信頼できるアプリケーションとデータセキュリティの確保：現代のサイバー脅威に対抗するB2B ECブループリント

著者：Yoav Kutner、Oro, Inc.創業者兼CEO

信頼できるアプリケーションとデータセキュリティを達成するため、B2B ECソリューションは運用上の潜在的な脆弱領域を調査・特定する必要があります。

数千人の従業員と数百万のウェブサイト顧客を持つ、複雑なマルチレベル組織階層をサポートする大規模B2B企業向けに、ゼロから構築されたB2B ECアプリケーションはほとんどありません。

複数レベルの強化されたセキュリティ対策を導入し、アプリケーションとデータを保護し、プライバシー規制への準拠を維持します。

アプリケーションセキュリティ機能

日々報じられるセキュリティ侵害のニュースを受け、B2B ECソリューションは、ユーザーごとの比類なき制御とカスタマイズ可能なアクセス、複雑な階層のサポートを提供する必要があります。顧客は最新の暗号化を活用し、ログインプロトコルをカスタマイズできる必要があります。

アクセス制御

アクセス制御リスト（ACL）を使用して、機密データを含むさまざまなデータタイプへのアクセスを許可または拒否するルールを確立します。

アプリケーション内のすべてのユーザーには役割があり、すべての役割にはエンティティとシステム機能に対するアクションの実行または制限を設定した権限セットが構成されています。

異なる組織は、個人レベルまで粒度を細かくしてデータアクセスと制御権限を制限することを選択します。すべてのB2B企業は、最新の売上レポートの閲覧のみか、顧客注文の完全な変更や支払い承認まで、ユーザーが許可されるアクションを制御する必要があります。

リードと商談を扱う営業部門への制限は、マーケティングリストとキャンペーンを管理するマーケティング部門とは異なり、管理者はすべてのシステムにグローバルにアクセスします。開発者の支援なしに、UI（ユーザーインターフェース）から直接データとレコードへのアクセスを完全に制御できることが不可欠です。

階層型設定

B2Cセラーとは異なり、B2Bの構造とプロセスは一般的に非常に複雑です。単一企業が複数の下位組織を通じて商品とサービスの両方を提供し、それぞれが異なる地域や国向けの専用ウェブサイトを持つ場合があります。多くのアプリケーションはB2B企業の複雑さを制御するために構築されています。

B2Bソリューションは、アプリケーション設定UIから任意のアプリケーションをセットアップ・設定し、企業ニーズに具体的に適合させられることを望みます。グローバル、組織、ウェブサイト、ユーザーレベルで設定を適用できます。

• グローバル設定を使用してアプリケーション全体に影響
• 組織設定を調整して各組織専用のオプションを設定
• 各ウェブサイトを設定して企業の各レベルで必要な機能に適合
• ユーザーレベル設定で従業員が特定のアプリケーション設定を個人設定に適応

複数の国に複数のウェブサイトを持つグローバル企業は、各サイトに適切な通貨と言語を設定できます。異なるローカル倉庫の追加、在庫オプションの管理、表示製品の制御、各ウェブサイトでの配置方法の制御機能は極めて重要です。多層設定により、B2Bビジネスはアプリケーションをほぼあらゆるニーズに適合させられます。これにより、マルチレベル階層、多数の組織、複数のウェブサイトを持つ複雑なB2B、B2C、B2B2Cビジネスでデータとアプリケーションを安全に保つために必要な柔軟性が提供されます。

アプリケーションのセキュリティ維持

暗号化

セキュリティ侵害を防ぐため、B2B ECアプリケーションは元データを暗号化して保護する必要があります。最新かつ最も堅牢な暗号化ソリューションをサポートするため、新技術を常に検証しています。

• データベースカラム暗号化により、データベースファイル全体ではなく、暗号化するデータの断片を選択可能
• ユーザーパスワードは、開かれたテキストや暗号化テキストではなく、不可逆ハッシュとして保存
• HTTPS強制リダイレクトでブラウザとWebサーバー間のリンクセキュリティを確保
• オンライン決済プロセスの安全なアーキテクチャと、決済ゲートウェイとのすぐに使える統合で取引を保護

パスワードとセッション保護

B2B EC製品は、安全でないパスワードを防ぎ、ユーザーが強力な認証情報を作成するよう動機づけるベストプラクティスを導入する必要があります。管理担当者はアプリケーションユーザーのパスワードとログイン制限をカスタマイズできます：

• 希望のパスワード長と複雑さを設定
• パスワード変更ポリシーとパスワード履歴を強制
• ログイン試行回数を制限
• 複数回のログイン失敗後にアカウントをロックし、ブルートフォース攻撃を防止

多要素認証のサポートにより、追加の認証要素でアプリケーションセキュリティを強化します。

企業が使用するエンタープライズソフトウェアの安全性を検証する必要性

アプリケーションセキュリティプロセスには、PCI DSSとSOC2コンプライアンスが含まれる必要があります。これら2つのバッジは、クレジットカード情報と機密データを扱うあらゆるソフトウェアに必須です。これらは、アプリケーションが単に安全だと主張するだけでなく、公正な第三者によって徹底的に監査され、最高レベルのセキュリティ基準を維持する能力があることを保証します。コンプライアンスは定期的に監査人に確認され、基準が維持される必要があります。

データセキュリティはあらゆるEC企業にとって極めて重要です。B2B ECアプリケーションは頻繁に顧客個人データ、クレジットカード番号を保存し、オンライン決済をサポートします。最新のセキュリティプロセスに準拠し、潜在的なセキュリティ脅威を防ぎ、保護措置、手順、ポリシーの最前線に留まり続けるためにセキュリティを継続的に改善・洗練させ、顧客データを守ります。

著者について：Yoav Kutner氏はOro, Inc.の創業者兼CEO。OroとOroCommerce、OroCRM、OroPlatform製品の構築以前は、MagentoのCTO兼共同創業者として、立ち上げからeBayによる買収後まで、すべてのMagento製品のプロダクトと技術開発を主導。ビジネスアプリケーション市場での実績あるプロダクトビジョナリー。UCLAでコンピュータサイエンスの学士号を取得。