ホーム / テレワーク /

テレワークのセキュリティ対策のポイント　～内閣サイバーセキュリティセンター公開資料(2020/4/14)～

2020/04/21

テレワーク

t f B! P L
内閣サイバーセキュリティセンター（NISC）が4月14日に公開した「テレワークを実施する際にセキュリティ上留意すべき点について」は、4つの資料をまとめたものとなっており、テレワークに関するセキュリティ上の留意点を広く周知することを目的としています。

　内閣サイバーセキュリティセンター：https://www.nisc.go.jp/
　公開資料URL：https://www.nisc.go.jp/active/general/pdf/telework20200414.pdf



4つの資料

資料1と資料2の内容はほぼ同じ内容で、テレワークの事前準備・留意事項が記載されています。
  1. 政府機関等におけるテレワークにかかる留意事項(注意喚起)
  2. 重要インフラ事業者等におけるテレワークにかかる留意事項(注意喚起)
  3. テレワーク実施者の方へ　~ あなたのセキュリティは大丈夫ですか? ~
  4. テレワークにかかる留意事項(情報共有)
資料3はテレワークを行っている人向けに注意すべきポイントが7つの項目に整理して記載されています。資料4は各方面に注意喚起を促す通知で実際の留意事項は資料1,2と同じとのことです。
（資料1は政府機関向けですので参考として「政府機関等の情報セキュリティ対策のための統一基準」のうち関連する箇所の抜粋が記載されています） 

※総務省がテレワーク情報を集めたサイト「テレワーク情報サイト」を公開しています。

以下、資料より抜粋＆補足します。

資料1 政府機関等におけるテレワークにかかる留意事項(注意喚起) 

NISCの政府機関総合対策グループが、2020年4月9日に出した資料です。政府機関等がテレワークを導入する際には、テレワーク実施に伴うセキュリティ上のリスクを適切に把握・管理することを求めています。

事前準備として

経営者、システム管理者、テレワ-ク勤務者それそれの立場からテレワークセキュリティの保全に関して実施すべき事項が記載された、総務省の「 テレワークセキュリティガイドライン第4版(2018/4/13) 」を参考とするように書かれています。

 実施すべきこと
  • 導入目的の明確化、対象範囲の決定、導入計画の策定、従業員説明等を行う
  • セキュリティポリシーの改定、各種ルールの策定
    • 新たに追加されるテレワーク環境を踏まえて、PC端末や紙情報の持ち出しルール等の不足分を整備する。
  • ICT環境の確認整備
    • ICT環境整備については、以下の総務省・日本テレワーク協会の資料を参照。
参考資料

留意すべき事項

主に技術的な観点で留意すべき事項が 6項目記載されています。いずれも実際にセキュリティ上の問題があったものですので、よく確認することが推奨されます。

(1) VPN（Virtual Private Network）

オフィスのPC端末と同じシステムを使うために、外出先や自宅から暗号化通信で社内ネットワークに接続するための仕組みがVPNですが、なぜ＂VPNは安全でない前提で…＂なのでしょうか。
外部からインターネットで組織と通信する際の安全策として、Virtual Private Network(VPN)を経由して、組織のネットワークに接続し、業務を実施するケースが存在します。VPNは完全ではないとの前提の下、迅速なパッチ適用を行うようにすること、加えて多要素認証の採用の検討が必要です。
これは次のようなセキュリティ事案を想定した注意喚起です。それぞれに適切な対策が必要になります。
  • 会社で準備したVPN装置自体に脆弱性があり、悪意ある第三者からの攻撃を受け社内ネットワークに侵入（[JPCERT/CC]複数のSSL-VPN製品の脆弱性に関する注意喚起）
  • VPNの認証(ID/PW)がデフォルトであるとか、簡単なパスワードを使っているなどして、悪意ある第三者が社内ネットワークに侵入する
なお、VPNやデータの暗号化等の解説については、内閣サイバーセキュリテイセンター「インターネットの安全・安心ハンドブック」にも記載がありますのでご参照ください。

(2)メール

通常時、オフィスのPC端末からしかメールを使えない環境では、テレワークを行うために一時的に個人のフリーメール（Gmail等）やプロバイダの商用メール（So-Net等）を使って、この場をしのぐことが考えられます。
テレワークの際に使用するメールについて、自組織が定めている「情報セキュリティポリシー」で、フリーメールや商用メールの制限がどのようになっているか、改めて確認する必要があります。また、自組織が用意した在宅勤務用のメールであっても、セキュリティ対策を一層局めるため、取り扱うデータの内容に応じて、PGP暗号化やS/MIMEの活用による対策が考えられます。特にPGP暗号化は導入が容易であることから推奨します。
しかし社内の機密情報やお客様の情報をむやみに個人のメールアドレスで扱うことで意図しない情報漏洩につながる最悪のケースが考えられます。
また、メール自体の暗号化を行うことでリスク低減が図れるので、暗号化の導入が推奨されています。

(3)リモートデスクトップ(RDP)

リモートデスクトップは社内ネットワークのWindowsサーバーや、最近ではAWSやAzureなどクラウド上に配置したWindowsサーバーのメンテナンスに使われますが、ソフトウェア脆弱性が放置されているとサーバーに侵入される事故につながります。
検索エンシンサービス「Shodan」は、同サービスのプログ上で、Remote Desktop Protocol(RDP)をインターネット上に公開している機器が世界的に3月に増加しているとしていますが、テレワーク等により増加したものと思われます。この中には、2019年に発見されたWindowsのRDPサービスの深刻な脆弱性(CVE-2019-0708[通称:BlueKeep]、CVE-2019-1181/CVE-2019-1182[通称:DejaBlue])のパッチを適用していないものもあり、留意する必要があります。組織において、意図せすRDPポートを公開している場合も考えられることから、セキュリティインシデントを防止するため、PDPポート開放状況を確認する必要があります。
一番の対策は、むやみにリモートデスクトップ接続を受けることができる状態でサーバーを放置しないようにすることです。
出展：Shodan Blog

(4)遠隔会議システム

テレワークでは「顔を合わせる」ためにビデオ会議システムが使われますが、サービスの脆弱性が発覚（Zoomの脆弱性,IPA）するなど、そもそも機密情報を扱う会議を行う手段として適切でないなど用途（取扱う情報の機密度）に応じた対策が必要になります。
テレワーク等で遠隔会議システムの利用が拡大しています。遠隔会議システムのうち、Zoom Video Communications社の「Zoom」には、セキュリティ上の問題点があることを発表しました(文末「Zoomの脆弱性対策について(IPA)」参照)。なお、「Zoom」に限らす、外部サービスである「遠隔会議システム」は外部ネットワークを使うこととなるため、潜在するリスクについて、導入前に十分調査し、自組織が許容するリスクに応じた運用方法を定めること、運用中にリスクが顕在化した際の対策をあらかじめ検討しておくことが必要です。

(5)機密情報の保護

これも、用途（取扱情報の機密度）に応じて適切な対策をとる必要があります。
Twitterやインスタグラム等のSNSに投稿したテレワークの写真に、機密性の高い文書や業務情報が映り込む事例が発生しており、テレワーク実施時には特に不用意な機密情報の漏洩に留意する必要があります。また、遠隔会議を実施する際に、機密性の高い情報がカメラの背景に映り込んだり、業務情報がマイクから流れたりすることで、不用意な情報漏洩につながる蓋然性があることから、遠隔会議の実施場所や設定に配慮する必要があります。

(6)その他

①堅牢なパスワ-ドや多要素認証の使用
システムで用いるパスワードは他社から容易に推測されない堅牢なものとし、多要素認証が使用できる場合は活用することを検討します。
②端末や機器のアップデート
OSやソフトウェア、アプリ、機器の脆弱性を確認したうえで、必要に応じてアップデートする等、システムの状況に応じた管理策を検討します。
③不審なメールへの注意
業務を装ったメールや新型コロナウイルス感染症(COVID-19)をテーマにした不審なメール等に注意し、身に覚えのないメールの添付ファイルやURLはクリックしないように組織全体に注意喚起が必要です。
④端末の盗難や紛失への注意
ノートPCやスマートフォン、USBメモリ等は紛失のリスクもあるため、紛失を防止するための対策に加え、暗号化の実施の検討や、個人の端末を利用する場合のセキュリティ対策を考慮します。
⑤無線LANのセキュリティ設定の確認
無線LAN(Wi-Fi)のセキュリティ設定に留意します。
⑥インシデント発生時の連絡方法の確認
テレワークによるセキュリティインシデント発生に備え、あらかじめインシデント発生時の対処方法、連絡方法を確認しておく。


資料2 重要インフラ事業者等におけるテレワークにかかる留意事項(注意喚起)

資料1とほぼ同じ内容です。

資料3 テレワーク実施者の方へ　~あなたのセキュリティは大丈夫ですか?~

仕事上の情報漏えい等や自らの端末・機器等を守る意識を高めるべく、テレワークをする人が気を付けるべき点が書かれています。また資料の内容は、以下のホームページに掲載されています。

内閣サイバーセキュリティセンター：
https://www.nisc.go.jp/security-site/telework/index.html 　

●複雑なパスワードや多要素認証を使いましょう 
※お使いになるシステムで用いるパスワードは複雑にし、責重品のように管理しましょう。
※多要素認証が利用できる場合は、是非活用しましょう。USBキー等は絶対になくさないようにしましょう。

●端末や機器を最新にアップデートしましょう
※OSやソフト、アプリ、機器をアップデートしてセキュリティの穴をふさぎましょう。セキュリティソフトも忘れずに。社内システムの場合は規程に従いましょう。 
※古いルータなど、初期管理用パスワードが弱いことがあるため、しっかりしたものか確認しましょう。 

●業務を装ったりするメールや不審なメールに要注意
※攻撃者は心の隙や不安な心理をついてきます。添付ファイルは安易に開かないように注意しましょう。 
※メールからのリンク先は偽サイトの可能性が。不用意にクリックしたりID/パスワードを入力したりしないようにしましょう。 

●実は丸見え!?通信は暗号化して安心
※公共の場所での通信は、盗聴されるリスクも高まります。VPN 接続の機能などを活用して通信路を暗号化しましょう。 
※メールの送受信やブラウザからの閲覧、チャットでの会話等でも、機徴な情報のやり取りをしないことや、内容を暗号化するなど、盗聴のリスクを踏まえた行動をとりましょう。

●端末の盗難、紛失に要注意
※持ち運びしやすいノートPCやスマホ、USBメモリ等は盗難、紛失のリスクも。万が-に備えてデータは暗号化しましよう
※仁人の端末を利用(BYOD)する場合は、端末内で重要なデータを扱わない残さない運用が重要。利用可否や運用ルールについて社内規程の確認を忘れずに

●そこは社内じゃありません
※周りは知らない人だらけ。他者からの盗み見(ショルダーハッキング)や大声での電話会議による情報漏えいに注意しましよう
※その無線LAN(Wi-Fi)は本当に大丈夫ですか?セキュリティ設定が甘かったり、偽の無線LANの可能性も。利用する際は十分注意しましよう

●何かあったときの連絡手順を確認
※どんなに警戒していても、いつ何が起こるかわかりません。インシデント発生時に備えて連絡方法を事前に確認しましよう
※インシデントに気づいたら迷わず連絡。インシデント発生時の対応は速やかに

以上

QooQ