【マンガ付きコラム】
テレワーク導入時のセキュリティリスク対策とは
新型コロナウイルス感染拡大の防止策として、多くの企業で導入が進んだテレワーク。しかし、セキュリティ面の不安があるのも事実だ。それでは、どのようなセキュリティ対策を行うべきかひも解いていく。
テレワークで「セキュリティ対策の前提」が変わる
新型コロナウイルス（COVID-19）の蔓延を防ぐために、求められているのが人と人との接触機会の大幅な削減である。それを実現するための取り組みとして広まっているのがテレワークであり、緊急事態宣言が解除された5月25日以降、取りやめた企業もあるが、いまだに多くの企業でテレワークが実施されている。
テレワークはパンデミック対策として有効なだけでなく、育児や介護などの理由によりオフィスに出社することが難しい人でも働けること、さらに通勤時間がなくなることでライフワークバランスが改善することなど、さまざまなメリットが期待できる。このため、もし現状のコロナ禍が収束しても収まった後でも、ワークスタイルの1つとしてテレワークを積極的に採り入れる企業が増加することは十分に考えられるだろう。
ただしテレワークに取り組むのであれば、注意しなければならないのがセキュリティである。そもそも従来のセキュリティ対策は、従業員がオフィスの中で働くことを前提としていた。一方、テレワークは“オフィスの外”にある自宅で作業することになるため、従来の対策では十分にセキュリティを確保できない可能性があるわけだ。
ちなみにコロナ禍において、セキュリティインシデントは増加しており、JPCERTコーディネーションセンター（JPCERT/CC）は、2020年7月に発表した「インシデント報告対応レポート」において、4月から6月までのインシデント件数を7,123件（報告件数：10,416件）と発表。これは、前四半期（1月～3月）の5,509件（報告件数：6,510件）と比べると約1.3倍、前年同期（2019年4～6月）の4,213件（報告件数：3,830件）の約1.7倍増加にもなる。
これまでのセキュリティ対策は、従業員が使うクライアントPC、あるいは業務アプリケーションの実行やデータの蓄積を行うサーバーはネットワークの内側にあり、それを外部（インターネット）からやってくる脅威から保護することを前提としていた。そこでネットワークの内側と外側の境界に、ファイアウォールやプロキシーを設置して通信を制御し、セキュリティを確保していた。
しかし従業員がテレワークで作業を行う場合、業務に利用するクライアントPCはネットワークの外側に置かれることになる。さらに業務で利用するサーバーもクラウドシフトが進んでいるため、必ずしもネットワークの内側にあるとは限らない。このように、守るべきものがネットワークの外側にも存在するようになったことで、従来のセキュリティ対策の基本的な前提が崩れつつある。
ネットワークを内外で区別しない「ゼロトラストセキュリティ」
このような背景から、新たなセキュリティ対策として広まりつつあるのが「ゼロトラストセキュリティ」である。これは名前のとおり「何も（ゼロ）信頼（トラスト）しない」ことを前提としている。
従来のセキュリティ対策であれば、ネットワークの内側であれば信頼できるだろうと考え、最低限のユーザー認証だけでサーバーへのアクセスを許可するといったポリシーで運用していることが多い。逆に外部からのアクセスはサイバー攻撃の可能性もあると判断し、厳密にユーザー認証を行ったり、通信経路上で盗聴や改ざんが行われないように暗号化したりすることが一般的である。
これに対してゼロトラストセキュリティは、ネットワークの内側や外側といった区別は行わず、どこからのアクセスであっても適切にユーザー認証／認可を実施し、さらに通信経路も暗号化する。このように境界をなくすことで、アクセス先／アクセスもとにかかわりなく、一元的なセキュリティ対策を実現できることがゼロトラストセキュリティのポイントだ。
とはいえゼロトラストセキュリティであっても、ネットワーク上でのウイルス対策やインターネット向けトラフィックの制御およびログの取得を担うプロキシー、あるいはWebサイトへのアクセスをコントロールするURLフィルタリングなどが不要になるわけではない。
従来はこれらの機能をネットワークの境界で実行していたが、境界という考え方がないゼロトラストセキュリティではどこに配置すべきだろうか。その答えとなるのが、クラウド上に配置したインターネットゲートウェイだ。
クライアントPCが通信を行う際、必ずこのインターネットゲートウェイを経由させることで、セキュリティのために必要な処理を実行できる。さらに認証／認可を行うシングルサインオンのソリューションを組み合わせれば、インターネットゲートウェイ経由でクラウドにストレスなくアクセスできる環境を整えることも可能だ。
新たなセキュリティソリューションとして広まる「EDR」
このゼロトラストセキュリティに加え、クライアントPCの保護を強化するためのソリューションとして「EDR」（Endpoint Detection and Response）にも注目が集まっている。
クライアントPCのセキュリティ対策としては、すでにウイルス対策ソフトが広く使われている。しかしながら日々大量に新種のマルウェアやその亜種が登場しているほか、攻撃の手口も巧妙化している現状では、ウイルス対策ソフトでは十分にサイバー攻撃を防ぐことができない。このような背景から、新たなセキュリティソリューションとしてEDRに注目が集まっているわけだ。
EDRはクライアントPCの動作ログを常時取得してサーバーに送信する。サーバー上ではログの分析が行われ、そこで不審な動きがあれば即座に管理者に通知して対策を促す。つまりEDRは、マルウェアの侵入を防ぐのではなく、侵入された場合に即座にそれを検知することで、被害の発生やその拡大を防ぐことに主眼を置いたセキュリティソリューションとなっている。
ただし、ゼロトラストセキュリティを採り入れ、EDRを導入したとしても、適切に運用管理が行われていなければ十分な効果を得ることはできない。具体的には、インターネットゲートウェイやEDRから出力されるログの監視、インシデント発生時の対応、エンドポイントであるクライアントPCにおける脅威の検知と対処などが挙げられる。
実際のところ、自社のリソースだけでこれらの業務に対応するのは容易ではない。そこでNTTコミュニケーションズがマネージドサービスである「X Managed®」の中で提供しているのが「トータルマネージドセキュリティ」である。これは端末からインターネット、クラウドに至るまでの資産管理やエンドトゥエンドのセキュリティ対応、多言語ユーザーサポートなどを提供するソリューションである。
いずれにしても、テレワークの浸透やクラウドの普及により、これまでのセキュリティ対策の前提が崩れつつあるのは間違いない。サイバー攻撃によって大きな事故が発生する前に、すぐにでもセキュリティ対策の見直しに取りかかるべきだろう。