テレワークを活用する企業が直面するセキュリティ問題

　例えば自社内やオフィス環境では、しっかりとセキュリティ対策を施していたにもかかわらず、在宅勤務中の従業員のPCがウイルスに感染してしまい、社内LAN全体にまで拡散してしまう事態が起きる可能性は否定できません。あるいは、ウイルスに感染した端末が踏み台となり、社内の機密情報や重要情報の漏えいにつながる恐れもあります。テレワークが原因で多大な損失を被ってしまっては、何のためのテレワークなのか分からなくなります。

　IT活用による利便性の向上には、必ずリスクが付きまといます。テレワークを推進する企業は、必ずセキュリティ対策もセットで考えなくてはいけません。

　初めてテレワークを導入する企業が最低限取り組むべきセキュリティ対策には、どのようなものがあるでしょうか。大別すると、次の3つになります。

• 技術的な取り組み
• 仕組みやルールに関する取り組み
• 人に対する取り組み

　今回は「技術的な取り組み」に絞って説明します（次回以降で、仕組みやルールに関する取り組みと、人に対する取り組みについて解説します）。

テレワーク導入企業が最低限やるべきセキュリティ対策（技術的な取り組み）

　テレワークを実施するときに、セキュリティ上考慮すべき技術的な要素は、次の2つです。

• セキュリティ上の抜け穴を作らないこと
• 情報流出や漏えいが起きないこと

　このセキュリティリスクは、次の3つのポイントで発生する可能性があります。

1. モバイルデバイス
2. モバイルデバイスからインターネットへの接続時
3. モバイルデバイスからインターネット、社内LANへの経路

　セキュリティ担当者は、それぞれに対するセキュリティ対策を、このように施しましょう。

1．モバイルデバイス

　モバイルデバイスのセキュリティ対策のポイントは、以下の2つです。

• 業務では会社支給（貸与）のモバイルデバイス（以下、貸与端末）を使わせる
• 貸与端末には基本的なセキュリティ対策を施す

　従業員にWindowsのモバイルPCを貸与している場合の対策例は、以下の通りです。

• ウイルス対策ソフトウェアをインストールし、定義ファイルを最新版にする
• 「Windows Update」を実行し「Microsoft Office」関連ソフトウェアを最新版にする
• Webブラウザを最新版にし、不要なWebブラウザを削除する
• 「Java」「Adobe Flash Player」を最新版にする
• 「Adobe Acrobat Reader DC」を最新版にする
• USBメモリや外付けHDDなどの外部デバイスを貸与端末で接続できないようにする
• 不要なアプリケーションをインストールできないようにする
• 貸与端末へのログインパスワードはプライベートで使用しているものと同一にさせず、パスワードの使いまわしもさせない
• 貸与端末を紛失した場合に情報漏えいが起こらないように、HDDのデータを暗号化する
• 自宅PCでデータを無制限に印刷できないように設定する（印刷する場合はログを必ず残す、など）
• のぞき見防止フィルターなどのショルダーハック対策を導入し、外出先でも横から情報を盗み取られないようにする

2．モバイルデバイスからインターネットへの接続時

　従業員が自宅の無線LAN経由でインターネットにアクセスする際の主要な注意点を以下にまとめました。

• WEPなど脆弱なセキュリティプロトコルを使わない
• 無線LANアクセスポイントのファームウェアを最新版にする（セキュリティプロトコル「WPA2」の脆弱性対策のため）
• 貸与端末でインターネットに接続する場合、アクセスできるWebサイトに制限を設ける
• メール送受信の際、会社で指定したメールサーバ以外へのアクセスはできないようにする
• メールフィルタリングソフトなどを用いて、不要な迷惑メールの閲覧をできないようにする
• ファイアウォールや統合脅威管理（UTM）などを導入し、攻撃者からの侵入を防ぐ手だてを整える

3．モバイルデバイスからインターネット、社内LANへの経路

　従業員が外出先や自宅でモバイルデバイスを使い、インターネット経由で社内LANへアクセスする際の主要なセキュリティ対策を以下に示します。

• 貸与端末を社内LANに接続する際には、インターネットVPNでセキュアに接続する
• 社内リソースへアクセスする際のログインパスワードはプライベートで使用しているものと同一にさせず、パスワードの使い回しもさせない
• インターネットVPN接続の際にはワンタイムパスワードを利用するなど、2段階認証を施す

　これらの技術的なセキュリティ対策は、テレワークをする上で最低限必須となる取り組みなので、しっかりと準備しましょう。

那須慎二（なす・しんじ）

大手情報機器メーカーを経て船井総合研究所に入社。ネットワークセキュリティの安全対策と解決策に詳しい。「日本一分かりやすいセキュリティ」をモットーに、中小企業を対象にしたサイバーセキュリティ問題や、対策に関する啓発活動を実施。実際に、全国の地域各社で年間100回以上開催する講演は「今まで聞いた中で一番分かりやすい！」と好評を得ている。著書『小さな会社のIT担当者のためのセキュリティの常識』（ソシム）がある。

参考リンク

「小さな会社のIT担当者のためのセキュリティの常識」（Amazon.co.jp）