COVID-19の影響で従業員が突然テレワークをすることになった時、荒っぽい方策を取って急場をしのいだCISO（情報セキュリティ最高責任者）もいるだろう。急場しのぎで用意したツールも導入から1年以上たって利用規模が拡大し、企業によっては今後もそのまま利用しようと考える可能性がある。ハイブリッドワークが拡大するタイミングには、こうしたツールがコンプライアンスやデータプライバシーの要件に沿うものかどうか、さらには機密性、完全性、可用性のセキュリティ原則に照らして問題のないものかどうかを評価する必要がある。特にWeb会議ツール、リモートでのパッチ管理サービス、データウェアハウスは再評価が必要だ。

ポイント2．従業員のセキュリティ意識を高める施策を検討する

　従業員の多くがオフィスにいた時代は、職場のあちこちに掲示された貼り紙や通知などの伝達方法を通して、セキュリティの重要性を絶えず従業員に伝えることができた。ハイブリッドワークでセキュリティに関する周知を徹底するには、こうした注意喚起を従業員の自宅にまで送り届ける工夫が必要になる。例えばゲーム以外の活動にゲームの仕組みを利用する「ゲーミフィケーション」を取り入れたセキュリティ意識向上研修を実施するといった方法がある。

ポイント3．境界（ペリメーター）の範囲を拡大する

　従業員が恒常的なテレワークや、オフィス出社は月に数回だけといった勤務形態を選ぶ場合、企業は従業員の自宅にあるネットワーク接続機器も企業の境界（ペリメーター）だと捉える必要がある。例えばスマートスピーカーやWebカメラ、ネットワークに接続したフィットネス機器、テレビなどの家庭用機器に対しても、企業のセキュリティポリシーを適用する必要がある。従業員がWeb会議で取引先にプレゼンテーションをする際は、社外の人間から従業員の自宅内部が見えないように、折り畳み式のグリーンスクリーンを使うことを従業員に向けて推奨する。企業は、家庭用IoT（モノのインターネット）機器が仕事用のノートPCとは異なるサブネットに入るように、ネットワークを分離する手助けをする。従業員の自宅を、企業ネットワークの拡張部分として扱うようにしよう。

ポイント4．テレワークとオフィスワークで、統一したセキュリティ方針を確立する

　ハイブリッドワークを導入する場合、オフィスで仕事をする従業員にも、民泊サービス「Airbnb」で借りた部屋で仕事をする従業員にも、同じセキュリティポリシーを適用しなければならない。これは「どこで仕事をするかに関わりなく、VPN（仮想プライベートネットワーク）が設定されていれば従業員は必ず使わなければならない」ことを意味する。多要素認証も導入する必要がある。機器の特性とエンドユーザーの機器使用パターンを常に監視し、アラートとそれに対する対処方法を管理するための方針を確立する。

ポイント5．とにかくバックアップを取る

　テレワーク従業員とオフィスワーク従業員が作成したデータのバックアップを常に取るようにする。従業員のノートPCにあるデータや、従業員がクラウドサービスに保存したデータもバックアップ対象だ。ランサムウェア（身代金要求型マルウェア）攻撃が激化する中、事業継続の保証は企業にとって極めて重要だ。予算に余裕のある企業は、プライマリーデータとバックアップデータを、それぞれ別のクラウドサービスに保存した方がよい。