「にわかテレワーク」で見えてきた想定外のセキュリティー課題に、どう対応？

今なお先行き不透明な状況ですが、私たちがすべきことはテレワークを含めた新たな働き方に対して、IT環境を整備し、セキュリティーを担保しながら、ビジネスを継続・成長させていくかを検討し、実行することです。ここでは、コロナ禍のテレワークで見えてきた課題を整理し、その解決策を考えてみたいと思います。

テレワークに必要な「三種の神器」といえば何でしょうか。①Web会議、②リモートアクセス環境③ファイル共有の3つが挙げられます。テレワークに関わるICT環境が整っている企業と、整っていない企業で差が出るのがこの「三種の神器」といえるでしょう。

一部のWeb会議ツールでは、不正なリンクをクリックすると認証情報が盗まれるといった脆弱性が指摘されました。その後、Web会議ベンダーは修正プログラム(パッチ)を公開し、早急に対応しましたが、不安を抱いたユーザーも多かったことでしょう。

Web会議中や在宅勤務中のファイル共有が課題となった企業も少なくないでしょう。例えば、Web会議ツールの画面共有機能を使ってファイルを共有しながら、ミーティングを行うことも一般的になりました。ところが、会社から許可されていないWeb会議ツールにファイルをアップロードして共有する場合、セキュリティーポリシー違反になる可能性があります。

また、社内にオンプレミスのファイルサーバーがある場合、テレワークでは一旦、社内ネットワークに入らなければファイルを閲覧、共有することもできません。そこで、無償のファイル転送サービス、オンラインストレージをシャドーITとして利用するケースも見受けられます。社内で勤務していたときには気にもならなかったファイルの取り扱いがテレワークで大きな課題となっていたのです。

このほか、テレワーク時のセキュリティーリスクとして挙げられるのが迷惑メールです。社内で利用するメールはフィルタリングされ、迷惑メールが届くことは稀でした。ところが、テレワークではセキュリティー対策が脆弱な個人用のWebメールが利用されることもあります。テレワークで利用が拡大したオンラインショッピングサイトなどを騙って攻撃者が迷惑メールを送り付け、偽のサイトに誘導してマルウエアを感染させたり、個人情報を窃取したりするケースも増えています。

そして、自宅などからインターネットにアクセスする際にもクラウドのゲートウエイを経由することでURLフィルタリングや、アプリケーションのアクセス制御などのセキュリティーを含め、社内・社外を問わずWebアクセス時に同一のセキュリティーポリシーを適用することが可能です。

ファイル共有もクラウドサービスを利用します。Web会議でファイルを共有する場合、ファイルへのアクセス権限やユーザー認証などの制御機能を用いてコンテンツを保護したり、ログを取得したりすることでセキュアにファイル共有できます。テレワークのみならず、平時の勤務でもクラウドベースのファイル共有、ストレージサービスを活用することで、デバイスや場所の制約なく安全にファイルの共有や編集が可能です。また、メールの添付ファイル送信に代えてファイル共有サービスを利用することで、メール誤送信による情報漏えいリスクの回避も可能です。

シャドーIT対策などセキュリティーガバナンスの確保や、ゲートウエイセキュリティーと連携したログの分析により、ユーザーのクラウドサービスの利用状況を把握、可視化に役立つのがCASB(Cloud Access Security Broker)です。シャドーITでリスクの高いクラウドサービスの利用や、ポリシー違反のデータアップロードをブロックするなど、安全なクラウドサービスの利用が可能です。

テレワークのICT環境、セキュリティー対策に欠かせないのがクラウドベースの認証基盤（IDaaS）です。フィッシングなどでID、パスワードを盗み取り、本人に成りすまして不正アクセスするインシデントも発生していますが、多要素認証などによる本人認証が可能なIDaaSを活用し、ID、パスワードの一元管理が行えます。また、クラウドサービス側でパスワードを持たない認証方式のSAML（Security Assertion Markup Language）に対応するなど、クラウドの利用にIDaaSは必須といえます。

こうしたクラウドネーティブのソリューションの導入とともに、テレワークに対応したセキュリティーポリシーやルールの見直しを行い、ユーザーに周知・徹底する必要があります。コロナ禍でICT部門は大変だと思いますが、テレワーク対策のみならず、自社のICT環境とセキュリティー対策を見直すチャンスと捉えたいものです。