を操作できる管理者権限を手に入れる
- 内部の探索：重要なデータやバックアップの保存場所を探し回る
- 持ち出し：データを外部に送り出す
- 暗号化と脅迫：最後にデータを暗号化し、「元に戻したければ」「公開されたくなければ」と金銭を要求する
警察庁の調査では、侵入経路の約5割をVPN機器が占めています。つまり、攻撃の多くは「外から社内につなぐ入口」から始まります。また、暗号化の前にデータが盗み出されているため、バックアップから復旧できても情報漏えいの被害は残ります。これを「二重恐喝」と呼びます。
社内サーバーで基幹システムを運用している場合、この入口の管理、機器やソフトウェアの更新、バックアップのすべてを自社で担う必要があります。専任のIT担当者を置くことが難しい葬儀社にとって、これを何年も継続することは容易ではありません。
チェックポイント1：基盤そのものの信頼性
まず確認すべきは、システムがどのような基盤の上で動いているかです。
「責任共有モデル」を理解する
クラウドのセキュリティは、サービス事業者と利用企業とで責任を分担する「責任共有モデル」で考えます。マンションに例えると、建物の構造やエントランスのオートロック、防犯カメラは管理会社の責任であり、各部屋の鍵を誰に渡すか、窓を閉めるかは住人の責任です。
クラウドでも同様に、データセンターの警備、サーバーの保守、基盤ソフトウェアの更新は事業者が担い、アカウントの発行や権限の設定、パスワードの管理は利用企業が担います。
ブリッジ葬儀の基盤
ブリッジ葬儀は、世界中の企業が利用するSalesforceのプラットフォーム上で稼働しています。Salesforceは、ISO/IEC 27001やSOC 2といった国際的なセキュリティ認証を取得しています。通信は暗号化（TLS）され、第三者に盗み見られることを防いでいます。
また、Salesforceは多数の企業が同じ基盤を共有する「マルチテナント」という方式を採用しています。各企業のデータは論理的に厳格に分離されており、他社からは見えない仕組みです。大規模な基盤であるからこそ、専門チームによる24時間の監視や、脆弱性への迅速な対応が可能になっています。
チェックポイント2：アプリケーションが第三者の審査を受けているか
基盤が堅牢でも、その上で動くアプリケーションの作りが甘ければ意味がありません。マンションが頑丈でも、部屋のドアが壊れていれば泥棒は入れます。
ブリッジ葬儀は、Salesforceの公式マーケットプレイスであるAppExchangeで公開されています。AppExchangeへの掲載には、Salesforceによるセキュリティレビューを通過する必要があります。このレビューでは、ソースコードの自動解析や、外部から攻撃を試みる診断などを通じて、次のような問題がないかが確認されます。
- 権限のない利用者が、本来見られないデータを参照・変更できてしまわないか
- 入力欄に不正な命令を書き込まれ、データベースを操作されてしまわないか（インジェクション）
- 画面に悪意のあるプログラムを埋め込まれてしまわないか（クロスサイトスクリプティング）
「自社で安全だと言っている」のではなく、「第三者の審査を通っている」ことが、選定時の重要な判断材料になります。
チェックポイント3：ログインの守り
情報漏えいの入口として最も多いのが、ID・パスワードの悪用です。
多要素認証にも「強さ」の違いがある
多要素認証（MFA）とは、パスワードに加えて、スマートフォンのアプリや専用の鍵など「本人だけが持っているもの」を組み合わせて本人確認を行う仕組みです。Salesforceでは多要素認証の利用が必須とされており、パスワードが漏れただけではログインできません。
ただし、多要素認証にも強さの違いがあります。SMSで届く確認コードは、偽サイトに入力させる手口で盗まれることがあります。より安全なのは、認証アプリによる承認や、パスキー・物理的なセキュリティキーといった、偽サイトでは使えない方式です。
パスワード以外の「入口」にも注意
近年は、パソコンに感染したウイルスが、ログイン済みの状態を示す情報（セッション情報）を盗み出し、多要素認証を経ずに成りすます手口も報告されています。これに対しては、次のような設定が有効です。
- 接続元IPアドレスの制限：事務所や会館のネットワークからのみログインを許可する
- ログイン時間帯の制限：深夜帯など、業務時間外のログインを制限する
- セッションの有効期限：一定時間操作がない場合に自動でログアウトさせる
Salesforceではこれらをプロファイル単位などで設定できます。たとえば「施行担当者は会館からのみ、経理担当は本社からのみ」といった運用が可能です。
チェックポイント4：「見られる人」を必要最小限に
葬儀社がお預かりする情報には、宗旨・宗派やご家族の事情など、特に慎重な取り扱いが求められるものが含まれます。全社員がすべての情報を見られる状態は、内部不正や誤操作、アカウントが乗っ取られた際の被害を大きくします。
セキュリティの基本原則に「最小権限の原則」があります。業務に必要な人に、必要な範囲の権限だけを与えるという考え方です。
Salesforceの権限は「建物・部屋・引き出し」の三層構造
ブリッジ葬儀では、Salesforceの権限管理の仕組みを活かして、この原則を細かく実現できます。会館の建物に例えると、次のような三層で管理されています。
- どの部屋に入れるか（オブジェクト権限）：「施行案件」「請求」「互助会契約」といった情報の種類ごとに、参照・作成・編集・削除ができるかを設定します
- どの案件を見られるか（共有設定・ロール階層）：同じ「施行案件」でも、自分の担当分だけか、所属会館の分すべてか、全社分かを設定します。上長は部下の案件を見られる、といった組織構造に沿った制御も可能です
- どの引き出しを開けられるか（項目レベルセキュリティ）：同じ案件の中でも、宗旨・宗派やお支払い情報など、特定の項目だけを見せない・編集させないといった設定ができます
この三層を組み合わせることで、「施行担当者は担当案件のみ参照でき、お支払い情報は見られない」「経理担当は全会館の請求情報を参照できるが、ご家族の事情に関するメモは見られない」といった、きめ細かな運用が可能になります。
チェックポイント5：誰が何をしたかが記録に残るか
万が一の際に原因を突き止められるかどうかは、「記録」にかかっています。
紙の台帳では、誰がいつ見たのか、誰が書き換えたのかを後から追うことはほぼ不可能です。社内サーバーでも、記録の設定や保管が不十分なケースは少なくありません。
Salesforceでは、標準で次のような記録が残ります。
- ログイン履歴：誰が、いつ、どこから、どの方法でログインしたか
- 設定変更履歴：権限や設定を、誰が、いつ変更したか
- 項目の変更履歴：重要な項目について、変更前と変更後の値、変更者、日時
さらに、有償のオプションを利用すると、誰がどの画面を開いたか、どのデータを出力したかといった、より詳細な操作記録を取得することもできます。
記録には保存期間があるため、重要な記録は定期的に別の場所へ保管しておくことをおすすめします。また、記録が残ることを社内に周知すること自体が、内部不正の抑止につながります。
チェックポイント6：止まらないこと、戻せること
ご逝去の連絡を24時間365日受け付ける葬儀社にとって、システムの停止は業務の停止を意味します。
「どれだけ早く」「どの時点まで」戻せるか
事業継続の分野では、2つの指標で備えを考えます。
- 目標復旧時間（RTO）：システムが止まってから、どれだけの時間で業務を再開するか
- 目標復旧時点（RPO）：どの時点のデータまで戻せればよいか（例：前日の夜の状態まで）
まずは自社として「受付業務は何時間以内に再開したいか」「何日分のデータまでなら失っても業務を回せるか」を考えることが、バックアップの方針を決める出発点になります。
クラウドでもバックアップは「別の場所」に
2026年10月には、国内クラウド事業者の一部リージョンがランサムウェア攻撃を受け、500近い企業・自治体に影響が及んだことが公表されました。クラウドを利用していても、事業者の選定と、利用環境とは別の場所にバックアップを確保しておくことが欠かせないことを示しています。
バックアップの基本として「3-2-1ルール」が知られています。データのコピーを3つ持ち、2種類の異なる媒体に保存し、そのうち1つは別の場所に置くという考え方です。前述のとおり、攻撃者はバックアップの保存場所も探して破壊しようとするため、普段のネットワークから切り離した保管がより重要になっています。
Salesforceは、機器の故障や災害に備えたデータの複製を基盤側で行っています。加えて、ブリッジ葬儀では業務データを定期的に出力し、自社の管理下に保管する運用をおすすめしています。
あわせて、万が一システムが使えなくなった場合に、紙でどのように受付を行うか、誰に連絡するかを一枚の手順書にまとめておくことも重要です。
チェックポイント7：外部サービスとの連携を管理しているか
最後に、見落とされがちなのが外部サービスとの連携です。
連携アプリが「合鍵」になる
業務の効率化のため、基幹システムを会計ソフトやメール配信、チャットツールなどと連携させるケースが増えています。こうした連携では、外部サービスに一種の「合鍵」（アクセストークン）を渡してデータの読み書きを許可しています。
2025年8月には、Salesforceと連携していた外部の営業支援ツールから、この合鍵が盗まれる事件が発生しました。攻撃者は正規の合鍵を使ったため多要素認証を経ずにアクセスでき、Googleの脅威分析チームによれば700を超える組織に影響した可能性があります。Salesforceは、この事件がSalesforce基盤自体の脆弱性によるものではないと説明しています。つまり、基盤が堅牢であっても、連携先の管理が不十分であれば、そこが侵入口になり得るということです。
連携は「棚卸し」と「最小限の許可」を
この教訓から、次の運用が推奨されます。
- 現在どの外部サービスと連携しているかを一覧にし、使っていない連携は解除する
- 連携先に与える権限は、必要なデータ・操作に限定する
- 「システム担当を名乗る電話で、連携の承認を求められる」といった手口もあるため、連携の追加は社内の決まった担当者が確認してから行う
最後に：クラウドは「設定」と「運用」で完成します
どれほど堅牢な基盤であっても、パスワードの使い回しや、退職者アカウントの放置、不要な連携の放置があれば、リスクは残ります。クラウドは導入して終わりではなく、正しい設定と日々の運用によってはじめて安全になるものです。
ブリッジ葬儀では、導入時の権限設計から、ログインの制限、バックアップや連携の運用ルールづくりまで、葬儀業界の業務とSalesforceの両方を熟知したメンバーがご一緒します。「今のシステムのままで大丈夫だろうか」と少しでも感じられた際は、お気軽にご相談ください。
参考資料
- 警察庁「令和8年上半期におけるサイバー空間をめぐる脅威の情勢等について」 https://www.npa.go.jp/publications/statistics/cybersecurity/data/R8kami/R08_kami_cyber_jousei.pdf
- 独立行政法人情報処理推進機構（IPA）「情報セキュリティ10大脅威 2026」 https://www.ipa.go.jp/security/10threats/10threats2026.html
- Google Threat Intelligence Group、Salesloft、Salesforce各社の公表資料（2025年8月）
- 各社の公表資料（2026年10月）
