テレワーク脅威

2021年セキュリティ脅威予測 : テレワーク環境がサイバー攻撃の弱点に!

トレンドマイクロは12月22日、脅威動向を予測したレポート「2021年セキュリティ脅威予測」を公開しました。その中で自宅のテレワーク環境がサイバー攻撃の弱点になりうると警鐘をならしています。2020年、多くの企業は新型コロナウイルス(Covid-19)のパンデミックに対応するため、業務機能、クラウドマイグレーション、テレワークのサポート等、さまざまな側面から運用とセキュリティのプロセスを見直す必要に迫られました。こうした状況の中、これまでのセキュリティリスクに加え、2020年に企業が直面した課題だけでなく、今後も続くであろう混乱に対する備えについても懸念が高まっています。テレワークの実施が恒常化したいま、テレワーク環境を狙ったサイバー攻撃が急増しています。手口が高度化・巧妙化する脅威の侵入を完全に防ぎ切ることは、もはや難しいとみられます。これからは、テレワーク環境で使われるエンドポイントからの侵入を前提にしたセキュリティ対策が必要になってくるでしょう。そんな中どのようなセキュリティ対策が効果的なのか、今回は紐解いていきたいと思います。

 

テレワーク環境がサイバー攻撃の弱点になっている

テレワークが当たり前になった現在、社員の自宅は、今後も引き続きオフィスとして利用される可能性があります。これにより、多くの社員が自宅からデバイス(私的なデバイスを含む)を使用して社内ネットワークの機密情報にアクセスする状況となり、こうした業務体制があらゆる企業にとって深刻なリスクとなります。このような状況においては、安全なアクセスを維持し、攻撃経路を阻止できる強固なセキュリティツールを導入しない限り、攻撃者は、容易に社内ネットワークへ侵入し、利用可能なターゲットを見つけるために端末へと移動を続けることになります。

1.自宅のテレワーク環境がサイバー攻撃の弱点に

今後、サイバー攻撃者が脆弱なホームネットワークから従業員の自宅のコンピュータを乗っ取って、組織ネットワークへ侵入することが顕著になることが予想されます。サイバー攻撃者にとって、自宅のルーターは格好の標的となります。侵入済みのルーターへのアクセス権をアンダーグラウンド市場で販売する傾向が見られるでしょう。加えて、企業の経営幹部やIT管理者のテレワーク環境など、サイバー攻撃者にとって価値の高いホームネットワークへのアクセス権を提供するアンダーグラウンドのサービスは需要が高くなるとみられています。
また、VPNシステムの脆弱性による侵入やアンダーグラウンド市場で脆弱性が適用されていないシステムのリストが確認されており、多くの組織にとって今後はVPNの脆弱性に一層注意する必要があります。

2.新型コロナウイルスに便乗した脅威の継続と医療機関を狙ったサイバー攻撃の深刻化

サイバー犯罪者は、新型コロナウイルスに対する人々の不安に便乗し、サイバー攻撃をおこなっており、この傾向は2021年も継続するとみられます。2021年は新型コロナウイルスに対するワクチンの開発や治験、提供が進むことで、ワクチン開発関連組織へのサイバー偵察・情報窃取が行われることが懸念されています。

3.修正プログラム適用までの空白期間を狙う「Nデイ脆弱性」の悪用が横行

2021年はベンダーにより修正プログラムが提供されている既知の脆弱性「Nデイ脆弱性」が重大な懸念を引き起こすとみられています。デイ脆弱性は、該当のソフトウェアやシステム開発企業から公開開示文書などが公開されており、悪用できる方法を探しているサイバー攻撃者にとって、悪用できる脆弱性の特定が容易です。加えて、2020年はVPNの脆弱性を狙う攻撃を多く確認したほか、複数の攻撃キャンペーンでも既知の脆弱性が多数悪用されていたことを確認しています。

 

テレワークを行う際のセキュリティ上の注意事項

世界中が新型コロナウイルス感染症によるパンデミックの災禍に見舞われるなか、不安につけ込んだサイバー攻撃が次々に見つかってます。複数のセキュリティ調査機関によると、コロナウイルス関連情報に見せかけたファイルやドメインを使用するサイバー攻撃、パンデミックを悪用して利益を得ようとするランサムウェアなども確認されています。とくに感染拡大被害が大きい地域、過酷な勤務によって疲弊する医療機関をターゲットにした脅威がめだって増えており、攻撃者の卑劣さが改めてうかがえます。2021年のサイバー攻撃の脅威としては、テレワークが鍵になっていることが各種レポートから伺えます。例えばIPA(情報処理推進機構)ではテレワークを行う際のセキュリティ上の注意事項として以下のような注意点をあげています。

所属する組織や企業からテレワーク環境が提供されている場合

  1. テレワーク勤務者の方は、お使いのテレワーク環境に関して所属先が定めた規程やルールをよく理解し、それに従ってください。
  2. 不明な点等がある場合は自分で判断せず、まずは所属先のシステム管理者等に相談をしてください。
  3. 規程やルールとあわせて、お使いのパソコン等に対して<日常における情報セキュリティ対策>を実施してください。

所属する組織や企業からテレワーク環境が提供されていない場合

  1. 本格的なテレワーク環境が提供されておらず、自宅のパソコン等で業務に関わるメールの送受信や資料作成等を行う場合には、自身によるセキュリティ対策を強く意識する必要があります。自分はITにそれほど詳しくない、相談できるシステム管理者がいない、等の状況にある方は、普段使っている個人の環境のセキュリティ対策を見直すことから始めてください。
  2. そのために、以下の<日常における情報セキュリティ対策>を確認し実施してください。
  • 修正プログラムの適用
  • セキュリティソフトの導入および定義ファイルの最新化
  • パスワードの適切な設定と管理
  • 不審なメールに注意
  • USBメモリ等の取り扱いの注意
  • 社内ネットワークへの機器接続ルールの遵守
  • ソフトウェアをインストールする際の注意
  • パソコン等の画面ロック機能の設定

テレワーク時に特に気をつけるべき注意事項

  1. テレワークで使用するパソコン等は、できる限り他人と共有して使わないようにしてください。共有で使わざるを得ない場合は、業務用のユーザーアカウントを別途作成してください。
  2. ウェブ会議のサービス等を新たに使い始める際は、事前にそのサービス等の初期設定の内容を確認してください。特にセキュリティ機能は積極的に活用してください。
  3. 自宅のルータは、メーカーのサイトを確認のうえ、最新のファームウェアを適用、ソフトウェア更新してください。

公共の場で行う場合

  1. カフェ等の公共の場所でパソコン等を使用するときはパソコンの画面をのぞかれないように注意してください。
  2. 公共の場所でウェブ会議を行う場合は、話し声が他の人に聞こえないように注意してください。
  3. 公衆Wi-Fiを利用する場合は、パソコンのファイル共有機能をオフにしてください。
  4. 公衆Wi-Fiを利用する場合は、必要に応じて信頼できるVPNサービスを利用してください。
  5. デジタルデータ/ファイルだけではなく、紙の書類等の管理にも注意してください。

 

さいごに

働き方改革が推進される中で流行した新型コロナウイルスの影響で「テレワーク」が急増しています。セキュリティガイドラインの策定をはじめ、実践的なセキュリティルール・情報管理ルールの策定が企業には求められています。今回まとめたように、従業員がテレワーク時にとるべき行動をルール化し、ガイドラインとルールを遵守できる環境作りが大切になってきます。

情報セキュリティの重要性について理解してもらい、従業員一人ひとりに浸透させていくことが欠かせません。

特にテレワーク勤務者は、オフィスから目の届きにくい場所で作業をすることとなります。そのためにも、ルールの趣旨や、ルールを遵守することの重要性を自覚してもらうことが大切です。

Award

クラウドブリック、コロナ時代の在宅勤務ソリューションの Remote Access Solutionで2020 Golden Bridge Awards 受賞

クラウド&エッジコンピューティングセキュリティ企業のクラウドブリック株式会社(英文社名:Cloudbric Corp. 代表取締役:鄭 泰俊、http://139.162.127.206/jp)は12月10日、主力サービスである「Cloudbric Remote Access Solution(以下、Cloudbric RAS)」が、「COVID-19と戦い、その影響を減らすためのサービス(Best Service To Combat and Reduce the Impact of COVID-19)」部門にてゴールデンブリッジ賞の銀賞を受賞したのでお知らせいたします。


ゴールデンブリッジアワードは、ビジネス成果と革新を称え、知らしめることを目的として創設された賞で、各分野で最高の企業や技術を選定及び表彰します。今年は新型コロナウイルス感染症(COVID-19)がもたらしたビジネス環境の変化が著しかったため、これに対するカテゴリが新設されました。

コロナ過により在宅勤務が急速に普及するにつれ、セキュリティ脅威も増加してきました。Cloudbric RASはVPNを使用せずに、いつどこでもWebブラウザー環境であれば、認証基盤のアクセス管理が実現できる上、3つのセキュリティ対策でテレワーク環境を安全に保護できるリモートアクセス・ソリューションです。新型コロナの影響が続くまでにセキュリティ対策の弱い産業群を対象に無料で配布し被害を最小限に抑えるために努力してきたことが認められ、今回の賞を受賞致しました。

クラウドブリックは、コロナをきっかけとして新しい働き方へのシフトが加速することを予測し、最適のテレワーク環境のためのCloudbric RASをリリース致しました。今後も、急速に変化するニューノーマル時代において各企業環境に合わせた柔軟なセキュリティ対策を実現するためにクラウドブリックベースのセキュリティ・プラットフォーム・サービスの持続的な開発・提供に努めてまいります。

 

2020年ゴールデンブリッジアワード受賞者はこちら

https://goldenbridgeawards.com/winners/2020-business-awards-winners/

Cloudbric RASの詳細はこちら

https://www.cloudbric.jp/cloudbric-ras/

 

■クラウドブリック株式会社

クラウドブリック株式会社は、アジア・パシフィック地域マーケットシェア1位に誇るWebアプリケーションファイアウォールの開発企業ペンタセキュリティシステムズ(株)の社内ベンチャーとして創業した以来、クラウド型セキュリティ・プラットフォーム・サービス「Cloudbric」をリリースしました。現在18カ国28カ所の世界のサービスリージョンを保有しており、日本国内で6,000サイト(2020年 6月)、グローバルで15,000サイト以上のお客様のWebサイトを保護しております。また、WAFサービスを初め、IoT&End-Point保護サービス、サイバーセキュリティ研究所に至るまで、幅広い分野で様々なクラウド基盤のセキュリティサービスを展開しております。

absolutvision-WYd_PkCa1BY-unsplash

「日経ムック 中堅・中小企業のためのテレワーク 成功の秘訣」に掲載されました。

 

日本経済新聞出版社様より2020年11月12日発売の「日経ムック 中堅・中小企業のためのテレワーク 成功の秘訣」の「特別カタログ テレワーク導入ガイド~9種類のお役だちサービス~」に当社の記事が掲載されました。

VPNを構築せずに、安心かつシンプルなテレワーク環境を実現する「Cloudbric Remote Access Solution(クラウドブリック・リモートアクセスソリューション)」の特長について分かりやすくご紹介頂いております。

リモートワークや自宅勤務等、テレワーク時代に備え企業が取るべきセキュリティ対策への取り組みの一助となりますと幸いです。

記事の詳細は、こちらからご確認ください!

Cloudbric RASのさらに詳しい情報やお問い合わせは下記のホームページで是非チェックしてみてください。

Cloudbric RAS

Remote Access Thumbnail

テレワーク導入に向け、セキュリティ対策を徹底比較!

テレワークに関する情報流出事故が後を絶たず起こっています。特に最近は三菱重工業(記事のリンク)を皮切りに、よく知られている大企業でも発生し危機感を与えています。しかし、コロナウイルスの影響で在宅勤務を進める必要がある中、単純に社員のセキュリティ意識に全てを任すには無理があります。そんな悩みを持っている方のために、今回はテレワークのためのセキュリティ・ソリューションを徹底比較します。

 

ログ管理システム

ログ管理システムは主に従業員の勤怠管理のため使われます。個人の機器に設置され、ログを管理・確認し業務が随行されているのかを確認することが第一の目標です。また、近年には社内データの流出や不法コピーなどを早期に発見する機能を持つ製品が多数リリースされています。そのためテレワークのセキュリティ対策として使われることもありますが、本来の目的がセキュリティの確保ではないため、優れた性能を発揮するとは言い難い部分があります。

 

VPN

VPNとは「Virtual Private Network」の略称です。ネットワーク上に仮想の通路を作り通信できるようにするサービスです。社外から社内ネットワークへ安全に接続する目的でよく使われています。サーバ(ネットワーク)とデバイス(ノートパソコンなど)の間に暗号化された通路を作りますが、利用するにはソフトウェアの設置や設定の変更などを必要とします。

VPNを利用する場合のメリットは、「従業員が社内で勤務するときと同じように、社内ネットワークに存在するデータを利用できる」点です。しかしその一方では、ビジネス用VPNを利用している多数の企業が利用者が接続状況の不具合に対する不満を漏らしています。そのため、次のような機能が備わっているのかを確認する必要があるでしょう。

  • 専用サーバ: 共有サーバに接続する方式の場合、トラフィック量が増加するにつれ接続速度が低下する恐れがあります。そのため、専用サーバを保有しているのかを確認する必要があります。
  • 管理者機能: システム管理者が従業員の接続を制御し、全体的な設定をコントロールできるのかを確認する必要があります。
  • 拡張性: テレワークに当たる従業員が急に増加するなど、急変する状況に合わせ規模を流動的に調整できる必要があります。

 

リモートデスクトップ・ソリューション

企業用のリモートデスクトップ・ソリューションはその名の通り「企業内部にあるデスクトップを遠隔操作」できるようにするサービスです。個人が接続できる範囲が限られるので、システム管理者が社内ネットワークを的確に制御できるようになります。

VPNと同じく、リモートデスクトップ・ソリューションは一般的に事前設定やインストール等を必要とします。従業員が業務用PCに接続できるようテレワーク環境を整えるため、RDP(リモートデスクトッププロトコル)やTeamViewerなどが使われます。設定が終われば、ユーザはほぼ全てのデバイスでビジネス用アプリケーションを使ったり、必要なデータを利用できるようになります。つまり、物心両面で会社のPCの前に座っているようになるのです。しかし、次のようなデメリットが存在することを忘れてはいけません。

  • システムを構築するにあたり大量のリソースを必要とする
  • VPNを利用しない限り、ネットワークの面では安全だと言えない
  • ユーザが多数存在する環境の場合、複雑な設定が必要で、比較的多くの費用がかかる

 

リモートアクセスソリューション

最近COVID-19の影響で、急いでテレワークを導入する企業も増えていると思います。そのような企業には、クラウド型のサービスで提供されるリモートアクセスソリューションをお勧めします。クラウド基盤なので、利用形態や企業のシステム環境に合わせ、通信の暗号化やハイレベルの認証方式を提供することができます。また、追加的なセキュリティ対策を含んでいる場合も存在します。先ほど紹介した三つのソリューションに共通して現れるデメリットは「設定や設置などの過程で相当なリソースが消耗される恐れがある」という部分ですが、クラウド型の場合には設置を要しないという点も大きなメリットとなります。

クラウドブリックの「Remote Access Solution」も同じく、企業内部のネットワークに安全に接続する用途のソリューションです。クラウド型サービスですので、登録するだけですぐさまサービスを利用でき、ユーザもログインするだけで済むので、リソースの無駄を省きます。また、「ハッキング防止」、「2要素認証」、「リアルタイムでのモニタリング」という三つの機能を通じ、内部ネットワークを狙う脅威に対処します。

 

さいごに

テレワークを含む在宅勤務がもはや必須となった中、「セキュリティ」が企業が解決すべき最優先課題に浮かび上がっています。全てのセキュリティソリューションには一長一短があるため、状況にあったものを選ぶ必要があるでしょう。そして、その中でも「限られたリソースを最大限有効活用したい」という方には、クラウドブリックの「Remote Access Solution」をお勧めします。10月8日(木)までお申し込みをいただいた場合、3か月無料で利用いただけるキャンペーンを実施しております。リンクを通じお申し込みください。

VPN Thumbnail

VPNの脆弱性は、さらなる被害を呼び起こす可能性を持つ

出張の最中、目まぐるしく忙しい中で会社のサーバに保管された文書を急に確認しなければならない時、あなたならどうしますか。普通、企業ネットワークは専用サーバまたは閉域網で構築されており外部からの接近を防いでいますが、VPNを利用すると会社のネットワークに接続できるようになります。一般的にVPNは安全で簡単だと思われがちですが、本当にそうなのでしょうか。今回はVPNの使用例と、その脆弱性についてお届けします。

 

なぜ多くの人がVPNを使っているのか

VPNとは Virtual Private Network の略字であり、暗号化やプロトコールなどを通じネットワーク上に仮想の通路を設け機密を守る技術です。通信過程でセキュリティを維持する必要があるときによく使われています。また、「働き方改革」の一環でテレワークが幅広く進められるにつれ、さらに注目されてもいます。それでは、VPNがどの様な状況で使われているのかを見ていきましょう。

海外出張しているとき

海外出張の際には、業務のため使わざるを得ないサイトに接続できない状況が頻繁に起こります。例えば中国ではグーグルに接続できませんが、これは国家別に接続が許可されていないサイトが存在するからです。業務を行うにおいて大きな障害となりますが、VPNを使うことによって遮断されたサイトに接続することができます。

無料Wi-fiを利用しているとき

公衆無線LANなど、無料Wi-fiの場合、暗号化などのセキュリティ対策が施されていない場合が頻繁に見かけられます。これは、利用者の情報が無防備に露出されることが多い、と同じ意味です。実際、無料Wi-fiの利用者を狙ったサイバー攻撃も数多く報告されています。VPNを利用すると通信経路全体を暗号化でき、情報の露出を防ぐことができます。

外部から社内ネットワークに接続するとき

数々の企業が社員の社内ネットワーク接続のため、ビジネス用VPNを使用しています。社内ネットワークをインターネットで構築しながらも、指定されたVPNを利用する者のみが接続できるようにする形です。専用回線でネットワークを構築する方式に比べコストを抑えながらも、一定レベルのセキュリティを維持する事が可能になります。
しかし、よく考えてみたら、このような事例は全て「VPNを利用すれば安全が保障される」という前提で行われています。VPNは果たして本当に安全だと言えるのでしょうか。

 

VPNとて必ず安全なわけじゃない

残念ながら、VPNを利用するとしても必ず安全が保障されるわけではありません。VPNにも脆弱性が存在するのです。例えば、2020年に発生した「三菱電機に対するサイバー攻撃」事件では、VPN装置がハッキングされたことが事件の始まりでした。

三菱電機へのサイバー攻撃、VPN装置にハッキングか
2020年5月2日
三菱電機への大規模なサイバー攻撃で、不正アクセスの起点が「仮想プライベートネットワーク(VPN)」と呼ばれる通信機器へのハッキングだった可能性が高いことが複数の関係者への取材で分かった。ネットワークに侵入した中国系ハッカー集団「BlackTech(ブラックテック)」が、防衛に関する機密や個人情報を流出させたとされる。…
同社の複数の関係者によると、中国拠点のPCで外部との不審な通信がないか調べたところ、中国国内にあるデータセンターに設置されたVPN装置に不正アクセスの痕跡が見つかったという。装置は中国など海外の拠点と日本の拠点をネット回線を介して互いにつなげる役割がある。この装置へのハッキングが社内ネットワークへの侵入のきっかけだったとみている。
引用: 朝日新聞

実際、VPNを狙った攻撃が近年さらに増加しています。この事件の場合、セキュリティ対策をしっかりと行っていると思われた大手企業を狙ったものなので、さらに大きな衝撃を与えました。特にビジネス用VPNは企業ネットワークに接続する用途で使用されるため、攻撃により発生する被害は想像を超すと思われます。攻撃者が企業ネットワークに侵入でき、内部情報を思うままに奪取できるという事を意味するからなのです。

攻撃者が目標にしていると思われる、主なVPNの脆弱性には次のようなものがあります。

低レベルのプロトコル及び暗号化

VPNは暗号化及びプロトコルなどを利用し安全性を確保しています。しかし、そのレベルには製品によって雲泥の差があります。廉価または無料で提供されているVPNの場合、低レベルのプロトコル及び暗号化を利用しており、容易にハッキングされる可能性があります。よって、十分に検証されたものなのかを確認する必要があるでしょう。ハッキングによって情報が露出されれば、もはやVPNを使う理由はありません。

VPNサーバに対する攻撃

VPNはその利用者を特定のサーバを通じネットワークに接続させる形でセキュリティを維持しています。しかしサーバ自体がハッキングされたら、セキュリティはどうなるのでしょうか。実際、VPNサービス企業のサーバがハッキングされた事例(引用: Techcrunch)が存在するように、サーバに対する脅威はVPNの脆弱性になりえます。もしもサーバに利用者の情報が残っている場合、通信がいくら安全に行われるとしてもその結果が露出されかねないという事になります。結果的に、VPNを使った理由を探せない状況が作り出されるのです。

 

VPNを選択する際の注意事項

VPNに脆弱性が存在するとしても、必ずVPNを利用しなければいけない状況に置かれる可能性も十分あり得ます。例えば、海外で遮断されたサイトに接続する必要がある場合などには、VPNを利用しなければいけません。その際には、次のような点に注意する必要があります。

  • 信頼できる個人情報保護ポリシー及びデータ保存ポリシーが存在するのかを確認する
  • 広範囲もしくは適切なサーバ適用範囲を提供しており、多様な選択肢が存在するのかを確認する
  • 強力なプロトコル及び暗号化措置が存在するのかを確認する
  • 適切な価格と、それに見合う機能を提供するのかを確認する

 

最後に

テレワークはコロナ禍以後にも引き続き拡大される見通しであり、企業により強固なセキュリティ対策が求められている状況です。先ほど紹介したVPNの脆弱性を周知し、VPNを補完できるセキュリティ対策を取る必要があります。このような状況を鑑み、クラウドブリック(Cloudbric)は追加設置などが不要で、簡単に暗号化、認証、ハッキング防止及びモニタリング等の機能をご利用できる「Remote Access Solution」をリリースしました。10月7日まで無料でお試しいただけるので、是非お試しください。
Cloudbric Remote Access Solutionの詳細はこちら

engineer

テレワーク導入時、IT担当者が検討すべきセキュリティ対策

新型コロナウイルス感染症に対する緊急事態宣言が5月25日をもって解除されましたが、それでも東京都では7月2日にも100人以上の感染者が確認されるなど、コロナの勢いが収まる気はありません。こういう状況下で、すぐに終わるだろうと思われたテレワークを続けている方も、また多数おられると思います。

このような状況を鑑み、多数の政府機関がテレワークにおけるセキュリティ対策を紹介しています。その中でも今日は、苦労されているIT担当者の方々に、少しでも手掛かりになるようなテレワーク対策をお伝えします。

 

セキュリティポリシーを策定し、ルールとして守る

テレワーク環境を安全にするにあたりもっとも重要なことは、「脅威が存在する」状況であると認めることです。現状に対する認識なしでは、セキュリティ対策にしっかり取り組むことなどできません。実際、警察庁などもセキュリティ対応を呼びかけてるのが現状です。

テレワーク標的か 国内でサイバー攻撃6500件超
2020年4月26日

新型コロナウイルスの感染が拡大し、外出自粛が求められるなか、出社せず自宅などで仕事を進めるテレワークが広がっている。こうした動きに照準を合わせるように、不正サイトに誘導するサイバー攻撃の被害が国内で6500件超に上っていることが26日、分かった。… 「前例のない危険な状況」。警視庁サイバーセキュリティ対策本部の幹部はテレワークの急増に危機感をあらわにする。十分な準備なしに急遽導入に踏み切る事例が多いためで、3月31日にはテレワークの防犯対策をホームページに掲載し、警戒を呼び掛けた。警察庁が検知した昨年のサイバー攻撃関連の疑いがある不審アクセスは1日平均で4192件。前年比約1・5倍と急増しており、テレワークが標的にされる例が目立っているという。

引用: 産経新聞

このように、テレワークを実施している企業の情報を狙っている攻撃はすでに多発しており、またその数を増やすであろうと予想できます。これに対応するには、まずルール、つまり「セキュリティポリシー」を策定することが対策の第一歩となるでしょう。仕事を始める前に計画を練るのと同様に、セキュリティ対策もまた同じ過程を要します。また、統一されたルールを持つことによって、従業員が悩みなしにルールを従い安全に仕事をできる、というメリットももたらせるでしょう。

 

暗号化されたネットワーク手段を使う

多くの企業で社外と社内の間の通信を暗号化するためにVPN等を導入していると思います。警視庁は、テレワーカーの通信経路に対し、次のような勧告を出しています。

使用するパソコンから勤務先等の接続先までの通信経路が、VPNで暗号化されているか否かを勤務先のネットワーク担当者に確認してから業務を行う

通信経路が暗号化されていないと情報を盗み見されるおそれがあります。
VPNサービスを利用するときは、運営者が明確であり、かつ情報が健全に取り扱われるものを利用する
VPNサービスの中には、通信の盗み見や改ざん、マルウェア(ウイルス)の組み込みがされている場合があるので信頼のあるものを利用しましょう。

引用: 警視庁

総務省もまた、重要情報の盗聴に対する対策として機密性が求められる電子データを送受信する際には必ず暗号化をすることを要求しています。暗号化をすることによって、盗聴を許したとしても、その情報の悪用を防ぐという事です。暗号化をせず通信を行った場合、通信に利用している機器を強固に防衛しているとしても、その対策が破られた瞬間に全ての情報が奪取されます。

しかし、暗号化を施すことによって、例え機器に対する防衛手段が破られたとしても、攻撃者が容易に情報を悪用するのを防げるのです。警視庁はその手段としてVPNを勧めておりますが、実はVPNもまた完全なセキュリティ対策だとは言えません。VPNと他のセキュリティ対策を併用したり、リモート・アクセス・ソリューションを導入したりするなどセキュリティ面を最優先し、自社にあった対策を取ることが重要です。

 

容易に突破されない認証方法を従業員に提供する

警視庁は、テレワーカのパスワードに関しても、次のような勧告を出しています。

パスワードは他人に推測されにくい複雑なものにする
簡単なものは、他人に不正アクセスされるリスクが高くなります。
パスワードを他のサービスと使い分け、テレワーク専用にする
他のサービスと同じパスワードを使用していると、そのサービスがサイバー犯罪の被害によって情報が流出した場合、テレワークのシステムに不正アクセスされるおそれがあります。
引用: 警視庁

パスワードに対する対策は、テレワークに限らず全ての情報セキュリティ対策としてよく知られています。しかし、実際にこれを守るのはそう簡単ではありません。パスワードを複雑にしたり、用途別に違うパスワードを設定するなどの対策はユーザの業務における効率を阻む可能性があります。多彩なパスワードを設定したのち記憶に残らず、パスワードを再設定するのにかなりの時間を費やしてしまった、などの例を挙げることができるでしょう。なので、二要素認証(2FA)などの機能を通じ、パスワード単体ではなく他の認証手段を同時に利用するなどの対策を取ることをお勧めします。

 

不正なパケットを自動的に発見・遮断するシステムを導入する

テレワークでは、社内ネットワークに接続する際、必然的に外部のネットワークを利用することになります。社内で勤務する場合は、オフィスに設置されたネットワークの安全を確保するだけで一定のセキュリティを得られました。しかし、テレワークの場合はそうはいかない、という事です。そこで、総務省は次のような勧告を出しています。

外部のネットワークを利用する場合は、テレワーク実施者が定められたVPN回線に接続してアクセスするルールやシステムを導入する、あるいは不正な通過パケットを自動的に発見、もしくは遮断する措置のできるシステムが求められます。
引用: 総務省

つまり、テレワーカー以外が社内ネットワークに接続するかを常に監視し、摘発するシステムが必要だという事です。社内ネットワークがいくら安全だといっても、それは社内にいる認証された人々だけが利用する場合のことであり、誰もが潜みこめるとなると、もはや安全とは言えません。よって、社外から社内に接続する場合は、怪しい接近を最初から遮断するソリューションを予め導入しておく必要があります。

 

コストをできるだけ削減する

情報セキュリティ対策へのコストを支払うにはに制約があるという理由での反対がある、という方も多いでしょう。しかし、無論自社に対する攻撃だけではなく、他人に対する攻撃への足掛かりにもなりかねない状況で、最低限のセキュリティ対策は必須です。総務省もまた、次のような見解を示しています。

対策の程度は企業により異なりますが、電子メールやWeb等のインターネットに繋がったサービスを使う以上は、他人に迷惑を与えないという意味で、最低限の対策は必要であると考えられます。
引用: 総務省

セキュリティ対策をとるにあたっては、「脅威が存在する」状況であると認めることが重要だとお伝えしました。しかし、そのような状況認識下でも、費用の問題で戸惑う企業もまた、多くいらっしゃると思います。しかし、会社の扉を閉めなければ泥棒が入るから防犯会社と契約するのと同じく、対処をしなければ、もっと大きな被害がいずれは訪れるでしょう。被害が出た後ではなく、被害が出る前に備えるのが重要です。そして、そのための手段を選ぶときには、最も状況にあった、優秀なコストパフォーマンスの製品を選択すべきでしょう。

 

最後に

いかがだったでしょうか。前述したとおり、テレワークは確かに人の「健康」を守るため有効な手段です。しかし、それによって企業情報の「健康」が損なわれることは、最大限防がなければなりません。クラウドブリックもまた、暗号化・二要素認証・モニタリング及び遮断といった機能を持つ Remote Access Solutionを通じ、企業情報の健康を守ろうとしております。そして、その二つの「健康」を守るため尽力しておられるIT担当者の方々に、Cloudbric Remote Access Solution が役に立てれば、と思う一方であります。

Cloudbric Remote Access Solution の詳しい情報は、こちらをご覧ください。

【セミナーレポート】ポストコロナ時代、ビジネス継続性を支える考え方としてのセキュリティとは

2020年6月22日、大韓貿易投資振興公社(KOTRA) 東京IT支援センター主催の「第88回 Korea IT Cafe」にて、ペンタセキュリティシステムズ株式会社日本法人代表取締役の陳 貞喜(ジン・ジョンヒ)が「ポストコロナ時代、ビジネス継続性を支える考え方としてのセキュリティとは~求められている脱VPNと、セキュリティ課題への新たな取り組み方~」を主題として講演を行いました。今回は、そのWebセミナーの内容をまとめてご紹介させていただきたいと思います。

実はコロナ禍以前から、政府主導で働き方改革の一環としてテレワークが推進されてきました。遅々として進まなかったのですが、コロナをきっかけにリモートワークや在宅勤務など、従来と違った形の柔軟な勤務形態が急速に普及しています。そしておそらく、コロナが終息しても、そのまま新たな働き方は当然のように定着していくでしょう。

https://www.youtube.com/watch?v=LL-FyUslqXQ&t=752s

セミナー資料のダウンロードはこちら

 多くの企業ですでにテレワークを導入されている、もしくは導入を検討されていると思いますが、テレワークのためのソリューションといえばVPNをイメージする方が多数おられると思います。しかし、VPNもまた、決して安全だとは言い切れません。コロナがもたらした大規模なテレワークとともに、VPNによる様々な問題が浮き彫りになってきており、もはや今は「脱VPN思考」が求められているのです。

その理由の一つ目は、VPNの渋滞問題です。

VPNを経由して社内ネットワークに入ろうとする利用者の急増に伴い、ボトルネックが発生し、渋滞が起きる可能性が高まります。また、VPN環境を構築するにはVPNゲートウェイを企業側のネットワークに設置し、またユーザのPCにもVPNクライアントなどソフトウェアをインストールする必要があります。つまり、利用者急増に伴う処理能力の限界やシステム管理時の負担など、 ITシステム担当者側の負担がかなり増加しかねません。

二つ目は、セキュリティ問題においてVPNのみでは不十分であることです。

セキュリティにご興味のある方なら、よく耳にする言葉だと思いますが、「Zero Trust Model」という概念があります。Zero Trust Modelは内部・外部すべてが信頼できない危険な状態だと認識することを意味します。だからこそ、システムの外・内部を問わず、全領域にセキュリティを適用すべきだということになります。VPNの場合、社内システムの外側のみにセキュリティを適用しているため、システム内部に潜んでいるかもしれない脆弱性への対応までは保証できかねます。Zero Trust Modelに基づいたセキュリティ対策への取り組みが必要だということです。

クラウドブリック株式会社は、外部から社内に安全にアクセスできるテレワーク・セキュリティ・ソリューション「Cloudbric Remote Access Solution」をリリースしました。VPNを構築せず企業システムにアクセスできるSaaS型テレワークプラットフォームであるため、追加のインストールなしに、DNS情報変更のみで簡単に導入できます。また、同時接続者数の増減による処理能力を調整できるため、VPNの渋滞問題を解決し、システム管理時の負担をも軽減させます。セキュリティの面では不正侵入防御、2FA認証、トラフィック・モニタリング機能という3つのセキュリティ対策を提供し、テレワーク環境を安全に保護します。あらゆる脆弱性にさらされているテレワーク環境だからこそ、「脱VPN思考」に基きセキュリティを最優先に考慮した上で、テレワーク対策に向けて取り組んでいただけたらと思います。

セミナーの内容を簡単にまとめてみましたが、いかかでしたか。Cloudbric Remote Access Solutionは10月7日まで、3か月間無料でご利用いただけますので、ご興味のある方は、ぜひお試しいただけたらと思います。また、ご相談や質問なども、お気軽にお問い合わせしてください。

home-office-569153_1920

「一般的なテレワーク環境」に付きまとう、セキュリティリスク

新型コロナウイルスの影響で、緊急事態宣言が出されるにつれ多数の企業がテレワークを導入しました。そして、緊急事態宣言が解除された以降も、かなりの割合でテレワークが続けられています。一番楽な場所で業務に当たれるという事を好意的に受け取る方も、多数存在するのではないのでしょうか。実際、出勤する手間が省けるというだけでも、日常はかなり楽になるものです。しかし、テレワークがいかに従業員の仕事と生活の調和を助け、生産性を向上させたとしても、デメリットの存在を否定することはできません。テレワークは常にサイバー脅威と隣り合わせしており、いつ企業のデータがリスクに陥るのかわからない状態なのです。そこで、今日は一般的に運用されるテレワーク環境と、それに潜むリスク、そしてその対策についてお伝えします。

 

一般的なテレワーク環境に至るまでの道のり

コロナの影響で急遽テレワークを始めた企業の多数が、「サイバーセキュリティに気を遣う余裕などない」という状況だったはずです。よって、ほとんどの方はもともと家庭に設置されたネットワークを利用してたに違いありません。しかし、テレワークの試行期間が長引き、「Zoom」などのセキュリティ問題が現れるにつれ、セキュリティ対策をせざるを得ない状況になりました。そこで数々の企業が導入したのが、「VPN」です。

VPN(Virtual Private Network)とは、ネットワーク上にプライベートな仮想通路を設置するアプリケーションです。強固なトンネルの様なものと想像していただければいいでしょう。そして、そのトンネルを通じ情報を送受信することによって、指定したサーバ、例えば社内ネットワークなどにより安全に接続できるようになる、というものです。

つまり、「家庭内に構築された既存のネットワークシステム」にVPNが足された形、が一般的なテレワーク環境になったのです。しかし、必ずしもすべての従業員がVPNを誠実に使っている、とは限りません。さらに、VPNを使ったとしても防げない脅威も存在します。

 

VPNを使わないテレワーク環境に潜むセキュリティリスク

テレワーク中の従業員は、想像以上にかなりの頻度で、VPNを使わず家庭用Wi-Fiもしくは公共Wi-Fiを通じ社内ネットワークへ接続します。しかしこれは、攻撃者にとって、重要な情報を奪取するチャンスです。例えば、データが暗号化されず単なるテキストで伝送された場合、攻撃者は容易にこれを奪取することができます。

よって、テレワーカーは安全が保障されていないWi-Fiネットワークを使い、社内ネットワークに接続することを避ける必要があります。もしも、必ずセキュリティ面での不安が残るネットワークを利用しなければいけない場合、VPNを使う必要があります。オープンされた荒野に、トンネルを一つ作りそこを行き来するのです。

 

VPNを使っているテレワーク環境にも潜むセキュリティリスク

VPNは、テレワーカーを抱える企業にとってもはや命綱になりました。しかし、不運にも損傷されたハードウェアやマルウェアに感染されたホームネットワークは、企業のネットワーク全部を危険に追いやります。VPNは安全な「通路」に過ぎないので、それを通じ企業のネットワークにも脅威が迫るのです。

 

個人用デバイスの業務上利用

多数のテレワーカーが業務用デバイスと個人用デバイス間でファイルを送受信しています。しかし、個人用デバイスは決して安全ではないゆえに、情報が漏えいする可能性も高まります。つまり、個人用デバイスを業務に使うことを許可するという事は、脅威にさらされるリスクを受け入れるという事になるのです。

例えばテレワーカーが重要な情報を個人用デバイスに保存したまま退職した場合、その情報はテレワーカー自身のみが削除できます。また、全ての従業員が常にソフトウェアを最新バージョンに保っているという保証もありません。これは、テレワーカーの個人用デバイスに接近するハッカーが、さらに容易に企業の情報に接近できるという事です。

結果的に、ITチームがいくら業務用デバイスのセキュリティに気を使ったとしても、テレワーカーの個人用デバイスからいくらでも情報が流出しかねない、という状況が生み出されます。なので、個人用デバイスの使用を禁止し、業務用デバイスのみで業務を行わせる必要があります。

シャドーIT問題

テレワーカーの個人用デバイスに対する欲求は、シャドーIT問題も引き起こします。個人用デバイスを使用する場合、必然的に企業のITチームから許可されていないソフトウェアやシステムを使うことになります。実際、テレワーカーは自分が容易に使えるアプリケーション、システム、プログラムに手を伸ばしがちです。

しかし、これはハッカーが脆弱性に突き入る隙を与えます。よって、テレワーカーは少し不便になるのを承知のうえ、ITチームから認められたものだけを使うべきでしょう。

巧妙化されるハッキング手段と、保護されないテレワーカー

近年、サイバー犯罪は人間の弱点を利用する形に進化しています。例えば、最近ハッカー集団はWHO(世界保健機関)のサイトでコロナに関する状況を把握しようとする人々を狙った悪性アプリケーションを制作しました。アプリケーションがインストールされた場合、「トロイの木馬」と呼ばれるマルウェアにより、デバイスに保存された重要なデータが奪取されるのです。このように誤って悪性アプリケーションをインストールすることによって、情報を奪取されかねません。

こうした手口で手抜かれた情報は、武器となり、情報の主を攻撃します。特にテレワーカーは、出勤して勤務する従業員より、このような攻撃に屈する可能性が高いのです。出勤して勤務する場合には、アプリケーションなどをダウンロードする際、ITチームからの許可を得る必要があります。しかし、テレワーカーはそのような許可を得る必要がないので、自らハッカーの攻撃に露出される可能性が高まるのです。

よって、強力なVPNを使うだけではなく、強力な認証手段を利用するとともに、エンドポイントのセキュリティ状況を確認できる、VPNより高度なセキュリティ対策も考慮する必要があります。

 

テレワーク環境のセキュリティ対策

デジタル環境が拡大される中、そしてコロナの影響が続く間には、必然的に社内で勤務するのではなく、テレワークなどの形を取る従業員が増えるでしょう。テレワーカーに脅威が付きまとうとはいえ、その脅威を排除する方法もまた、存在するのです。前述したように、テレワークのセキュリティを保存する手段としてはVPNがあり、幅広く利用されています。しかし、VPNがいくら安全だといえ、VPNはただの通路にすぎず、それを通る危険なトラフィックを制御することはありません。

まず、データを保護するための対策をとる前に、テレワークとネットワークに関するポリシーを見直しましょう。

ポリシーが確定すれば、セキュリティに対する脅威にどう立ち向かうかも、自然に明白になるはずです。下の項目は、そのポリシーに従い取りえる対策です:

  • 強靭なパスワードを設定する
  • ファイアーウォールを設置する
  • 2FA(2要素)認証を利用する
  • 自宅のルーターにセキュリティ対策を施す
  • 公共Wi-Fiを利用する際には、必ずVPNを使う
  • フィッシングメールやサイトに注意を払う
  • データを暗号化する

テレワークはもはやビジネス界で最も重要なテーマになりつつあります。しかし、テレワークにあたる従業員をコントロールできぬまま、データが危険にさらされるのをただ見ているわけにはいきません。

 

最後に

このような対策を全てとるのは現実的に難しい、というお客様も多数おられると思います。そういう方には、「Cloudbric Remote Access Solution」をお勧めします。2FA認証を通じ、全トラフィックを監視・暗号化するソリューションを手軽に利用できます。従業員にテレワークを指示しながらも、ネットワークとデータ両方を守る事ができる「Remote Access Solution 」を、無料お試し提供中の今、是非お試しください。

Cloudbric RAS

pc_img_01

Remote Access Solutionの、VPNとの差別化ポイント

新型コロナウイルスによって急遽始まったテレワークが、今も続いている、という方も多くいらっしゃると思います。それに伴い、多数の企業がセキュリティ対策に目を向け始めました。その一つとして幅広く使われているのが「VPN」です。しかし、VPNだけが有効なセキュリティ対策だというわけではありません。クラウドブリックの Remote Access Solution もまた、安全かつ低コストで従業員のテレワークの安全を守る、セキュリティ対策です。今回は、VPNと Remote Access Solution それぞれについて簡単に説明し、三つのポイントで VPNと Remote Access Solutionを比較しようと思います。

 

VPNとは

VPN(Virtual Private Network)とは、指定されたWebサーバとユーザ間に暗号化された通路を設置し、安全な接続を可能とするものです。言い換えれば、VPNはインターネットを利用しプライベートなネットワークへ接続するものであり、この「仮想」のプライベートネットワークは、安全な内部ネットワークのように稼働します。この過程のおかげで、ユーザは私設・社内サーバを含めたWebサーバに遠隔接続できるようになります。もちろん、すべてのデータは第3者から奪取されても安全なように、暗号化される必要があります。

 

Remote Access Solutionとは

Remote Access Solution はクラウドブリックが持つセキュリティ技術が詰め込まれた、クラウドベースのビジネス用テレワークソリューションです。ユーザは Remote Access Solution を通じ、全てのトラフィックを暗号化し安全な状態にさせた上で、社内ネットワークに接続できます。また、認証を経たユーザのみが、デバイスや場所に関係なく企業の情報とデータに接近できます。これだけを見れば、さほどVPNとの差がないように見えますが、そうではありません。Cloudbric Remote Access Solution はVPNと比べ、次のような三つの差別化ポイントを持ちます。

 

Remote Access Solution の、三つの差別化ポイント

その1、簡単な利用方法

VPNの場合、安全な接続環境を構築するためには、サードパーティ製のアプリケーションが必要です。しかし Remote Access Solution の場合、お客様は何も設置する必要はありません。モバイル機器で接続する場合にも、VPNを利用するにはサードパーティ製のアプリケーションをダウンロードする必要があります。

しかし、クラウドベースである Remote Access Solution は、この場合にもいかなるダウンロードも要求しません。ただWebブラウザからログインするだけで、社内ネットワークを利用することができます。

その2、より確実なセキュリティ

VPNとは違い、Remote Access Solution は全てのトラフィックをモニタリングし、マルウェア、ボット、ハッキングなどの不審な動きをを自動的に遮断します。

また、VPNは通常シンプルなIDとパスワードを利用し、ゲートウェイにログインします。つまり、この情報を持つだれでも容易にゲートウェイへアクセスできるという事になります。しかし、Remote Access Solution の場合、FA認証を通じて認証されたユーザのみ、プライベートネットワーク(Private Network)内のWebサーバとデータへのアクセスを許可します。

ログデータの収集が気になる、という企業にも Remote Access Solution はうってつけです。VPNの場合、ベンダーごとにログデータへのポリシーは異なります。例えば、「No Log」ポリシーを随行しているというベンダーであっても、セッションログなどのデータを保存している場合があります。しかし、Remote Access Solution は、企業及び従業員のどのようなデータも保存しません。

その3、合理的な価格

前述したように、多数の企業がエンタープライズ級VPNソリューションを利用しています。しかし、規模によってはオンプレミスのVPN用機器や個別回線の設置が必要になる場合もあり、これには莫大な費用が伴います。

一方、Remote Access Solution はクラウドベースのソリューションなので、前述したとおり、設置を一切要求しません。よって、設置から発生する料金も、一切ありません。また、クラウドベースという利点を生かし、柔軟にサービス規模を調整できるので、納得できる範囲の中で料金が設定されます。さらに、2020年10月7日まで無料お試しプロモーションを実施中ですので、負担なく試していただけます。

 

最後に

日本でも広がったテレワークは、今や典型的な働き方の一つともなりえる程に浸透しています。しかし、セキュリティ対策なしのテレワークは、コロナが人体に与える被害と同じ様に、企業を傷つけ、さらには再起不能にまで陥らせる危険があります。クラウドブリックのすでに検証されたセキュリティ技術に基づいた Remote Access Solution は、テレワークに対する最も簡単な答えです。

Webサイトにて、もっと詳しい情報をご覧ください。

seminar

■6/22(月) Webセミナー■ 「脱VPN、全社員在宅勤務の切り札、ゼロトラスト」開催のご案内

新型コロナウイルス感染拡大により、テレワークが普及しました。ポストコロナ時代では、常時テレワーク化が求められ、VPN渋滞とセキュリティが問題となります。20年以上の実績をもつ韓国セキュリティ専門企業が解決策を提案いたします。

テーマ
ポストコロナ時代、ビジネス継続性を支える考え方としてのセキュリティとは
~求められている脱VPNと、セキュリティ課題への新たな取り組み方~

日時:2020年6月22日 16:30~17:30(16:10から接続開始)

場所:オンライン
※ライブ配信で行われます。

参加費:無料

内容

  1. コロナがもたらした働き方改革の加速化
  2. ポストコロナ時代企業の課題とは
  3. なぜ、脱VPN? 渋滞問題とVPN越しのゼロセキュリティ問題
  4. ゼロトラストの概念と、CRAS(Cloudbric Remote Access Solution)
  5. セキュリティにおける企業のアカウンタビリティ

主催:大韓貿易投資振興公社(KOTRA) 東京IT支援センター
お申し込み:こちらからお申し込みください。
※ お申込みいただいた方に、ライブ配信のURLをお送りします。