セキュリティ

TeamPage は、ビジネスで安心して使える様々な安全性を備えています。

アクセス元の制限

セキュア アクセス リスト (SAL) で TeamPage へのアクセス元を制限できます。インターネット上のクラウドや IaaS 環境で TeamPage を運用する場合でも、アクセス元を社内や関連企業からだけに限定できるので、安全性が増します。

通信の安全性

標準で HTTPS (SSL/TLS) 暗号化通信に対応しています。また、RSS/Atomのフィード配信 も HTTPS に対応しています。

メールとの連携においては、SMTPS、IMAPS、POP3S、STARTTLS といった暗号化プロトコルに対応し、セキュリティ性を高めています。

認証の安全性

X.509 クライアント証明書による認証

さらに、X.509 クライアント証明書認証を利用できます。これは、クライアント（ブラウザ）側で作成した鍵をTeamPageに登録しておき、そのキーを持つブラウザからだけログインできるようにする認証機能です。

外部ディレクトリによる認証

TeamPage 内蔵のユーザー認証機能の他、Microsoft Active Directory (NTLM シングル・サインオン可能) または LDAP と連携でき、企業で使われている認証ポリシーを適用できます。

なお、内蔵ユーザー認証と Active Directory / LDAP 認証を併用できるので、例えば、Active Directory に登録された社内ユーザーと登録されていない社外ユーザー（取引先や提携企業など）とが、同じ TeamPage に同居してコミュニケーションを図れます。

細かな権限設定

管理者は、アクセス コントロール リスト (ACL) で、様々な権限を細かく設定できます。下図は、サーバー ACL でアドレスブックへのアクセス権限や外部への出力権限を設定する例です。詳しくは、アクセス コントロール リスト を参照してください。

閲覧権限のチェック

その記事を誰が閲覧できるかを簡単にチェックできます。機密スペースへ投稿した記事が必要のない人に公開されていないか、スペースの権限設定が誤っていないかを素早く把握できます。

履歴の確認や過去への復元

記事やコメントの投稿、編集、タグの付け替え、記事の名前 の編集、メール転送、ドラフト＆パブリッシュや記事のロックといった モデレーション 操作など、TeamPage のあらゆる操作は履歴として保存されます。編集内容を破棄して過去の状態へ戻すことも可能です。

履歴は、履歴の閲覧権限があるユーザーだけが確認できます。詳しくは、編集履歴 や 作業や操作の追跡調査 を参照してください。

ログの記録と確認

通常の動作ログやアクセスログに加えて、細かなデバッグログを記録できます。

高いセキュリティ性と導入事例

TeamPage は米国の国防総省でも使われています。国防総省では非常に高いセキュリティが要求されます。認証用のスマートカードを挿入したコンピュータか、X.509クライアント認証の鍵を持つコンピュータからだけ TeamPage にアクセスできるようになっています。（これは Lotus Notes が長い間使ってきた方式です）

TeamPage の開発元である Traction Software 社 の投資家のひとつはIn-Q-Telで、これはアメリカ中央情報局 (CIA) に代わって投資をしています。つまり、TeamPage の開発資金の一部は間接的に CIA から出資されているということになります。

TeamPage は、長い間、認証、セキュリティ、暗号化などに高い要求を課す様々な企業や組織で使われてきました。

TeamPage の HTTP サーバーは脆弱性テストをクリアし、安全だとされています。また、XSS や CSRF などのセキュリティ攻撃への対処もバージョンアップに盛り込まれ、既に対処済みです。また、TeamPage の記事には OBJECT、SCRIPT、EMBED など、潜在的な危険性のあるタグを入れることはできず、手動で入れても自動的に削除される仕組みになっています。

また、/pub や各スペースの共有フォルダへのファイルのアップロード、記事の添付などができるユーザーやグループを権限設定で制限できるので、安全かつ柔軟に運用ができるようになっています。

いくつもの TeamPage で作られたサイトがインターネット上で運用されています。ユーザーやグループによって閲覧できるスペースを区切り、また、スペース内の新規投稿、コメント、共有フォルダへのアクセスなどの権限設定を細かく設定し、特定のグループだけが見えるスペース、特定のユーザーが見えるスペース、すべてのユーザーが見えるスペース、ビジターも見えるスペース...などなど...を1つのサイト内に安全に同居できます。

ヒューマンエラーの予防

いくら高い安全性が備わっていても、それを運用する人間が誤った設定をしてしまうと、公開すべきではない情報が公開されてしまうことになります。

TeamPage で権限設定の誤りを防ぐには、スペースのアクセス コントロール リストで「アクセス」権限を「拒否」します。「アクセス」権限が拒否されると、スペースの記事を読むことも、投稿することも、コメントすることも一切できなくなります。

例えば、社内の高い機密性が要求されるスペースでは、ビジターや社員ではないユーザーなど、スペースのコンテンツにアクセスすべきではないユーザーの「アクセス」権限を確実に「拒否」するようにします。これにより、うっかり誤って公開する事態を防げます。

また、「アクセス」権限を許可しないことで、スペースの存在そのものを隠せます。これにより、顧客名やプロジェクト名がうっかり漏洩してしまうことを防げます。