テレワークの普及により、社外から社内システムへアクセスする機会が大幅に増えました。一方で、自宅や外出先からのアクセスは、社内ネットワークに比べてセキュリティリスクが高まりやすい環境です。この記事では、テレワークにおけるセキュリティ対策のポイントを解説します。
テレワークでリスクが高まる理由
- 自宅のWi-Fiルーターや公衆Wi-Fiなど、企業が管理していないネットワークを経由する
- 私物端末の業務利用（BYOD）により、会社が管理していないデバイスからアクセスする
- VPNやクラウドサービスへのログインが、ID・パスワードのみに依存しているケースが多い
これらの要因が重なることで、ID・パスワードが漏洩した際に不正アクセスされるリスクが、社内アクセスに比べて格段に高くなります。社内サーバーへの外部アクセスを許可すること自体が、便利さと引き換えにこうしたリモートアクセスのデメリット（リスク）を抱えることでもある、という認識を持っておく必要があります。
テレワークで確認すべきセキュリティ対策
1. 多要素認証の導入
社外からのログインには、ID・パスワードに加えて多要素認証を必須にする方法があります。パスワードが漏れても、それだけではログインできない状態になります。詳しくは 多要素認証（MFA）とは？の解説記事をご覧ください。
2. VPN・リモートアクセスの脆弱性対策
テレワーク環境の多くはVPNを経由して社内システムにアクセスします。VPN機器自体の脆弱性対策も欠かせません。詳しくは VPN脆弱性対策の解説記事で解説しています。
また、リモートデスクトップ（RDP）で社内PC・サーバーに接続している場合、VPNの先にあるOSログインの2要素認証まで保護できていないと、社外から直接ログインを試せる状態が残ります。詳しくは Windows/Windows Server OSログインの二要素認証(2FA)とは？で解説しています。
3. 私物端末（BYOD）のルールを明確にする
私物端末で業務システムにアクセスする場合、端末の紛失・盗難時の対応や、退職時のアカウント削除ルールを明確にしておく必要があります。会社が管理していない端末は、ID管理の観点からも見落とされがちなポイントです。
4. パスワードの使い回しをしない
自宅で複数のクラウドサービスに同じパスワードを使い回していると、どこか1つのサービスから漏洩したパスワードが、業務システムへの不正アクセスに悪用される恐れがあります。
ID管理の観点からも見直す
テレワークの普及によって、社外からアクセス可能なアカウントの数自体が増えています。共有アカウントの廃止や権限の最小化など、 ID管理・アカウント管理の基本もあわせて見直すことをおすすめします。
よくある質問
Q. テレワークはなぜ社内アクセスよりリスクが高いのですか？
A. 自宅のWi-Fiルーターや公衆Wi-Fiなど企業が管理していないネットワークを経由すること、私物端末（BYOD）の利用、VPN・クラウドサービスへのログインがID・パスワードのみに依存しているケースが多いことが重なり、ID・パスワードが漏洩した際に不正アクセスされるリスクが社内アクセスより高くなります。
Q. テレワークで先に手をつけるとしたら、どこからがよいですか？
A. 社外からのログインに多要素認証を必須にするところからが分かりやすいです。パスワードが漏れても、それだけではログインできない状態になります。あわせてVPN機器の脆弱性対策も欠かせません。
Q. 私物端末（BYOD）を業務利用する際に注意すべき点は何ですか？
A. 端末の紛失・盗難時の対応や、退職時のアカウント削除ルールを明確にしておく必要があります。会社が管理していない端末は、ID管理の観点からも見落とされがちなポイントです。
社外での作業中にパスワードの有効期限が切れると、社内に接続した時点で作業が止まります。事前の通知設定は パスワードの有効期限が切れる前に通知する設定で扱っています。
いまの運用を棚卸ししてみる
社外からのアクセスがID・パスワードのみに依存していないかは、現状の認証方式によって異なります。applippliの無料棚卸しでは、10問・約3分で、社外からのアクセスを含むID・パスワードの運用状況を「解決済み／一部解決／人手で対応／未解決」に仕分けた一覧にできます。