大東建託株式会社が今年9月に行ったテレワーク実施状況などに関するインターネット調査では、実施率は26.3％と依然４分の１以上の企業がテレワークを継続している状況です。コロナ過の長期化に伴い、テレワークで働く人が一定数いる状況は今後も続くと予想されますが、セキュリティ対策強化の困難さが問題として浮き上がっています。従来、業務用PCは物理的にIT部門の近くにあるため管理も比較的容易でしたが、テレワークにより設置場所が社員の自宅へと一気に拡散し、管理が複雑になることで、セキュリティリスクの上昇とともに、トラブル対応が増加し生産性の低下などを招く可能性も出ています。 今回はテレワークを推進するにあたっての、セキュリティ上の課題とその解決策をまとめていきたいと思います。
テレワークのセキュリティ課題
Wi-Fiからの情報漏えい
外出先でインターネットに接続して作業する際に、公共Wi-Fiを利用することがあるかもしれません。公共Wi-Fiは無料で利用できて便利です。しかし、公共のWi-Fiはどのようなセキュリティ対策が施されているかわかりません。万が一不備がある場合は、データの盗み見や詐欺サイトへの誘導など、第三者への情報漏えいの懸念があります。
また家庭用Wi-Fiもセキュリティに不備があると、ネットワークへの不正侵入や不正サイトへの誘導、ウイルス感染の可能性があります。社内ネットワークにアクセスする手段として、家庭内Wi-Fiが悪用される可能性もあるので注意が必要です。
セキュリティ対策のない私物端末の使用
テレワークで使用されるパソコンに、ウイルス対策ソフトなどのセキュリティ対策が施されていないと、万が一ウイルスに感染した際に対処できません。最悪の場合、パソコンからデータを抜き取られ、会社の情報漏えいにもつながります。
VPNの負荷と脆弱性
VPN（Virtual Private Network）接続とは、インターネット上に仮想の専用線を設定し、特定の人のみが利用できる専用ネットワークです。接続したい拠点（支社）に専用のルーターを設置し、相互通信を行うことができます。「トンネリング」「暗号化」「承認」を設定することで、セキュリティ上安全にデータのやり取りを行うことができるといわれていて、テレワーク下で多くの企業が利用しています。しかし、VPNアプリは決して万能ではありません。
実際にテレワークで使ってみると、VPNで会社につなげたくても、回線や機器の負荷が高すぎてつながらない」「重たくて仕事にならない」といった声があがっています。従来のアーキテクチャでは、従業員からの通信はVPNを利用していったん内部に集約されます。クラウドサービスの利用も、いったん企業のVPNゲートウェイを経由して行われます。ダイレクトにクラウドサービスを利用する場合に比べ、データセンターへの行ったり来たりが増えて帯域もセッション数も消費し、ボトルネックとなっています。
標的型攻撃や最近のランサムウェアといったサイバー攻撃の高度化も深刻な懸念材料になっています。RDP（Remote Desktop Protocol）やVPNといったリモートアクセス環境で弱いパスワードが設定されているアカウントを乗っ取ったり、脆弱性を悪用したりと、さまざまな手段で攻撃を仕掛けてきます。一旦内部に侵入されてしまえば、共有ファイルサーバやディレクトリサーバへのアクセスも可能になり、社内セキュリティは無防備にさらされます。ユーザがインターネットを利用している間に、ウイルス感染したサイトに誘導することもできるため、VPNの使用は慎重に行わなければなりません。
ゼロトラスト・セキュリティ
VPN接続の場合、ファイアウオールなどによるネットワークの「境界防御」が破られ、「安全な」ネットワークの内側に侵入されると、侵入者によって社内アプリケーションへ好き勝手にアクセスされてしまう問題があります。これまでのセキュリティ対策は、ITの世界を、信頼できる「内部」と、脅威が蔓延する危険な「外部」とに分け、外側から侵入を試みる不正アクセスやマルウェア、悪意あるメールなどを、境界で検知してブロックするという境界防御の考え方が主流でした。しかしIT環境の変化とサイバー攻撃の高度化により、もはやこの境界防御では防ぎきれない現実があります。また社内に置かれていたサーバがIaaSやSaaSといったクラウド環境にどんどん移行し、これまでは通信先も通信元も社内にあったのが、今はいずれも内部にあるとは限らず、内と外を分ける境界自体があやふやになっています。そのため、境界防御の考え方に代わって注目され始めたのが「ゼロトラスト・セキュリティ」です。場所にとらわれることなく常に認証やセキュリティ状態のチェックを行い、その結果に基づいて適切なリソースへのアクセスのみを許可していくというセキュリティの概念です。
実際米グーグルは従業員が在宅勤務をする際、VPNを一切使っていません。グーグルがVPNを使わなくなった背景には、いわゆる「ゼロトラスト・ネットワーク」の考え方があります。ゼロトラスト・ネットワークの考え方においては、どのような種類のネットワークであっても信頼しません。社内アプリケーションへのアクセスは、社内ネットワークからであっても社外からであっても必ず「アクセスプロキシー（認証サーバ）」を経由させ、社内アプリケーションの利用の可否を細かく制御しています。
Cloudbric Remote Access Solutionによる安全で簡単なテレワークセキュリティの実現
Cloudbric Remote Access Solution（クラウドブリック・リモートアクセス・ソリューション）は、境界防御にとらわれない企業専用ソリューションです。クラウド基盤で提供されるため、専用線やVPNを構築せず安全なリモートアクセス環境を提供します。VPNは一般のインターネット回線を使用してユーザとサーバを接続するため、安全性が低い場合もあります。例えば、ハッカーがネットワークに侵入した場合、これを防ぐ手立てがありません。 Cloudbricが提供するRemote Access Solutionは、権限のないユーザのアクセスを遮断し、プライベートネットワークに向かうすべてのトラフィックをリアルタイムでモニタリングするセキュリティ機能を提供します。
インストールや複雑な設置が不要
既存のVPNソリューションとは異なり、複雑なインストールが不要でWebブラウザ環境からログインするだけで、社内ネットワークにアクセスできます。テレワーク体制が必要な企業だけでなく、様々なオンラインサービスなどを行わなければならない教育機関や公共機関でも簡単に導入することができます。またユーザにプライベートネットワーク(Private Network)にあるWebサーバ、サーバ内のデータ、あるいはアプリケーションにリモートアクセスできるクラウドベースのセキュリティのみならず、ハッキングやの侵入、DDoS攻撃まですべて防御できるセキュリティ機能も提供します。
特徴
- 拠点間ゲートウェイの設置不要
- 追加ソフトウェアのインストール不要
- DNS情報の変更だけですぐに利用可能
- Webブラウザからログインするだけで遠隔地からも業務を進められる
- モバイル、タブレットなど様々な端末から社内環境へアクセス可能
リモートアクセス環境を安全に保護
3つのセキュリティ対策を通じて、あらゆる方向からのサイバー攻撃を事前に防御します。様々なWeb脅威を防御し、送受信されるすべてのトラフィックへの安全性を確保しつつ、いつ、どこでも社内ネットワークに安全にアクセスすることができます。すべてのセキュリティ機能には、別途インストールが必要なく、ユーザとサーバ間のトラフィックが基本的に暗号化されて転送されます。
3-Layer Security
- Traffic Monitoring（トラフィックのモニタリング）
- User Authentication（ユーザ認証）
- Hack Prevention（ハッキング対策）
新型コロナウイルス感染症はいまだ終息が見えません。セキュリティ面から導入を取りやめる企業もでているテレワークは、経営課題である人手不足への有効な対応策にもなり得るメリットもあり、今後積極的に活用できるかどうかで企業の人事戦略に大きく影響がでてくることも予想されます。セキュリティの構築が面倒、VPNでは防御しきれないとあきらめる前に、導入も簡単で、高精度なセキュリティを実現するRemote Access Solutionをご検討ください。
https://www.cloudbric.jp/cloudbric-ras/
...
