VtigerCRM OSSのセキュリティチェックリスト10項目

01 パスワードと多要素認証

CRMのローカル認証とSSO（シングルサインオン）のどちらを使うかを整理します。ローカル認証を残す場合は、十分な長さを確保し、漏えい済み・よく使われるパスワードの拒否を認証基盤や拡張で検討します。SSOを使う場合は認証基盤でMFAを適用し、管理者や非常用アカウント、パスワード再設定などの経路も確認します。

当サイトの設定記事にある「12文字以上・記号必須」は、社内規程に合わせた設定例です。NIST SP 800-63B-4では、パスワード単独の認証に最低15文字を求め、文字種の組み合わせの強制を設けない方針を示しています。自社の規程と認証方式に沿って要件を決めます。 NISTのパスワード要件

02 接続元IP制限とVPN・ZTNA

固定IPの拠点からだけ使う場合は、Webサーバーやファイアウォールで接続元を許可リストに登録します。社外やモバイルから使う場合は、認証済みのVPNやZTNA（ユーザーや端末に基づくアクセス制御）を候補にします。WAFやリバースプロキシで制御する場合は、接続元情報を信頼できるプロキシ経由に限定し、サーバー本体へ直接到達できる経路も確認します。

顧客ポータル、公開フォーム、API連携がある場合は、公開が必要な入口を洗い出し、CRM本体の制限と分けて設計します。許可経路・非許可経路の両方から試験し、保守担当者が接続できる条件も記録します。

03 ログイン試行の制限と通知

認証基盤の試行制限を確認し、Web入口のレート制限を併用する場合は、ログイン処理に対象を絞ります。複数IPから同じアカウントを狙う試行や、同じ拠点IPを複数社員が共有する状況を踏まえ、アカウント単位と接続元単位の両方を検討します。段階的な待ち時間や一時制限を設け、通知を受ける人と復帰手順も決めます。 OWASPの認証対策

04 ロール・プロファイル・共有ルール

ロールは組織階層、プロファイルはモジュールや操作の権限、共有ルールはレコードの共有範囲を設計するために使います。営業、サポート、委託先、管理者ごとに必要な閲覧・編集・削除を定義し、部署間共有は業務上必要な範囲に絞ります。異動・退職時に、CRMと認証基盤の両方で権限を変更・停止する担当者も決めます。 VtigerCRMのデータアクセス権設定

検証では、各部門の一般アカウントで一覧、検索、関連リスト、レポートを開きます。担当外のレコードを直接開いた場合も、想定した権限で制御されるか確認します。

05 CSVエクスポートとその他の一括出力

対象モジュールのエクスポート権限を確認し、一括出力は業務上必要なロールに限定します。レポートからの出力、APIによる取得、追加モジュール独自の出力は経路ごとに確認します。出力を許可する業務では、承認者、保存先、保存期間を決めます。大量出力を監視要件にする場合は、そのイベントが記録され、後から検索できるところまで試します。

06 ログイン履歴・ModTracker・監査ログ

対象環境のログイン履歴と、対象モジュールの変更履歴（ModTracker）を確認します。テストユーザーでログイン、ログイン失敗、項目変更、削除、CSV出力、API操作を試し、どの記録に日時・ユーザー・対象・結果が残るかを確認します。変更前後の値や閲覧履歴まで必要な場合は、項目・操作ごとに取得範囲を試験し、不足分を認証基盤や追加の監査機能で補います。

調査に使うログは、時刻を同期し、アクセスを限定した別の保管先への転送を検討します。保持期間、閲覧担当者、アラートの確認頻度を決め、認証情報や不要な顧客情報の記録を避けます。 OWASPのログ設計ガイド

07 HTTPSとセキュリティヘッダ

CRMをHTTPSで提供し、HTTPへのアクセスはHTTPSへ転送します。リバースプロキシを使う場合は、利用者からプロキシ、プロキシからCRMサーバーまでの経路を確認します。TLSの設定と証明書の更新担当を決め、HTTPSが安定してからHSTSを検討します。画面の埋め込み制限は、外部ポータルなどへの影響を確認した上で適用します。 OWASPのTLS設定ガイド

08 WAFとマルウェア検知

外部公開が必要な入口では、WAF（Webアプリケーションファイアウォール）で不審なHTTPリクエストを検知・遮断します。まず検証環境でログを確認し、フォーム送信、添付アップロード、APIなどの正規操作を試してから遮断ルールを調整します。例外は必要な経路や条件に絞り、理由と見直し日を記録します。 OWASPのWAFによる暫定対策ガイド

ホスト側のマルウェア検知を使う場合は、検知対象と隔離時の連絡先を決めます。WAFの運用に加え、CRM本体や拡張、ミドルウェアの更新も継続します。

09 設定ファイル・ログ・添付の保護

config.inc.phpなどの設定ファイル、storageの添付、ログ、バックアップを、ブラウザから直接取得できる場所に置かないようにします。環境の構成上、公開ディレクトリ配下に置く必要がある場合は、対象ごとにWebサーバー側でアクセスや実行を制御します。OSの所有者とファイル権限も、実行や書き込みに必要な範囲へ絞ります。

設定後は、認証なしの直接アクセスが拒否されることと、権限を持つ利用者がCRM画面から添付を登録・取得できることを両方試します。ログや設定のバックアップが公開パスに残っていないかも確認します。

10 サポート期限・パッチ適用・復元試験

OS、Webサーバー、PHP、DB、VtigerCRM本体、拡張のバージョンとサポート期限を台帳にまとめます。脆弱性情報を誰が確認し、緊急度を判断し、互換性の検証から本番反映・切り戻しまでを誰が担うか決めます。 PHP公式のサポート期限

DBと添付ファイルの整合が取れる時点のコピーに、設定とカスタムモジュールも含めて世代管理します。暗号化したバックアップを、稼働環境の認証情報だけで消去できない保管先に退避します。隔離した環境で復元し、ログイン、主要なレコード、添付ファイルまで確認します。許容できるデータ損失（RPO）と復旧までの目標時間（RTO）に照らし、実測値を残します。 CISAのバックアップと復旧の指針