テレワークで守りにくくなる三つの理由
対策を考える前に、なぜ社外で働くと情報を守りにくくなるのかを押さえておきましょう。理由は大きく、端末と回線が会社の管理から離れること、通信経路が見えなくなること、そして私物の機器やサービスが入り込むことの三つに整理できます。
持ち出した端末と回線は会社の目が届かない
オフィスでは、入退室の管理や社内ネットワークの監視によって、端末がどこでどう使われているかをある程度把握できます。ところがテレワークでは、端末は社員の自宅やカフェなど会社の管理外の場所に置かれ、接続先も社員が選ぶ回線に変わります。
その結果、更新プログラムが適用されないまま使われ続けたり、業務で使ってよいか判断がつかない機器が混ざったりしても、管理者が気づけません。社内にいれば同僚や情報システム部門がすぐ相談に乗れた場面でも、社員が一人で判断して進めてしまう点も違いです。端末が今どんな状態にあるかを離れた場所から把握する手段を用意しない限り、対策の効果を確かめられないことが最初の壁となります。
自宅や外出先の回線は設定も品質もばらばら
自宅の回線は社員それぞれが契約したもので、機器の設定内容や更新状況は一律ではありません。家庭用ルーターの管理画面が初期パスワードのまま残っていたり、提供元のサポートが終了した古い機器が使われていたりする例もあります。
外出先では、駅や店舗の公衆無線LAN、いわゆるフリーWi-Fiを使う場面も出てきます。暗号化されていないアクセスポイントや、正規の名前をまねた偽のアクセスポイントに接続すると、やり取りの内容をのぞかれる恐れがあります。会社側が回線の設定内容まで指定できない前提に立ち、端末側の設定と通信の暗号化で守る発想へ切り替える必要があります。
私物端末や個人向けサービスが業務に入り込む
急な在宅勤務では、会社支給の端末が足りず、私物のパソコンやスマートフォンを使う運用が生まれがちです。私物端末の業務利用はBYOD（Bring Your Own Device）と呼ばれ、端末の費用を抑えられる一方で、会社が中身を管理しにくいという課題を抱えます。
加えて、ファイル共有やチャットなど、会社が許可していない個人向けサービスを社員が自分の判断で使い始めることもあります。管理部門が把握していないこうした利用はシャドーITと呼ばれ、どこに業務データが置かれているのか分からない状態を生みます。退職時に回収できない、事故が起きても調査できないといった問題にもつながるため、使ってよいサービスを一覧で示すことが重要です。
テレワークで想定される主なリスク
守りにくくなる理由が分かったら、次は具体的にどんな事故が起こりうるかを洗い出します。ここでは、実際の被害報告で繰り返し取り上げられる三つの類型を取り上げ、それぞれ何が引き金になるのかを確認します。
端末やUSBメモリーの紛失・盗難
通勤や移動が絡むテレワークでは、持ち歩く端末そのものが危険の入口になります。電車や飲食店にパソコンを置き忘れる、かばんごと盗まれるといった事故は、高度な攻撃がなくても情報流出につながります。
被害の大きさを左右するのは、端末に業務データを残しているかどうかと、保存領域を暗号化しているかどうかです。画面ロックだけでは、取り外した記憶装置から中身を読み取られる可能性があります。暗号化と、遠隔からのロックや消去の手段をあらかじめ組み合わせておけば、紛失が即座に情報漏えいへ直結する事態を避けやすくなります。持ち出す端末の台数を絞り、外部記憶媒体の利用可否を決めておくことも有効です。
公衆Wi-Fiでの盗聴と画面ののぞき見
社外で仕事をすると、通信と画面の両方が他人の目にさらされます。暗号化のないアクセスポイントでは通信内容を読み取られる恐れがあり、正規のものに似せた名前のアクセスポイントに接続させて情報を抜き取る手口も知られています。
画面側の危険も見落とせません。背後から画面やキー入力を見て情報を盗む行為はショルダーハッキングと呼ばれ、カフェやコワーキングスペース、新幹線の座席などで起こります。のぞき見防止フィルターの配布や、機密度の高い作業と会議は人目のある場所で行わないという取り決めが、地味ながら有効な対策です。離席時に画面を自動で施錠する設定も、あわせて全端末に適用しておきましょう。
認証情報やVPN機器を突かれた不正アクセス
社外からの接続が前提になると、接続の入口そのものが攻撃対象になります。警察庁が公表しているランサムウェア被害の調査では、侵入経路としてVPN機器が最も多く報告されており、脆弱性が残った機器や、強度の弱い認証情報が突破口になっています。
ランサムウェアは、データを暗号化して使えなくしたうえで金銭を要求する不正プログラムです。情報処理推進機構（IPA）が毎年公表する「情報セキュリティ10大脅威」でも、組織向けの脅威として上位に挙げられ続けています。入口の機器と認証の守りが、被害の分かれ目になります。
あわせて、他社が実際にどう体制を整えたのかも確認しておきましょう。
ルールづくりと社員教育で行動を変える
道具をそろえる前に、まず決めておきたいのが社内ルールです。何をしてよくて何が禁止なのかがあいまいなままでは、社員は自分の判断で動くしかありません。判断に迷わない基準と、迷ったときに聞ける場所の両方を用意します。
持ち出し・保存・廃棄の線引きを文書にする
ルールづくりの出発点は、扱う情報を重要度で分け、それぞれ社外に持ち出してよいかを決めることです。顧客情報や人事情報のように持ち出しを認めない区分を設けておくと、現場の判断がぶれにくくなります。
あわせて、業務データの保存場所を会社が指定したクラウドや共有領域に限ること、私物端末を使う場合の条件、印刷物の取り扱いと処分の方法まで文書に落とし込みます。総務省は「テレワークセキュリティガイドライン」を公開しており、経営者や管理者、社員それぞれが取るべき対策が整理されています。自社の規程を見直す際の土台として活用できます。中小企業向けには、確認項目を絞った手引きやチェックリストも用意されています。
教育と相談窓口を続ける仕組みにする
ルールは配って終わりにすると形だけのものになります。入社時だけでなく定期的に研修の機会を設け、実際に起きた事故の例を共有すると、なぜその決まりがあるのかが伝わりやすくなります。
特に効果が高いのは、不審なメールを装った訓練のように、社員が自分で判断する場面をつくる取り組みです。また、怪しいメールを開いてしまった、端末をなくしたといった場面で、叱責を恐れず即座に連絡できる窓口と手順を周知しておきます。報告が早いほど被害を小さく抑えられます。
限られた人員で体制を整える方法は、次の記事でも解説しています。
ITトレンドでは、最新の製品・サービスを多数比較・掲載しています。まず資料を取り寄せて、さまざまな製品の機能や特徴を比較してみてください。忙しい業務時間内でも、各社に問い合わせる手間なく、たった1回の入力（約60秒）でゼロトラスト・セキュリティの一括資料請求が可能です。浮いた時間で、じっくりと製品を比較検討し進めましょう。
VPN頼みの限界と次の考え方
テレワークの接続手段として広く使われてきたのがVPNです。ただ、全社員が社外から常時つなぐ使い方が定着したことで、当初の想定を超えた負荷と危険が表面化しました。ここでは課題と、その先にある考え方を整理します。
全員の通信を一点に集めることで生じる課題
VPN（Virtual Private Network）は、インターネット上に暗号化された通信路を作り、社外の端末を社内ネットワークにつなぐ仕組みです。利用者が増えると装置や回線に通信が集中し、速度の低下や接続の不安定さが起きやすくなります。
運用面の負担も軽くありません。VPN機器の脆弱性は攻撃者に狙われやすく、修正プログラムの公開後は速やかな適用が求められますが、業務を止められず更新が後回しになる例もあります。さらに、いったん社内網に入れば広い範囲へ移動できる構造のため、一つの認証情報の流出が被害の拡大につながります。
接続のたびに確かめる前提へ切り替える
こうした課題を受けて広がっているのが、社内は安全という前提を置かず、アクセスのたびに利用者と端末を確認するゼロトラストの考え方です。米国国立標準技術研究所（NIST）が公開した文書「SP 800-207」で、その設計思想が体系的に示されています。
具体的には、誰が、どの端末から、どの情報にアクセスしようとしているかを都度判断し、必要な範囲だけを許可します。こうした機能をクラウドから提供する形態はSSE、ネットワークまで束ねた形態はSASEと呼ばれますが、まずは自社のどの業務から適用するかを決めることが先決です。
導入の広がりや市場の動きを知りたい方は、あわせてご覧ください。
端末管理と認証の強化で被害を抑える
ルールと方針が決まったら、それを仕組みで支えます。社員の注意深さだけに頼らず、端末の状態を離れた場所から把握し、認証を強くすることで、事故が起きても被害を小さく抑えられる体制に近づきます。
端末の状態を把握し、異常を早く見つける
まず整えたいのが、業務で使う端末の一覧と状態の管理です。パソコンやスマートフォンの設定を遠隔で適用し、紛失時にロックや消去を行う仕組みはMDM（Mobile Device Management）と呼ばれ、社外にある端末を扱ううえで土台となります。
あわせて、基本ソフトや業務ソフトの更新状況を確認し、修正プログラムを適用する運用も欠かせません。侵入後の不審な動きを検知して対応を支援するEDR（Endpoint Detection and Response）のような仕組みを組み合わせれば、防ぎきれなかった攻撃に早く気づけます。
どのような仕組みがあるかを比較したい方は、次の記事も参考になります。
多要素認証とアクセス権限を見直す
認証の強化で効果が大きいのは、IDとパスワードに加えて別の要素を求める多要素認証です。スマートフォンのアプリやワンタイムパスワード、生体情報などを組み合わせると、パスワードが漏れただけでは入れない状態をつくれます。
権限の整理も同時に進めましょう。異動や退職のあとも権限が残っている、全社員が同じ共有領域を見られるといった状態は、被害範囲を広げる原因です。業務に必要な最小限の範囲だけを与える方針に切り替え、棚卸しの時期をあらかじめ決めておくと、運用が形骸化しにくくなります。人事の異動情報と連動させて権限を見直す手順を決めておけば、更新漏れも起こりにくくなります。
「自社に合うゼロトラスト・セキュリティを診断してみたい」、「どんな観点で選べばいいかわからない」という方向けの診断ページもあります。
ITトレンドで過去資料を請求した方の、リアルなお悩みや要望から作成した簡単な質問に答えるだけで、最適な製品・サービスをご案内します。
無料で今すぐ利用できますので、下のリンクから診断を開始してください。
社外からの接続と認証を見直す製品
ここでは、テレワークで課題になりやすい「社外からの接続経路」と「認証・ID管理」を支える製品を取り上げます。VPNに頼りきらない接続の制御や、多要素認証によるなりすまし対策に対応しているかを基準に選びました。
IIJフレックスモビリティサービス/ZTNA
- 私物端末からのリモートアクセスを制御
- 端末のインターネットアクセスを制御してマルウエア感染を防御
- 感染端末からのアクセス通信をブロック
株式会社インターネットイニシアティブが提供する「IIJフレックスモビリティサービス/ZTNA」は、社外の端末から社内システムやクラウドへ接続するためのクラウド型サービスです。セキュリティ対策済みの端末だけに接続を許可するアクセス制御を備え、セキュリティ対策ソフトと連携して脅威を検知した際は通信を自動で遮断します。WindowsやmacOS、iOS、Androidに対応し、通信の利用状況を可視化する機能もあり、接続トラブルの切り分けにも役立ちます。
GMOトラスト・ログイン
- 多要素認証で不正アクセスを防止
- シングルサインオンで安全性と利便性を両立
- 条件付きアクセスで利用環境に応じた認証を実現
GMOグローバルサイン株式会社が提供する「GMOトラスト・ログイン」は、シングルサインオンとID管理を行うクラウド型のサービスです。SAML認証やフォームベース認証に対応し、複数のクラウドサービスへのログインを一つのIDにまとめられます。ワンタイムパスワードやクライアント認証、接続できる端末の制限といった多要素認証の機能を備え、FIDO認証やプッシュ通知を使ったパスワードレス認証にも対応しています。Active Directory連携やSCIM連携を利用すれば、入退社や異動にあわせたIDの棚卸しも行えます。
SophosZTNA （ソフォス株式会社）
- アプリ単位でのアクセス制御とユーザー分離。
- Sophos Centralで端末・ID・リスク情報を統合管理。
- ゲートウェイ等で既存アプリに導入可能。
CloudflareAccess （Cloudflare Japan株式会社）
- あらゆる環境で最小権限アクセスを適用し、侵入拡大を防止。
- グローバルエッジでVPN不要の高速・信頼性リモート接続を実現。
- 柔軟なアクセス制御機能で多様なプロトコルに対応。
まとめ
テレワークのセキュリティ対策は、端末と回線が会社の管理から離れるという前提から考え直すことが出発点です。紛失や盗難、公衆Wi-Fiでの盗聴、のぞき見、認証情報を突いた不正アクセスといった危険を洗い出し、持ち出しや保存の線引きをルールとして明文化します。そのうえで、社員教育を続けながら、端末管理と多要素認証で仕組みとして支える流れが有効です。VPNに頼りきらず、アクセスのたびに確認する考え方も取り入れ、自社の働き方に合う体制を整えていきましょう。
