こんにちは。富士通クラウドテクノロジーズの鮫島です。
最近、テレワークの記事ばかり書いている気がしますが、今回は本来の得意分野であるセキュリティの話もします。
以前、当社のテレワーク事情を解説したブログ記事で
「働いている人の安全確保>セキュリティポリシー」を一時的に許容するしかない…といった意味のことを書きました。 とはいえ、ずっとその状態を続けていいわけがありません。
実際のところどんなリスクがあって、どんな対策が必要か?について書いてみたいと思います。
テレワークの方法論とそれぞれのリスク回避策
総務省が、平成30年に「テレワークセキュリティガイドライン」の第四版を公開しています。 その中にテレワークの類型6種類が紹介されています。
この中でも、赤く囲んだ(1)(2)(6)が私たちの周囲で身近なテレワークの手段だと思います。
ようやく緊急事態宣言が解除されましたが、第二波、第三波の襲来への備えを行うという意味で、緊急避難的に行ってきたテレワーク環境を見直す必要があるでしょう。 実際に中小企業で給付金や補助金を利用して、テレワーク環境の改善に動く企業も増えているようです。 まずは、3種類のテレワーク類型に沿って必要な対策を考えてみましょう。 それぞれの方法論別に、リスクと対策をまとめてみました。
(1)リモートデスクトップ
リモートデスクトップは、自宅のパソコン(会社所有でも個人所有でも)から、元々会社で使用していたパソコンをインターネットを通じて遠隔操作する方式(他の方式もありますが今回は省略)です。 この方式は、自宅のパソコンに重要なデータが保存されないとう、セキュリティ面でのメリットがあります。 セキュリティ上のリスクとして考えられる代表的なものは、第三者による不正ログインでしょう。
不正ログインの主な発生原因
1.システムの脆弱性を狙ったサイバー攻撃による認証情報の漏えい
2.PCの盗難・紛失
3.メモの紛失や盗み見による認証情報の漏えい
上記のような何らかの手段で認証情報を入手した攻撃者が「本人」として認証を通過してしまうと、社内のさまざまなデータにアクセスできてしまいます。また、マルウェアなどのウイルスの感染や新たな攻撃手段を内部にしかけることも可能です。
不正ログインを防ぐ方法
1.エンドポイントセキュリティ(ウイルス対策)
リモートデスクトップの多くは、個人所有のPCから利用していると考えられます。自宅のPCがマルウェアに感染してリモートデスクトップのアクセス権限を奪われてしまった場合、容易に遠隔操作するPCを通じて社内ネットワークへの侵入を許してしまうことになります。よって、接続元のPCにもウイルス対策ソフトの導入が必要です。
2.VPN(SSL-VPN)の利用
基本的なことですが、インターネットから直接リモートデスクトップを利用するのは非常に危険です。
パスワード認証のみで利用できるため、比較的簡単にブルートフォース攻撃(パスワード総当たり)などの手法で不正ログインされてしまうリスクがあります。
リモートデスクトップとVPN(SSL-VPN)はセットで利用するのが基本といっても過言ではないでしょう。
3.多要素認証の利用
SSL-VPN利用時に、多要素認証を導入することで、PC本体の盗難やサイバー攻撃による認証情報の漏洩による不正ログイン防止への耐性が格段に強まります。
4.アクセス制限の実施
一般的な対策としては、ファイアウォールを設置して送信元 IP によるアクセス制限を行います。残念なことに不正ログインにより攻撃者が「本人」として認証を通過してしまう可能性もあります。その場合は、いわゆる内部対策として社内のネットワークセグメントにもファイアウォールを設置したり、侵入検知と侵入防止(IPS/IDS)が必要になるでしょう。
(2)仮想デスクトップ
仮想デスクトップ(VDI)は、サーバー上(物理サーバーまたはクラウド)の仮想マシンをインターネットを通じて遠隔操作する方式です。クラウドで仮想デスクトップを提供するものをDaaSと呼びます。 この方式も、セキュリティ上のメリットとセキュリティ上のリスクと対策は①とほぼ同じですので、1〜4の対策を行う必要があります。
横移動を防ぐ方法
(1)と若干異なる点があるとすれば、内部に侵入した攻撃者が横移動(ラテラルムーブメント)によって、資格情報を収集し同一サーバー上に設置された同じネットワークセグメント上の仮想マシンへの破壊活動(マルウェアなどの感染拡大、重要データの改ざん・削除やサーバーそのものの削除等)が容易に行われるリスクが大きい点です。
この被害が拡大するのを食い止めるには、仮想マシン単位でファイアウォールを設置することが有効です。 これによって、不正ログインされた1台の仮想マシンから被害が拡大するのを防止できます。横移動することができなくなります。
この技術はマイクロセグメンテーションと呼んでいます。 実際にこの技術を実装するためには、VMware NSXといったネットワーク仮想化ソリューションの導入が必要になります。 ニフクラのデスクトップサービス(DaaS)なら、標準でトレンドマイクロ社のサーバー向けセキュリティ「Workload Security」とVMware NSXの技術を使ったマイクロセグメンテーションが実装されています。
(6)テレワークにおける会社PCの持ち帰り
会社PCの持ち帰りは、テレワークが普及する以前から、セキュリティインシデントの定番「置き忘れによる紛失」を起こしやすいことで有名です。 しかし、頻繁に電車で移動したり会社の帰りに飲み会をやるようなご時世ではなくなってしまいました。
情報漏えいの主な発生原因
1.ウイルス対策の不備
2.PCにデータが保存が可能
3.セキュアではないアクセス経路の利用
会社のPCは出社時には、社内の情シス担当者が主導でウイルス対策ソフトやOSのセキュリティアップデートの実施を管理していたかもしれません。 テレワーク時には、管理が困難になり脆弱性が生じるケースがあります。
さらに、PCにデータが保存できることで、さまざまな条件で漏えいリスクが生じやすくなります。 また、従来はセキュアな自社のプライベートネットワーク内で利用していたPCをインターネットを経由して利用するためアクセス経路でも情報漏えいが起こりえます。
リスクをどのような方法で回避するか
基本的な対策は、(1)(2)と同様です。
1.エンドポイントセキュリティ(ウイルス対策)
2.VPN(SSL-VPN)の利用
3.多要素認証の利用
4.アクセス制限の実施
ぜ、全部同じじゃないですか! とおっしゃる方がいらっしゃいますが、まあそんなものです。
冒頭で紹介した、総務省のテレワークセキュリティガイドラインの中に、テレワークでは「ルール」「人」「技術」それぞれでセキュリティの対策が必要という記述があります。 ここまでは、「技術」での対策になりますが、持ち帰りPCのセキュリティ対策では「ルール」「人」の要素が大きくなります。 リモートデスクトップや仮想デスクトップは、情シス担当者など運用側で一定の管理が可能ですが、持ち帰りPC方式だと、ほとんど管理が不可能になるからです。
「ルール」「人」への対策は、セキュリティポリシーに基づくセキュリティの運用・管理、ISMS(情報セキュリティマネジメントシステム)などをイメージしていただくとわかりやすいかと思います。
ニューノーマル時代の境界型防御
インターネットからの脅威に対応するには、社内のネットワークにはファイアウォールを設置してインターネットを経由した外部からの侵入を防止するいわゆる境界型防御を行うのが基本でした。近年、これだけでは防げない様々な脅威が増えてきたため、境界型防御を強化するために、侵入検知と侵入防止(IPS/IDSの設置)をおこなったり、さらに別の侵入経路からの対策としてWAF(Web Application Firewallp)を導入するなど、多層防御という方法が有効とされてきました。
しかし、テレワーク環境では防御すべき範囲が自宅にまで広がってしまったため、境界型の防御の発展形としての多層防御だけでは新たな脅威への対応が十分ではないこともわかってきました。 さまざまな企業が提供するセキュリティソリューションを導入することで、別の問題も生じます。行き過ぎたセキュリティでテレワーク利用者の業務効率を著しく悪化させる可能性や、ITインフラを運用管理する情報システム部門の負荷が大きくなり、結果的にセキュリティの脆弱性が生じてしまうという悪循環です。
ゼロトラストってテレワークと相性がいい?
そこで、近年注目されているセキュリティの概念がゼロトラストネットワークです。 ゼロトラストについて詳しくは、別のブログ記事がありますので、そちらをご覧ください。
ゼロトラストネットワークは、テレワークと相性がいいと言われていますが、ユーザー認証とアプリケションの認証、デバイス認証の評価を一元管理することでシンプルかつセキュアにどこからでもさまざまなデバイスでITを利用できる仕組みだからです。 しかしながら、現時点ではこれらをワンストップで低コストに実現できるソリューションは登場していません。従来の多層防御を併用しつつゼロトラストネットワークを志向したITインフラへ変わっていく過渡期にあると考えます。
ゼロトラストと多層防御の関係性を整理する
ゼロトラストネットワークが比較的低コストに実現すれば、テレワークで生じるリスクを大幅に軽減するだけでなく、テレワーク利用者の利便性やITインフラの運用サイドの負荷も軽減できるのは間違いないでしょう。とはいえ、現実的な話をすると、ゼロトラストネットワークは概念と実態の評価がまだ流動的であると言わざるを得ない段階です。かなり大規模なグローバル企業での導入例は知られているものの、ゼロトラストを謳ったネットワークセキュリティ製品はかなり高額なものが多く、拙速に導入することで費用対効果が悪い・使いづらいシステムになってしまう可能性もあるでしょう。 先ほど紹介した、総務省のテレワークセキュリティガイドラインの「ルール」「人」「技術」の対策ですが、「今」実現可能な実効性の高いセキュリティの在り方を示唆するものだと思います。どういうことかというと、今なお「技術」的に多層防御はセキュリティの概念としては有効な部分が多く、「ルール」「人」への対策(セキュリティポリシーに基づくセキュリティの運用やISMSなど)と組み合わせることで、一定の実効性を持つということです。
しかし、「ルール」「人」「技術」それぞれの対策というものは、テレワーク利用者の利便性やITインフラの運用サイドの負荷という観点では、いずれは見過ごせないレベルになるでしょう。 現時点でできることは、自社のセキュリティリスクを改めて可視化して、本当に必要な対策が何か、必要以上に過重な意味のない対策を行っていないかを改めて「棚卸」を行うことでシンプルかつ低コストにセキュアな環境を構築することです。 そうやって、「ルール」+「人」の対策をできるだけ「技術」で解決できる方法に寄せていくことが重要です。 それによって、徐々にゼロトラストを志向したセキュリティへ移行しくのが現実解でしょう。
最後に
テレワークで生じるセキュリティリスクはもちろん、さまざまな運用上の課題がようやく可視化されてきています。 非営利財団法人日本ネットワークセキュリティ協会が、緊急事態宣言解除後のセキュリティ・チェックリストというものを公開しています。
ここでは、緊急措置としてテレワークを許可した業務やルールを変更した業務の扱いやWithコロナフェーズに向けた、業務見直しとセキュリティ対策が、チェックリストしてまとめられています。チェックリストにしては詳細すぎるほどのボリュームですが、参考にしてください。
テレワークにおける多くの課題は、現在のITインフラ環境をクラウドへ移行することでかなりの部分が解決されるはずです。 先ほど「ルール」+「人」の対策をできるだけ「技術」で解決できる方法に寄せていくことが重要と申し上げました。 これは、ITインフラ環境そのものに関しても同様のことが言えるでしょう。 長年、「ルール」+「人」で運用してきたITインフラ環境をクラウドに刷新することは、テレワークにとどまらずこれからのニューノーマルに適応し将来的なデジタルトランスフォーメーションを実現するための第一歩になるでしょう。