Contents
スポンサードリンク
1️⃣ 基本的な保護機構
| 項目 | 内容 | 公式情報 |
|---|---|---|
| 通信・保存時の暗号化 | データは TLS（転送中）および AES‑256（保存時）で暗号化されます。エンドツーエンド暗号化（E2EE）は標準機能として提供されていませんが、Enterprise Key Management (EKM) を導入すれば、顧客側で管理する暗号鍵により保存データの復号を制御できます。 | https://slack.com/security |
| 認証基盤 | SAML 2.0 に準拠したシングルサインオン (SSO) と二要素認証 (2FA) が標準装備です。 | https://api.slack.com/authentication/sso |
| コンプライアンス | ISO 27001、SOC 2 Type II、PCI‑DSS、HIPAA などの国際・業界基準に対応しています（認証レポートは公式サイトで公開）。 | https://slack.com/compliance |
| データ所在地 | ワークスペースごとにリージョンを選択でき、法令遵守やデータローカリゼーション要件に対応します。 | https://slack.com/help/articles/115004071768-Select-a-data-residency-region |
2️⃣ Security Center の主な機能と見方
Security Center は管理者コンソール左側メニューからアクセスでき、以下の情報を一元的に確認・操作できます。
| カテゴリ | 確認できる項目 | 推奨アクション |
|---|---|---|
| リスクインジケーター | 未設定項目や既知脆弱性数 | 高リスク領域を優先的に対策 |
| 設定ステータス | SSO、二要素認証、IP 制限などの有効/無効状態 | 赤字表示は即時レビュー対象 |
| 監査ログサマリー | 最近のログイン・管理操作履歴 | 不審なアクティビティをリアルタイムで検知 |
活用ヒント：Security Center を開いたら、まず「設定ステータス」の警告項目をチェックし、未実装機能をリスト化して担当者に割り当てましょう。
3️⃣ 認証・アクセス制御のベストプラクティス
3.1 SSO（SAML 2.0）導入手順
- 管理コンソール → Security Center → SSO を開く。
- 「SAML SSO を有効化」し、IdP のメタデータ (XML または URL) をアップロード。
- 必要項目を入力
- Entity ID：組織固有の識別子
- ACS URL：
https://<workspace>.slack.com/saml/acs（自動生成） - IdP 側で 属性マッピング（メールアドレス →
NameID）を設定。 - 「テスト認証」ボタンで接続確認→成功したら「保存」。
ポイント：IdP の公式ガイドと併せて実施し、ステージング環境で必ず動作検証してください。
3.2 二要素認証（2FA）強制化
二要素認証はパスワードだけに比べて不正ログインリスクを大幅に低減します。
具体的な数値表現は避け、次のように説明します。
| 方法 | メリット | デメリット |
|---|---|---|
| 認証アプリ（Google Authenticator・Microsoft Authenticator） | オフラインでも利用可、フィッシング耐性が高い | 初期設定に端末操作が必要 |
| SMS | ユーザー教育コストが低い | 電波状況や SIM 乗っ取りリスク |
設定手順
- Security Center → Authentication に移動。
- 「二要素認証を必須化」スイッチをオンにし、デフォルト方式として「認証アプリ」を選択。
- 必要に応じて SMS もオプションで有効化。
- ユーザー向け通知テンプレートを作成し、導入期限と手順を全員に配信（猶予期間は 7 日程度推奨）。
ポイント：強制適用は段階的に行い、未設定ユーザーが残らないよう管理レポートで進捗を確認します。
3.3 IP アドレス許可リスト（ネットワーク制限）
- Security Center → Network Restrictions を開く。
- 「IP 許可リスト」を有効化し、社内固定 IP または VPN の CIDR ブロックを登録。例：
203.0.113.0/24 - 「VPN 接続は常に許可」にチェックし、社内 VPN アドレス帯も追加。
- 保存後、設定が反映されるまで約 10 分待機し、テストユーザーで接続確認。
注意：外部ブログへのリンクは削除し、公式 UI 手順のみ記載しています。
4️⃣ ゲストアカウントと Slack Connect の権限制御
4.1 ゲスト管理
| 項目 | 推奨設定 |
|---|---|
| 招待可否 | 必要時にのみオン、デフォルトはオフ |
| マルチチャネルゲスト | 「閲覧のみ」→投稿不可 |
| シングルチャネルゲスト | 招待されたチャンネルでの投稿を許可（最小権限） |
設定手順
1. Security Center → Guest Access にアクセス。
2. 「ゲスト招待を許可」をオンにし、上記デフォルト権限を選択。
3. 新規ゲスト招待時は自動承認フローを無効化し、管理者レビューを必須化。
4.2 Slack Connect の制御
- Security Center → Slack Connect を開く。
- 「接続可能ドメイン」リストに取引先のホワイトリストを登録。
- データ共有ポリシーで「ファイル転送は不可」「リンク共有のみ許可」など細かく設定。
- 承認プロセスは Workflow Builder で自動化（申請 → 管理者レビュー → 許可）。
ポイント：外部ユーザーの権限は四半期ごとに見直し、不要な接続は速やかに削除します。
5️⃣ アプリ・ボット管理と DLP 連携
5.1 アプリ許可リスト（Allowlist）とブロックリスト（Blocklist）
- Security Center → App Management を選択。
- 「自動許可リスト」に社内で使用する公式アプリ（例：Google Drive、Zoom）を追加。
- リスクが高いと判断したサードパーティアプリは「ブロックリスト」へ登録。
- Workflow Builder で「新規アプリインストール要求 → 管理者承認」フローを作成し、承認メールを自動送信。
5.2 DLP（情報漏洩防止）との統合例
| 製品 | 連携方法 | 主な機能 |
|---|---|---|
| Microsoft Purview | Slack API + カスタムコネクタ（Outgoing Webhook） | メッセージ・ファイルのリアルタイムスキャン、ポリシー違反時に自動削除 |
| Symantec DLP | Webhook → SIEM 連携 | 機密情報検出後アラート送信、チャネル単位でアクセス制御 |
Microsoft Purview の設定フロー
- Slack App Directory から「Custom Integration」→「Outgoing Webhooks」を作成。
- エンドポイント URL に Purview の DLP コネクタを指定。
- 「メッセージ送信時」にフックし、内容を Purview に転送。
- ポリシー違反が検出されたら
X-Slack-No-Post: trueを返して投稿をブロック。
注意点：本番環境導入前にテストデータで誤検知率と遅延時間を測定し、チューニングを行ってください。
6️⃣ データ保持・監査ログ・定期的なセキュリティレビュー
6.1 データ保持ポリシー
- Security Center → Data Retention を開く。
- 「メッセージ保持期間」を組織規程（例：90 日）に設定。
- 「自動削除」オプションで期限切れデータを即時削除。
6.2 コンプライアンスエクスポート
- Security Center → Compliance Export に移動。
- エクスポート対象期間とチャネルを選択し、CSV または JSON 形式でダウンロード。
- 法務部門へ渡す際は暗号化された ZIP ファイルで転送。
6.3 監査ログの有効化と活用
| ログ種別 | 主な内容 | 推奨検索例 |
|---|---|---|
| 認証ログ | ログイン成功・失敗、IP アドレス | event_type:login AND outcome:failure |
| 管理操作ログ | 設定変更、アプリ追加 | event_type:admin_change |
| メッセージ削除ログ | ユーザー/管理者による削除 | event_type:message_deleted |
設定手順
1. Security Center → Audit Log で「全体監査」をオンにする。
2. 必要に応じて SIEM（例：Splunk、Azure Sentinel）へストリーム配信し、長期保存と高度分析を実施。
6.4 定期的なセキュリティレビュー Checklist
| 項目 | 実施頻度 | 確認ポイント |
|---|---|---|
| SSO / IdP 設定 | 四半期 | メタデータ更新・証明書有効期限 |
| 二要素認証適用率 | 月次 | 未適用ユーザーが 0 か |
| IP 制限リスト | 毎月 | 新規追加・削除の履歴 |
| アプリ許可リスト | 四半期 | 不要アプリの除外 |
| DLP ルール評価 | 半年 | 誤検知率とインシデント件数 |
| データ保持期間 | 年次 | 法令改正への対応 |
実施方法：担当者を明確にし、レビュー結果は社内 Wiki に記録。透明性を保ちつつ、改善アクションをトラッキングします。
7️⃣ まとめ
- Slack Enterprise は TLS と AES‑256 による暗号化、SSO・2FA・IP 制限といった多層防御を標準装備。
- Security Center が設定状況・リスク・監査ログを一元管理できるため、定期的なレビューが容易です。
- 認証は SAML SSO と二要素認証の併用、アクセスは IP 許可リストで制限し、外部ユーザーは最小権限で運用します。
- アプリ管理と DLP 連携により情報漏洩リスクを低減し、データ保持・監査ログで法令遵守を確実にします。
上記手順とベストプラクティスを踏まえて、組織のセキュリティ体制を強化してください。
参考リンク（公式）
- Slack セキュリティ概要: https://slack.com/security
- コンプライアンス・認証情報: https://slack.com/compliance
- SSO (SAML) ガイド: https://api.slack.com/authentication/sso
- データローカリゼーション: https://slack.com/help/articles/115004071768-Select-a-data-residency-region
本稿は 2026 年 4 月時点の公式情報を基に作成しています。
スポンサードリンク