【2026年版】kintoneのセキュリティ機能とその強化方法

はじめに

クラウド型業務管理ツール「kintone」は、業務の効率化を促進する一方で、企業の重要なデータを扱うため、セキュリティ面の対策が非常に重要です。データ漏洩や不正アクセスを防ぐために、kintoneはさまざまなセキュリティ機能を提供しています。この記事では、kintoneのセキュリティ機能を詳しく解説し、どのように安全に利用できるか、セキュリティ強化のためにできる対策も紹介します。

kintoneは現場の担当者が自分でアプリを作れることが強みですが、その手軽さは管理の難しさと表裏一体です。アプリが増えるほど、誰がどのデータを見られるのか、どのプラグインがどこへデータを送っているのかが見えにくくなります。kintoneのセキュリティは、機能の設定と運用のルールをそろえて初めて十分に機能します。

そこで本記事では、機能の解説に加えて、アプリ作成や外部連携のルールをどう決めるかという運用ガバナンスの考え方も取り上げます。機能の仕様は、サイボウズの公式ヘルプで2026年10月4日に確認した内容をもとにしています。これからkintoneを導入する方も、すでに運用している方も、自社の設定と照らし合わせながら読み進めてください。

結論を先にまとめます。

• kintoneのセキュリティは、アクセス権限・多要素認証・通信の暗号化などの機能で守られている。
• 安全性を高めるには、IPアドレス制限やアクセスログの監視を組み合わせる。
• 機能設定だけでなく、アプリ作成や外部連携のルールを決める運用ガバナンスが重要である。
• プラグインや外部サービスとの連携は、導入前に確認手順を設ける。

kintoneのセキュリティ機能とは？

kintoneは、企業の業務データを安全に管理するために、複数のセキュリティ対策を組み込んでいます。これにより、クラウド上でのデータ管理におけるリスクを軽減し、データの保護を強化しています。kintoneのセキュリティ機能は、以下のようなポイントに重点を置いています。

1. ユーザー管理とアクセス制御

kintoneでは、ユーザーごとの権限を細かく設定できるため、データへのアクセスを厳密に制御できます。ユーザーは、特定のアプリやレコードに対するアクセス権限を管理者が設定でき、社内での機密情報が漏れないようにすることができます。具体的には、以下の権限設定が可能です。

• 閲覧権限: レコードの閲覧のみを許可。
• 編集権限: レコードの編集が可能。
• 削除権限: レコードの削除を許可。
• 管理権限: アプリの管理や設定を行う権限。

2. 多要素認証（MFA）

kintoneでは、多要素認証（MFA）を利用することで、ユーザー認証のセキュリティを強化できます。通常のIDとパスワードに加え、スマートフォンの認証アプリで発行する確認コードによる2段階の認証を要求することで、万が一、パスワードが漏洩した場合でも、不正アクセスを防ぐことができます。

設定はcybozu.com共通管理者が行います。なお、kintoneのゲストユーザーは2要素認証を利用できず、2要素認証を有効にしたアカウントはkintone REST APIでパスワード認証を使えません（出典: cybozu.com ヘルプ「2要素認証」、2026年10月4日確認）。API連携用のアカウントを分けるかどうかも、あわせて決めておきましょう。

3. SSL/TLSによる通信の暗号化

kintoneは、全てのデータ通信においてSSL（Secure Sockets Layer）またはTLS（Transport Layer Security）暗号化を使用しています。これにより、インターネット上で送受信されるデータが第三者に盗聴されるリスクを大幅に低減させます。これにより、パスワードや機密情報が暗号化され、安全にやり取りされます。

2要素認証やIPアドレス制限の公式ヘルプには、利用できるコースの制限は書かれていません。料金ページのコース比較表にも、これらの機能のコース差は掲載されていませんでした（kintone 料金・ライセンス、2026年10月4日確認）。契約前に、必要な機能が自社のコースで使えるかを販売元へ確認すると確実です。

kintoneのセキュリティ強化方法

kintoneのセキュリティ機能は強力ですが、企業のセキュリティニーズに応じてさらに強化することも可能です。ここでは、セキュリティ強化のために実施すべき対策をいくつか紹介します。

1. 定期的なパスワード変更と強力なパスワードの使用

パスワードは定期的に変更し、強力なパスワードを使用することがセキュリティ強化には重要です。強力なパスワードとは、英数字の組み合わせに加え、大文字・小文字・記号を含む、推測しにくいものにすることが求められます。また、kintoneでは、パスワードポリシーを設定して、最低文字数や複雑さの要件を強制することもできます。

パスワードポリシーでは、ユーザーと管理者それぞれの最小文字数、複雑さ、ログイン名と同じパスワードの禁止、過去に使ったパスワードの禁止、有効期間を設定できます（出典: cybozu.com ヘルプ「パスワードポリシーを変更する」、2026年10月4日確認）。

2. アクセスログの監視と管理

kintoneでは、誰がいつ、どのデータにアクセスしたのかを記録するアクセスログ機能があります。このログを定期的に確認することで、不正アクセスや不審な動きを早期に発見することができます。特に、重要なデータを扱っている部署やユーザーには、アクセスログを積極的に監視する体制を整えることが大切です。

公式ヘルプでは、この記録を「監査ログ」と呼んでいます。誰が、いつ、どのような操作をkintone上で行ったかを、cybozu.com共通管理の「監査ログの閲覧とダウンロード」画面で確認できます（出典: kintone ヘルプ「kintoneの監査ログの確認方法」、2026年10月4日確認）。確認する担当者と頻度を決めておくと、監視が形だけになりません。

3. IPアドレス制限とVPNの利用

kintoneでは、アクセスできるIPアドレスを制限することができます。これにより、社外からのアクセスを制限したり、特定のネットワーク環境からのみアクセスを許可することが可能です。また、リモートワーク環境でのアクセス時には、VPN（仮想プライベートネットワーク）を利用して、社外からの安全な接続を確保することを推奨します。

IPアドレス制限は、cybozu.com共通管理の「アクセス制限」で設定します（出典: cybozu.com ヘルプ「IPアドレス制限を設定する」、2026年10月4日確認）。設定を誤ると管理者自身も入れなくなるため、変更前に戻し方を確認しておきましょう。

4. アプリのバックアップとリカバリ対策

データの損失を防ぐため、定期的にアプリのバックアップを行い、リカバリ手順を準備しておくことが重要です。kintoneでは、データのバックアップを取るための機能が提供されており、アプリのデータや設定を外部にエクスポートすることができます。万が一、データが失われた場合にも、迅速に復元できるように準備しておきましょう。

運用ガバナンス：アプリ作成と管理のルールづくり

ここまで紹介した機能は、設定しただけでは安全性を保てません。現場がアプリを作り続けるkintoneでは、誰がアプリを作り、誰が承認し、いつ見直すかという運用ルールがセキュリティの土台になります。

アプリを作成できる人と公開前の承認手順を決める

最初に決めるのは、アプリを作成できる人の範囲です。全員に作成権限を渡すと改善は速くなりますが、個人情報を含むアプリが管理者の知らないところで増えるおそれがあります。部署ごとに作成者を決め、公開前にシステム管理者がアクセス権を確認する手順を置くと、スピードと管理を両立しやすくなります。

命名ルールと不要アプリの棚卸し

アプリ名とフィールド名の付け方を決めておくと、どのアプリに何のデータがあるかを後から追えます。部署名や用途を名前に含めるだけでも、権限の見直しが楽になります。あわせて、使われていないアプリと権限を見直す時期を決め、定期的に棚卸しを行いましょう。

プラグインや外部連携を導入する前の確認手順

プラグインや外部サービスは、kintoneのデータを読み書きする権限を持つことがあります。導入前に、提供元、取得するデータの範囲、データの保存先、サポート体制を確認し、情報システム担当が承認してから使う流れを決めておきます。社外の取引先とデータを共有する場合の考え方は、kintoneで外部パートナーと安全に情報共有する方法でも解説しています。

提供元の「kintone ガバナンスガイドライン」を参考にする

ルールをゼロから作るのが難しい場合は、提供元の資料が参考になります。サイボウズは2022年7月15日に「kintone ガバナンスガイドライン」を無料で公開しました。現場のスピード感や柔軟性を損なわずにアプリの品質やリスクを管理することを目的とし、個別アプリのリスク評価や、開発・変更・運用、アプリとデータアクセスのリスクとコントロール例を扱っています（出典: サイボウズ プレスリリース 2022年7月15日、2026年10月4日確認）。ガイドラインはサイボウズのダウンロードページから申し込めます。

運用ガバナンスで決めるルールは、次の表のように担当とセットで整理します。

ルール	決める内容	担当
アプリ作成権限	誰がアプリを作れるか、公開前の承認	システム管理者
命名・設計ルール	アプリ名・フィールド名・権限の付け方	アプリ作成者
プラグイン・外部連携	導入前の確認項目と承認手順	情報システム担当
棚卸し	使われていないアプリと権限の見直し時期	システム管理者
アカウント管理	入退社・異動時の追加と停止	人事と管理者

担当を決めておくと、問題が起きたときに誰が判断するかで迷いません。運用面の対策は、kintoneのセキュリティ対策の記事もあわせて参考にしてください。

kintoneセキュリティ機能のまとめ

kintoneは、企業の業務データを安全に扱うために、強力なセキュリティ機能を提供しています。具体的には、ユーザー管理、アクセス制御、多要素認証、SSL/TLS暗号化などがあります。また、企業ごとのニーズに応じてセキュリティを強化するために、パスワードポリシーやIPアドレス制限、アクセスログ監視などを組み合わせることが推奨されます。これらのセキュリティ機能を活用することで、安心してkintoneを業務に導入することができます。

kintoneのセキュリティに関するよくある質問

kintoneのプラグインを使っても安全ですか？

提供元と、プラグインが取得するデータの範囲を確認したうえで、社内の承認手順を経て導入すれば安全性を保ちやすくなります。データを外部のサーバーへ送るかどうか、提供元のサポートや更新が続いているかも確認しておきましょう。

kintoneのアプリは誰でも作れるようにしてよいですか？

作成権限を広げる場合は、命名や公開の承認ルールと定期的な棚卸しをセットで決めてください。ルールが無いまま作成者を増やすと、権限の設定漏れや使われないアプリが残りやすくなります。

kintoneで退職者のアカウントはどう扱えばよいですか？

退職日に合わせて利用を停止し、担当していたアプリやレコードの引き継ぎ先を決めます。アプリの管理者が退職者だけになっていないかも、停止の前に確認しておくと安心です。

まとめ

• kintoneのセキュリティ機能には、ユーザー管理、アクセス制御、多要素認証、SSL/TLS暗号化などが含まれます。
• セキュリティをさらに強化するために、パスワード管理、アクセスログ監視、IP制限などの対策を取ることが重要です。
• 定期的なバックアップとリカバリ対策も、データ保護に欠かせない要素です。

kintoneを安全に活用するために、これらのセキュリティ機能と強化方法を理解し、実践することが必要です。

機能の設定に加えて、アプリ作成の権限、公開前の承認、プラグインや外部連携の確認、アカウントの停止といった運用ルールを決めておくことで、現場の改善スピードを落とさずに安全性を保てます。ルールづくりに迷ったときは、提供元が公開している「kintone ガバナンスガイドライン」を出発点にすると、自社に必要な項目を洗い出しやすくなります。

一方で、細かな権限制御や複雑な外部連携、顧客向けの画面が必要になると、kintoneの設定とプラグインだけでは要件を満たしにくい場面もあります。kintoneで足りない要件が見えてきたら、業務システムとして作るかどうかを早めに検討することが大切です。AI開発ラボでは、Bubbleを中心に業務システムやWebアプリの受託開発を支援しています。費用と進め方は社内システム開発の費用相場と失敗しない進め方で解説していますので、あわせてご覧ください。