社内電話帳には社員全員の氏名・部署・携帯番号が入ります。自社で管理するということは、守るのも自社の責任になるということです。

とはいえ、やることは多くありません。導入時に7つ、運用中に3つで足ります。

導入時にやること

1. SSL（https）を有効にする【必須】

これだけは絶対です。設定していないとID・パスワード・連絡先が暗号化されずに流れます。無料SSL（Let’s Encrypt）がほぼすべてのレンタルサーバーに付いているので、管理画面から有効にするだけです。

確認方法：ブラウザでURLを開いて鍵マークが出るか。

2. 管理者に2段階認証を設定する

管理者アカウントが乗っ取られると全社員の連絡先が抜かれます。Nextcloudの個人設定から2段階認証（TOTP）を有効にしてください。

2段階認証を有効にすると、スマホのCardDAV接続には「アプリパスワード」が必要になります。発行手順はCardDAV URLまとめに書いています。

3. 電話帳は読み取り専用で共有する

社員全員に編集権限を渡す必要はありません。閲覧のみで共有し、編集は管理者だけにします。誤って消される事故がなくなります。

4. 共通アカウントは「閲覧専用」で作る

全社員に配る共通アカウントを作る場合、そのアカウントに管理者権限を与えないでください。パスワードが広く配られる前提のアカウントです。

5. 自動バックアップを確認する

アプリインストーラーで導入した場合はバックアップ機能が付いています。有効になっているか、復元できるかを導入時に一度確認しておきます。

6. 管理画面のURLを社内に配らない

社員に配るのはCardDAVのURLと接続用のID・パスワードだけで足ります。管理画面のURLまで配る必要はありません。

7. WAFを有効に戻す

インストール時にWAF（防御機能）を一時的に外した場合、戻すのを忘れないでください。外したままの状態が最も危険です。

運用中にやること

1. 退職者が出たら、その日のうちに止める

  • アカウントを無効化または削除する
  • 退職者本人の連絡先を電話帳から削除する
  • 所属グループから外す

ここが自前構築の最大の利点です。詳しくは退職者のスマホから社内の連絡先を消す方法にまとめています。

2. アップデートを適用する

Nextcloudは定期的にセキュリティ更新が出ます。アプリインストーラー経由なら自動更新を有効にできます。手動で入れた場合は、月に一度は管理画面を見る習慣をつけてください。

3. SSL証明書の期限を気にする

無料SSLは自動更新が基本ですが、失敗していることがあります。切れると端末側にエラーを出さずに同期が止まるので気づきにくいです。月1回、ブラウザで開いて鍵マークを確認するだけで防げます。

やらなくてよいこと

過剰にやる必要はありません。社内電話帳は、扱う情報の割に仕組みが単純です。

  • IP制限は必須ではありません。社員は外出先からも使うので、かえって使えなくなります
  • 専用サーバーやVPSは要りません。共用レンタルサーバーで足ります
  • 社員ごとにアカウントを作る必要もありません。閲覧だけなら共通アカウント1つのほうが管理は安全です（人数分のアカウントを作ると、止め忘れが発生します）

チェックリスト

タイミング項目
導入時SSL有効化／管理者の2段階認証／読み取り専用で共有／共通アカウントは非管理者／バックアップ確認／管理画面URLは配らない／WAFを戻す
退職時アカウント停止／本人の連絡先を削除／グループから除外
月1回SSLの鍵マーク確認／アップデートの確認

あわせて読みたい

退職者のスマホから社内の連絡先を消す方法
退職時の対応と、なぜ配る方式では消せないのか。

社内電話帳が同期されないときの確認順
止まったときの切り分け方。

Nextcloudで社内電話帳を作る全手順
導入手順。画像16枚。