受発注システムのセキュリティ対策とは？確認項目とCO-NECTの機能を解説
IPA（情報処理推進機構）が毎年まとめている「情報セキュリティ10大脅威」。2026年版の組織向けランキングで2位に入ったのは「サプライチェーンや委託先を狙った攻撃」で、8年連続の選出です。取引先とつながって仕事をしている以上、自社の中だけ整えておけばいい、とは言いにくくなってきました。受発注も、まさに取引先とつながる業務のひとつです。
取引先の社名や連絡先、取引先ごとの単価、毎日の注文履歴。受発注システムには、こうした情報がまとまって入ります。受発注システムのセキュリティを確認するときは、情報漏えい対策や不正アクセス対策に加え、「誰が、どこから、どうやって利用できるのか」「運営会社が情報をどう管理しているのか」を説明できることが大切です。
この記事では、受発注システムのセキュリティ対策を検討する際の確認項目を整理し、受発注システム「CO-NECT（コネクト）」のISMS認証とセキュリティ機能を紹介します。IPアドレス制限や多要素認証、自動ログアウトなどについて、標準・オプションの区分、仕組み、設定画面、利用例を交えて解説します。
受発注のシステムで、セキュリティについて確認されやすいこと
受発注システムのセキュリティチェックでは、機能があるかどうかだけでなく、運営会社の管理体制や、自社の利用環境に合ったアクセス制御ができるかも確認しましょう。ここでは、よく話題にのぼる観点を整理します。
| 確認項目 | 主な確認内容 | 確認する理由 |
|---|---|---|
| 運営会社の体制 | ISMSなどの認証を取得しているか | 取引先情報を預けるため |
| ログイン方法 | 追加の本人確認ができるか | ID漏えい時の不正利用を防ぐため |
| アクセス元 | IPアドレスで接続元を絞れるか | 複数拠点や在宅で使うため |
| 離席時の対策 | 自動ログアウトを設定できるか | 離席中に画面を残さないため |
| 操作履歴 | 誰が操作したか確認できるか | 注文変更の担当者を追うため |
並べてみると、聞かれていることの多くは「誰が、どこから、どうやってログインできるのか」と「運営会社がどう管理しているのか」の2つに集約されます。
「社外からは入れないようにしたい」という会社もあれば、「営業が外出先から注文状況を見られないと困る」という会社もあります。どちらが正しいという話ではないので、自社の情報セキュリティのルールや、実際の使い方と照らし合わせて考えるのがよさそうです。社内に情報システムの担当部署があれば、早めに相談しておくと安心です。
受発注システム「CO-NECT」とは
受発注システム「CO-NECT（コネクト）」は、企業同士の注文のやり取り（受発注）を、Web上でまとめて行えるシステムです。取引先は画面から商品を選んで注文でき、受注する側は、FAXや電話、メールなどで届いた注文もあわせて、ひとつの画面で管理できます。
受発注システム「CO-NECT」の仕組み
CO-NECTには、大きく2つの画面があります。
- 受注する側（売り手）の担当者が、商品や取引先、届いた注文を管理する「受注画面（管理画面）」
- 取引先（買い手）が、商品を選んで注文を送る「発注画面」
取引先の情報や単価、注文の履歴は、おもに受注画面で扱います。この記事で紹介するIPアドレス制限や自動ログアウトなども、おもに受注する側の担当者が使う画面に関わる設定です。
受発注システム「CO-NECT」のISMS認証
セキュリティを確認するとき、最初に聞かれやすいのが「サービスがどんな体制で管理されているのか」です。受発注システム「CO-NECT」は、開発・運用・カスタマーサポートが、ISMS（ISO/IEC 27001）認証の範囲に含まれています。認証を取得したのは2023年3月で、それ以降、認証規格に沿って情報の管理と見直しを続けています。
ISMS認証とは
ISMS（情報セキュリティマネジメントシステム）は、会社として情報をどう守るかのルールを決め、それを運用し、定期的に見直していく仕組みのことです。国際規格のISO/IEC 27001と、それを日本の規格にしたJIS Q 27001があり、基準を満たしているかを第三者の認証機関が審査します。
認証の内容と範囲
現在の認証の内容は、次のとおりです。
- 認証基準：JIS Q 27001:2025（ISO/IEC 27001:2022 + Amd 1:2024）
- 認証登録番号：JP027133
- 認証範囲：受発注システム開発、運用、カスタマーサポート
- 認証機関：ビューローベリタスジャパン株式会社 システム認証事業本部
見ておきたいのは認証範囲です。受発注システムの開発・運用・カスタマーサポートまでが対象になっています。社内の審査で「認証の範囲はどこまでか」と聞かれたときは、この一文をそのまま伝えられます。認証登録番号があれば、情報システムの担当者が認証の状況を確認するときにも役立ちます。
なお、ISMSは「管理の仕組みを整え、運用していること」を第三者が確認したものです。一方で、ログインのしかたやアクセスできる場所のように、使う側で決める部分もあります。そこは受発注システム「CO-NECT」の機能として、自社のルールに合わせて設定できるようになっています。
受発注システム「CO-NECT」のセキュリティ機能一覧
ログインやアクセスに関わる機能に加え、複数人で使う場合のアカウント管理と発注履歴の共有をまとめました。注文する画面と、注文を受ける管理画面では使える機能や区分が異なるため、対象も記載しています。
| 機能 | 何をするものか | 区分 |
|---|---|---|
| アカウントロック | ログインに失敗した場合、メールアドレスや接続元IPアドレスごとにログインを制限します。 | 標準 |
| 自動ログアウト設定 | 注文を受ける管理画面で一定時間操作がない場合、自動でログアウトします。 | 標準 |
| 複数人での発注・履歴共有 | 注文する画面をチームで使い、誰が・いつ・どこに・何を注文したかを履歴で共有できます。無料プランでも利用できます。 | 標準 |
| 多要素認証 | 注文を受ける管理画面へのログイン時に、メールで届く認証コードの入力を求めます。 | オプション |
| IPアドレス制限 | 注文を受ける管理画面にアクセスできる接続元を、登録したIPアドレスに限ります。 | オプション |
| パスワードルール設定 | 注文を受ける管理画面のパスワードの文字数や文字種を、自社のルールに合わせて指定します。 | オプション |
| 管理ユーザの追加・削除 | 注文を受ける管理画面で、担当者ごとにログインIDを追加・削除します。操作履歴を見る機能とは別です。 | オプション |
受発注システム「CO-NECT」の各機能をくわしく
ここからは、一覧の機能をひとつずつ見ていきます。それぞれ「どんな仕組みか」「CO-NECTではどう設定するか」「どんな使い方があるか」「設定する前に社内で決めておきたいこと」の順に書いています。
IPアドレス制限（オプション）
仕組みIPアドレス制限
IPアドレスは、インターネットにつながっている回線や機器に割り振られる、住所のような番号です。会社の回線からインターネットに出ていくときは、その回線のIPアドレス（グローバルIPアドレス）がアクセス元として相手に伝わります。
IPアドレス制限は、この仕組みを使って、受注画面にアクセスできる場所を「登録したIPアドレスの回線」だけに限る機能です。IDとパスワードが正しくても、登録していない回線からは受注画面に入れません。「誰が」ではなく「どこから」で絞る仕組み、と考えると分かりやすいと思います。
設定方法CO-NECTでの設定
CO-NECTでは、「IPアドレス制限設定」の画面で、アクセスを許可するIPアドレスを登録します。
画面でできることは、次のとおりです。
- 「新しいIPアドレス」の欄に、許可するIPアドレスを入力して追加する
- 1つのIPアドレス（例：192.168.1.1）だけでなく、「192.168.1.0/24」のような範囲の指定でもまとめて登録できる
- 備考（任意）の欄に「本社オフィス」「第二倉庫」などのメモを付けられる
- 登録したIPアドレスは「許可IPアドレス一覧」で確認でき、不要になったものは一覧から削除できる
IPアドレスは複数登録できるので、拠点が複数ある会社でも、それぞれの回線を並べて登録しておけます。利用にはオプション契約が必要で、CO-NECTの問い合わせフォームから申し込めます。
利用シーン使い方の例
たとえば、こんな使い方が考えられます。
- 本社と倉庫の2拠点で受注処理をしている会社：本社の回線と倉庫の回線を登録し、備考に拠点名を書いておく。どちらの拠点からも入れるが、それ以外の場所からは入れない
- 受注の処理は事務所でしかしない会社：事務所の回線だけを登録する。持ち出したパソコンや、私物のスマートフォンからは受注画面を開けない状態にできる
- 拠点を新しく増やす・引っ越す会社：新しい拠点の回線を追加してから、古い拠点の回線を一覧から削除する
事前確認社内で決めておくこと
気をつけたいのは、在宅勤務や外出先からも受注画面を使うかどうかです。自宅の回線やスマートフォンの通信は、IPアドレスが変わることが多く、そのままだと受注画面に入れなくなります。
設定する前に、次のようなことを社内で確認しておくと、あとで「入れない」と慌てずに済みます。
- 受注画面を使う場所（事務所・倉庫・在宅・外出先）はどこか
- 社内の回線は、IPアドレスが固定される契約か（情報システムの担当者や、回線を契約しているプロバイダの契約内容で確認できます）
- 社外から使う人がいる場合、どう扱うか（社内のVPNを経由させるか、など）
- 回線の変更や拠点の移転があったとき、誰が登録を直すか
いま使っている回線を一覧から外すと、その場所から入れなくなることもあるので、登録の変更は担当者を決めておくと安心です。
IPアドレス制限は「どこからアクセスできるか」を絞る機能です。拠点外からも使うなど、場所を限定しにくい場合は、ログイン時の本人確認を強める多要素認証が選択肢になります。
多要素認証（MFA・オプション）
仕組み多要素認証
ログインのときに本人かどうかを確かめる手がかりは、大きく3つの種類に分けられます。
- 知っているもの：パスワードなど
- 持っているもの：スマートフォン、受け取れるメールアドレスなど
- 本人の特徴：指紋や顔など
多要素認証（MFA）は、このうち2つ以上の種類を組み合わせてログインする仕組みです。IDとパスワード（知っているもの）だけでログインする場合、パスワードが何らかの形で他人に知られると、そのままログインされてしまいます。多要素認証にしておくと、パスワードに加えて別の確認が必要になるので、なりすましログインへの対策になります。
設定方法CO-NECTでの認証方法
CO-NECTの多要素認証は、登録されたメールアドレスに認証コードが届き、そのコードを入力してログインする方式です。流れとしては、次のようになります。
- いつもどおり、IDとパスワードを入力する
- 登録しているメールアドレスに、認証コードが届く
- 届いた認証コードを画面に入力すると、ログインできる
パスワードが他人に知られてしまっても、そのメールを受け取れなければログインまで進めない、という形です。利用にはオプション契約が必要です。
利用シーン多要素認証の活用例
- 受注担当が数名いる会社：担当者ごとに個別のメールアドレスでIDを持ち、それぞれのメールで認証コードを受け取る
- 外出先や在宅からも受注画面を使う会社：IPアドレス制限で場所を絞りにくい場合に、ログインのしかたの側で確認を一段増やしておく
事前確認導入前に確認すること
まず見ておきたいのは、ログインに使うメールアドレスの持ち方です。部署で共有しているアドレスでログインしている場合、認証コードもその共有アドレスに届き、受信できる人なら誰でもログインできてしまいます。担当者ごとに個別のアドレスでログインしている状態のほうが、多要素認証の意味が出やすくなります。
あわせて、次のことも確かめておくとスムーズです。
- ログインのたびに、その場でメールを確認できるか（倉庫の端末を使う人がメールを見られるか、など）
- 社内のメールのフィルタ設定で、認証コードのメールが迷惑メールに振り分けられないか
- 異動や退職で担当者が変わったとき、IDと登録メールアドレスを誰が整理するか
多要素認証はログイン時の確認を増やす機能です。次に、認証の基本となるパスワードそのものにルールを設ける方法を見ていきます。
パスワードルール設定（オプション）
仕組みパスワードルール
パスワードルール設定は、パスワードに使う文字数や文字種（英大文字・英小文字・数字・記号など）を、自社のセキュリティガイドラインに合わせて指定できる機能です。ルールを決めておくと、短すぎるパスワードや数字だけのパスワードなど、基準に合わないものを避けやすくなります。
担当者一人ひとりの判断に任せず、会社として決めた基準をシステムの側でそろえられるのが、この機能の役割です。利用にはオプション契約が必要です。
利用シーンパスワードルールの活用例
- 社内にパスワードのガイドラインがある会社：たとえば「一定の文字数以上で、英字と数字を混ぜる」といった社内の基準があれば、それに合わせて文字数と文字種を指定する
- 取引先や親会社からセキュリティの確認を受けている会社：チェックシートなどで求められている基準に合わせておくと、回答のときに「システム側で設定している」と説明しやすくなる
社内でパスワードのルールがすでに決まっている会社では、受発注のシステムだけ基準が違うと、社内の審査で引っかかることがあります。
事前確認ルールを決める前の確認
ルールを決めるときは、自社のガイドラインをそのまま当てはめるのがいちばん分かりやすいと思います。ガイドラインがまだない場合は、ほかの業務システムで使っている基準に合わせておくと、担当者も迷いにくくなります。
ルールを厳しくしたあとは、パスワードを忘れる人が出やすくなります。後で紹介するアカウントロックとも関係するので、パスワードを忘れたときの再設定の方法も、あわせて社内で共有しておくと安心です。設定できる文字数や文字種の範囲は、申し込みの際に確認してみてください。
パスワードルールはログイン前の対策です。ログイン後に画面を開いたままにするリスクには、自動ログアウト設定が役立ちます。
自動ログアウト設定
仕組み自動ログアウト
自動ログアウト設定は、最後に画面を操作してから一定時間がたつと、自動でログアウトする機能です。席を外したまま受注画面が開きっぱなしになっていても、決めた時間がたてばログアウトされます。こちらはオプションではなく、事業者ごとに設定できます。
ヘルプセンターでは、こんな例で説明しています。
- 時間を15分に設定した場合、12:00にログインしてそのまま操作しなければ、12:15に自動でログアウトされる
- 12:10にログインした場合は、12:25にログアウトされる
設定方法と、選べる時間を見ていきましょう。
設定方法CO-NECTでの設定方法
設定は、受注画面の「事業者情報」から行います。TOP画面の人型のマーク、またはメニュー（≡）の「アカウント設定」にある「事業者情報」から開けます。
「事業者情報」画面の下のほうに「自動ログアウト時間」の項目があり、次の中から選べます。
- 15分／30分
- 1時間／2時間／3時間／4時間／6時間／8時間／12時間／24時間
時間は「最後に画面を操作してからの経過時間」で数えられます。画面を操作しているあいだは、その都度数え直されるイメージです。
※自動ログアウト時間を設定していない場合は、デフォルトで30日間の有効期間が適用されます。
利用シーン時間の選び方
どのくらいの時間にするかは、使い方しだいです。たとえば、こんな選び方が考えられます。
| 使い方の例 | 時間の選び方の例 | 考え方 |
|---|---|---|
| 倉庫や事務所の共用パソコンで、受注画面を開くことが多い | 15分〜30分など、短めの時間 | 席を外したあとに、画面が開いたままになりにくい |
| 担当者ごとのパソコンで、1日の中で何度も受注画面を見る | 1時間〜数時間など | ログインし直す回数が増えすぎない |
| 注文を確認しながら、長い時間をかけて作業する | 作業の流れを見て決める | 短すぎると、作業の途中で何度もログインし直すことになる |
時間を短くするほど、離席したときに画面が開いたままになりにくくなります。一方で、短すぎると作業のたびにログインし直すことになって、しんどくなります。実際に画面を使う担当者に、作業の流れを聞いてから決めるのがよさそうです。
自動ログアウトの次は、複数の担当者が使う場合のアカウント管理と履歴を見ていきます。注文する画面と、注文を受ける管理画面で内容が異なります。
複数アカウントと履歴の管理
注文を受ける管理画面では、担当者ごとに管理ユーザを追加・削除できます。利用にはオプション契約が必要です。
一方、注文する画面では、複数の管理ユーザでチーム利用でき、誰が・いつ・どこに・何を発注したかを発注履歴として共有できます。この機能は無料プランでも利用できます。
発注履歴は、発注内容を共有・確認するための記録です。管理画面で誰がどの操作をしたかを記録する「操作ログ」とは別のものです。この記事では、提供が確認できていない操作ログ閲覧を、利用できる機能としては扱いません。
担当者ごとのIDを利用していても、ログイン時にパスワードを何度も誤入力することはあります。次に、ログイン失敗が続いた場合のアカウントロックを紹介します。
アカウントロック（不正アクセス防止）の仕組み
CO-NECTには、ログインの失敗が続いたときに、一定期間ログインを制限する仕組みがあります。パスワードを片っ端から試すような不正なログインを続けにくくするためのものです。ヘルプセンターで案内している内容は、次の2つです。
- 同じメールアドレスへのログインが、一定期間内に連続して失敗した場合：そのアカウントには、正しいIDとパスワードを入力しても、一定期間ログインできなくなります
- 同じIPアドレスからのログインが、一定期間内に連続して失敗した場合：そのIPアドレスから、一定期間ログインページにアクセスできなくなります
制限がかかると、画面に「アカウントがロックされています」というメッセージと、再度ログインできるまでの待ち時間が表示されます。
実務で知っておきたいのは、制限がかかったら、画面に表示される時間が過ぎるのを待つしかないことです。サポートに問い合わせても解除はできません。パスワードがうろ覚えのまま何度も試すと、制限がかかってしまうことがあります。パスワードを忘れたときは、何度も試すより、パスワードの再設定を使ったほうが早く戻れます。
また、IPアドレス単位の制限もあるので、同じ事務所の回線から複数の人がログインに失敗し続けると、その回線からログインページに入れなくなることも考えられます。社内でこの仕組みを共有しておくと、「急にログインできなくなった」というときに慌てずに済みます。
以上が、ログインや利用中の画面に関わる主な機能です。ここからは、利用場所や担当者数に合わせた組み合わせ方を見ていきます。
自社に合わせた組み合わせと、導入までの流れ
ここまでの機能は、全部を使わなければいけないものではありません。会社によって使う場所も人数も違うので、組み合わせの例として見てみてください。
| 受注画面の使い方 | 組み合わせの例 |
|---|---|
| 事務所・倉庫など、決まった拠点だけで使う | IPアドレス制限で拠点の回線に絞る＋自動ログアウトを短めに |
| 在宅や外出先からも使う | 多要素認証で、ログインのしかたの側で確認を増やす＋自動ログアウト |
| 担当者が多く、入れ替わりもある | 担当者ごとのID＋パスワードルール＋多要素認証 |
| 社内や取引先のチェックシートに答える必要がある | 求められている項目に対応する機能を確認し、ISMSの認証内容とあわせて説明する |
進め方は会社ごとに違いますが、導入までの流れはたとえば次のようになります。
- 社内の情報セキュリティのルールや、取引先から求められている基準を確認する
- 受注画面を使う場所・人・端末を洗い出す（拠点、在宅、共用パソコンなど）
- 標準で使える自動ログアウトの時間を決めて、「事業者情報」から設定する
- 必要なオプション（多要素認証、IPアドレス制限、パスワードルール）を問い合わせて、契約・設定する
- ログインのしかたが変わることを、受注画面を使う担当者に共有する
特に5つ目は、後回しになりがちです。ある日いきなり認証コードを求められたり、在宅から入れなくなったりすると、現場が混乱しやすいので、切り替える日と変わる点を事前に伝えておくと安心です。
よくある質問
Q. セキュリティチェックシートは用意されていますか？
経済産業省の「クラウドサービスレベルのチェックリスト」に準拠した項目で構成された、セキュリティチェックシートを公開しています。自社独自のセキュリティチェックシートへの回答が必要な場合も、相談できます。
Q. オプションの機能を使いたいときは、どうすればいいですか？
多要素認証、IPアドレス制限、パスワードルール設定は、利用にオプション契約が必要です。CO-NECTの問い合わせフォームから相談できます。使いたい機能と、受注画面を使う場所や人数をあわせて伝えると、話が進めやすくなります。
Q. IPアドレス制限と多要素認証は、どちらを選べばいいですか？
IPアドレス制限は「どこから」、多要素認証は「どうやって」ログインするかを絞る仕組みなので、役割が違います。決まった拠点だけで使うならIPアドレス制限、在宅や外出先からも使うなら多要素認証、と考えると整理しやすいと思います。両方を組み合わせることも、選択肢として考えられます。
Q. 自動ログアウトの時間は、あとから変えられますか？
「事業者情報」の画面から、選び直して変更できます。実際に使ってみて、短すぎる・長すぎると感じたら、担当者の声を聞きながら調整していくとよさそうです。
まとめ
受発注のシステムでセキュリティについて聞かれることは、おおむね「誰が、どこから、どうやってログインできるのか」と「運営会社がどう管理しているのか」に集約されます。
受発注システム「CO-NECT」では、開発・運用・カスタマーサポートがISMS認証の範囲に含まれているほか、ログインまわりについて次のような設定ができます。
- 自動ログアウトの時間を、15分〜24時間の中から事業者ごとに選ぶ（標準）
- IPアドレス制限で、受注画面に入れる回線を絞る（オプション）
- 多要素認証で、メールの認証コードによる確認を加える（オプション）
- パスワードルールで、文字数・文字種を自社の基準にそろえる（オプション）
- ユーザーごとのログインで、操作の履歴を確認する
どこまで設定するかは、自社のルールと、実際に受注画面を使う人の働き方しだいです。社内で確認を進める際の材料として、機能一覧やセキュリティチェックシートもあわせて使ってみてください。受発注の仕組みづくりそのものを考えている方は、システム選びのポイントをまとめた資料も用意しています。
