パネルには、ビジネスを動かすすべてが詰まっています。顧客、有効期限、リセラーのクレジット、支払い履歴です。漏えいしたパスワードで誰かがログインし、顧客を削除したりクレジットを移動したりすれば、損害はお金だけにとどまりません。時間や信頼、ときには顧客基盤そのものを失います。
幸い、ほとんどの問題は、きちんと設定されたいくつかの防御層で防げます。このガイドでは、その内容と導入方法を紹介します。
4つの防御層
セキュリティは層で考えましょう。一つが破られても、次の層が守ります。
| 層 | 防ぐもの | パネルの機能 |
|---|---|---|
| アクセス | 漏えい・推測されたパスワード | 2FA（TOTP）と無操作時の自動ログアウト |
| 権限 | 本来すべきでない操作 | ロールベースの権限 |
| 追跡性 | 誰がやったかわからないミスや不正 | 監査ログ |
| 復旧 | 誤削除や障害 | 自動バックアップと復元 |
第1層：ログイン時の2FA
二要素認証（2FA）では、パスワードに加えて、スマートフォンの認証アプリに表示される6桁のコードを求めます。誰かにパスワードを知られても、あなたのスマートフォンがなければログインできません。
安全に有効化する手順は次のとおりです。
- スマートフォンに認証アプリをインストールします。
- パネルのプロフィールで2FAを有効にし、アプリでQRコードを読み取ります。
- 生成されたコードを入力して確認します。
- リカバリーコードや手順は、スマートフォンとは別の安全な場所に保管します。
まずは最も権限の強いアカウントから始めましょう。あなた自身、パートナー、リセラーを管理する人のアカウントです。その後、チームにも同じ設定を依頼します。
無操作時の自動ログアウトは2FAを補完します。共有のパソコンでパネルを開いたままにしても、セッションは自動で終了します。
第2層：ロールベースの権限
全員がすべてを見たり操作したりする必要はありません。サポート担当は価格に触れる必要がなく、経理担当はリセラーを削除する必要がありません。
おすすめの運用方法は次のとおりです。
- ロールは人ではなく役割ごとに作る。 サポート、経理、リセラー管理など。
- 最小限の権限から始め、 実際に必要になったときに追加する。
- チームに人が加わったり抜けたりするたびに、 ロールを見直す。
- 一緒に働かなくなった人のアクセスは、その日のうちに削除する。
リセラーネットワークでも同じです。各階層は自分の配下だけを閲覧・管理できます。詳しくはクレジット制リセラーネットワークのガイドをご覧ください。
第3層：誰が何をしたかを記録する監査ログ
監査ログは、パネル内の重要な操作を記録します。誰が、いつ、何を作成・編集・更新・削除したかです。役立つ場面は3つあります。
- 疑問をすぐに解決できる。 「この顧客を更新したのは誰？」が、議論ではなく確認作業になります。
- ミスを見つけられる。 誤って変更された価格も、日時と操作者付きで表示されます。
- 不正を抑止できる。 操作が記録されているとチームが知っていれば、より慎重になります。
週に数分、削除やクレジットの移動といった重要な操作を確認する時間を取りましょう。
第4層：自動バックアップ
良いバックアップとは、自動で実行され、復元もすでにテスト済みのものです。Painel Blendでは自動バックアップをスケジュールでき、必要なときにいつでもエクスポート、インポート、復元ができます。
バックアップのチェックリスト：
- スケジュールバックアップを有効にする。 記憶に頼らないこと。
- 定期的にコピーをエクスポートし、 パネルの外に保管する。
- 大きな変更の前には手動でバックアップを取る。 インポート、移行、一括編集などです。
- 少なくとも一度は復元をテストし、 必要になる前に手順を把握しておく。
他のシステムから移行する場合は、インポートの前にバックアップを取りましょう。手順はSigmaからデータを失わずに移行するの記事で紹介しています。
その他の日常的な保護機能
- メンテナンスモード： 重要な変更を行う間、アクセスを一時停止します。
- トライアルのブロック： 同じ人による無料トライアルの悪用を防ぎます。
- IPブロックの解除： 誤ってブロックされた顧客をすぐに解放します。
- データの分離： セル型アーキテクチャにより、各パネルのデータは他のパネルから分離されています。
パネルを最も危険にさらす失敗
- 1つの管理者パスワードを複数人で共有する。
- 元スタッフのアクセスを有効なまま放置する。
- バックアップの復元を一度もテストしていない。
- パネルのパスワードを他のサービスで使い回す。
- バックアップを取らずに一括インポートを実行する。
クイックチェックリスト
- すべての管理者アカウントで2FAを有効化
- 役割ごとの権限ロール
- 過去1か月以内にアクセスを見直し済み
- 今週、監査ログを確認済み
- 自動バックアップをスケジュール済み
- 少なくとも一度は復元をテスト済み
築いてきたものを守りましょう
セキュリティは複雑である必要はありません。2FA、権限、監査ログ、バックアップで、サブスクリプションビジネスのリスクの大半をカバーできます。詳細はセキュリティとバックアップをご覧のうえ、クローズドベータへのアクセスをリクエストするか、ウェイトリストにご登録ください。
