テレワークやハイブリッドワークに求められるセキュリティ対策

[更新日]2023年6月2日
新型コロナウイルス感染症は5月8日から感染症法上の位置づけを「2類相当」から「5類相当」に移行されました。これにより、新型コロナウイルス感染症はいわゆる季節性インフルエンザと同じカテゴリーとなりました。これに伴い企業活動においても対面の場が増えてきていますが、5類移行後もテレワークを継続する企業や組織は少なくありません。

企業や組織では引き続きテレワークやハイブリット環境などの働き方におけるセキュリティ課題と対策を講じていく必要があり、いま一度注意を払う必要があります。本記事ではテレワークやハイブリット環境が直面する脅威と対策を紹介します。

パンデミックによる混乱が収束に向かう中、世界の企業や組織では、オフィスワークに戻る、完全なテレワークに移行する、あるいは両者を組み合わせたハイブリットワークを導入するなどの動きが見られます。各方式それぞれの長所と短所がありますが、テレワークとハイブリットワークについては、セキュリティ上の課題も大きく、何らかの対策を講じることが求められます。

テレワークやハイブリットワークを実施する場合、従業員はこれまでの会社による監視が行き届いた比較的安全な環境から離れて業務を行うことになります。こうした状況では、会社と自宅のネットワーク境界が曖昧なものとなり、両ネットワークでの攻撃対象領域（アタックサーフェス）が拡大することになります。
それでは、このセキュリティギャップを埋めるために、どのような対策を講じるのが良いでしょうか。

リモートワーク体制が直面する脅威

テレワークが浸透した期間中にどのような攻撃が活発化したのかを調査しました。2021年の時点で、ほとんどの企業や組織はすでにテレワークの環境に順応していました。同年における弊社の年間ラウンドアップ集計では、ブロック対象となった不正なファイル数が、前年と比べて382%も増加しました。

フィッシング攻撃

この期間中、サイバー犯罪者はフィッシング攻撃にも注力していたようです。「Trend Micro™ Cloud App Security」の統計では、フィッシング攻撃の件数は596%もの増加が見られました。企業や組織が大々的に勤務地を自宅に移し終えていたころ、攻撃者は低コストで効果の高い電子メールを、マルウェアの拡散手段として好んで利用していました。

図1：2019年から2021年にかけて検出されたスパムフィッシングと認証情報フィッシングの件数を比較（Trend Micro™ Cloud App Securityのデータを使用）

家庭用ネットワークへの脅威

家庭用ネットワークについてはどうでしょうか。弊社の「Smart Home Network」ソリューションで採取したデータによると、家庭用ネットワークで検出された不審な挙動の件数が、2019年から2020年にかけて著しく増加しました。
図2に示す脅威の発生頻度を見ると、この期間中は特にルータをはじめとする家庭用機器が頻繁に狙われたことが示唆されます。しかし、在宅勤務では常時ネットワークに接続して業務を行うために家庭用機器に頼らざるを得ないケースが大半であるため、件数が増加したこと自体は想定の範囲内と言えます。

図2：家庭用ネットワーク内の機器やルータから検出された不審な挙動の件数が増加、パンデミックにより家庭用ネットワークへの依存が高まったことも反映（Smart Home Networkのデータを使用）

ファイル転送のリスクと安全ではないツールの存在

テレワークやハイブリットワークを実現するために、従業員は遠隔で会社のファイルにアクセスする必要があります。しかし、ファイルの送受信時には、攻撃者にデータを窃取される他、不正なファイルを社内ネットワーク内に撒かれるなどのリスクが存在します。
企業情報管理ツールを提供する「OpenText」の調査によると、米国では従業員の56%が、業務資料の送受信に個人用のファイル共有ツールを利用していることが分かりました。また、テレワークのルールや環境に関する情報が多すぎることにストレスを感じている回答者が76%、毎日11種類以上のアカウントやリソース、ツール、アプリケーションを用いる回答者が26%に及ぶことが判明しました。控え目に言っても、これは相応にインパクトのある数字でしょう。

企業や組織は、大きなファイルの転送やファイルホストサービスへのアクセスを安全に行うための手段を、従業員向けに提供することを推奨します。また、共有を許可するファイルの種類や、共有したファイルに対する正しいアクセス権限の設定法について、従業員向けに教育する必要があります。

VPNの脆弱性

在宅勤務時は、仮想プライベートネットワーク（VPNs：Virtual Private Networks）を用いることで、安全性の高いネットワークに接続できます。しかし残念ながら、VPN自体の脆弱性が対応されないまま放置されている場合もあり、そこが攻撃者によって狙われてきました。
特に脆弱性「CVE-2018-13379」については修正パッチが2019年5月に公開されたにもかかわらず、今日に至るまで攻撃が絶えることはなく、その頻度はVPN製品関連の中で最多となっています。
この他にも脆弱性「CVE-2019-11510」や「CVE-2019-19781」が狙われやすい傾向にあります。

テレワークやハイブリッドワークの環境では、こうした攻撃の影響が家庭用ネットワークと社内用ネットワークの双方に及びやすい傾向にあります。そのため、企業や組織またはユーザの方は、上述したセキュリティリスクへの理解を十分に深めることを推奨します。
テレワークやハイブリットワークにおけるセキュリティ対策の責任が会社側と従業員側の双方にあると考えた場合、サイバー攻撃を阻止して、家庭用ネットワークと社内ネットワーク間のセキュリティギャップを埋めるために、どのような対策を実施するのが良いでしょうか。