法人のお客さまに起こりがちな状況
テレワークの普及に伴い、テレワーク体制を構築して会社のネットワークから従業員の自宅にある業務用端末までセキュリティ対策はきちんと行っているという企業が増えました。
しかし、想定から抜けがちなのが各家庭のホームネットワークです。ネットワークセキュリティについての知識があまりない方も当然いる中、そこにリスクはないのでしょうか？
今回はホームネットワークのリスクと対策しておくべきポイントについて考察します。
改めての確認、ホームネットワークとは？
ホームネットワークとは、家庭で利用しているPCやプリンタ、TVなどが相互に通信したりインターネットなどに接続できるようにしたりする通信の仕組みのことを指します。
ルータなどを設置して無線LANやモバイルルータなどでPCやスマートフォン等を接続している場合はホームネットワークを利用している状態となります。つまりテレワークを実施できる環境はほぼイコールでホームネットワークが構築されている環境であるとも言えます。
このホームネットワークは従業員が管理している機器のみではなく、家族や友人など第三者もアクセスし得る可能性が高いネットワークであることが特徴です。
テレワークの際ホームネットワークが危険な理由とは
コロナ禍によりテレワークが推奨され、総務省がテレワークセキュリティガイドラインを出したりするなど自宅での業務体制を整える企業が行うべきセキュリティ対策は徐々に周知されてきています。
ただし、自宅でのセキュリティ対策の対象となっているのはほとんどのケースで業務に使用する端末のみなのが実情ではないでしょうか？各家庭によって機器や設定、接続端末が異なり環境が特定できないホームネットワークは把握が難しいのが現状です。
例えば従業員の家族が使用しているPCが適切なOSのアップデートが行われていること、マルウェアが感染していないこと、さらにはセキュリティソフトが入っていることを確認できているでしょうか？ホームネットワーク内の他の端末に侵入されてしまえばそこからネットワーク内の端末に対して攻撃を行ったり、ルータに対しての設定変更を行ったりすることができます。
さらに、テレワーク作業者自身の持っている知識次第では、ホームネットワーク自体のセキュリティ対策がほとんど行われておらず、脆弱（ぜいじゃく）性が放置されている可能性も多々あります。
ルータのパスワードが初期設定から変更されていなかったり、友人が来た時などに簡単にネットワークが使えるようにとパスワードが簡単なものに設定されていたりする可能性はないでしょうか？不審なアクセスがないかどうか確認していたりはするでしょうか？
テレワークでの業務が増える中、こうした脆弱（ぜいじゃく）性が放置されている可能性がテレワークに従事している人数分だけ存在する、と考えるとその怖さがわかるのではないでしょうか？
ホームネットワークで対策しておくべきポイント
従業員の知識レベルや環境に応じて検討するべき内容は若干変わりますが、参考となる対策ポイントについて以下の通りご紹介します。
-
- 自宅のルータの保護
- →ほとんどの家庭ではルータを初期設定のままにしているのではないでしょうか。そのままでは攻撃者にとってねらい目になってしまいます。また、ファームウェアの更新がされていない場合も脆弱（ぜいじゃく）性が放置されているケースが多いのでアップデートが必要です。
-
- 通信の暗号化
- →Wi-fiは電波の届く範囲であれば家庭内のどこからでもアクセスできますが、屋外からでもアクセスが可能であるということになります。外部からのアクセスを防ぐために通信を暗号化しておくべきです。
-
- パスワードの強化
- →通信を暗号化しても、認証のためのパスワードが知られていたら元も子もありません。パスワードを強固なものに設定し、侵入のハードルを上げることも検討しておくと安心です。
-
- SSIDのステルス化
- →SSIDが見えなければアクセスポイントがあること自体を気づかれにくくなります。ルータの設定変更が必要になりますが、こうした対策もできるとより安心になります。
-
- 私用PCの保護
- →業務用PCはほとんどの場合セキュリティソフトを導入しているかと思いますが、私用PCだとセキュリティソフト等のバージョンが古かったり更新が適切にされていなかったりして外部ネットワーク経由で侵入されてしまう可能性があります。
-
- スマートフォンなどの保護
- →PCじゃないからと言う理由でスマートフォンにはセキュリティソフトを入れていないと言う人がいたりします。ホームネットワークに接続するとスマートフォンを踏み台にして同時接続している業務用端末が脅威に晒されてしまう可能性もあるため、保護が必要になります。
上記項目の一部については詳細を以下ページにも記載しているので参考にしてください。
従業員にホームネットワーク対策を行ってもらう時の注意点
ホームネットワークで対策しておくべきポイントは、基本的に事業所と同じではあるものの、原則として「一般の人でも対応できる範囲」であることが重要です。誰でも対応できるようなるべく前提知識やスキルがないことを想定し、その中でもできる作業を考えたうえで作業項目の洗い出しと作業手順書を作りましょう。
また、個々人で環境が違う（例えばルータの機種など）ケースが多いため、情シス担当者がヘルプデスクとして対応することも、ある程度織り込んだうえで作業スケジュールなどを検討してください。
負荷は高いかもしれませんが、リスクに対しての対応に抜け漏れがあると非常に危険な状態を放置してしまうことになってしまいます。
しっかりと腰を据えて取り組んでください。
ホームネットワークは100%の管理は難しいので業務用端末の保護はきちんと
テレワーク環境下では、どうしても事業所よりも各ポイントでのセキュリティレベルが下がりがちです。
情シス担当者としては、ある程度のこうしたリスクは把握したうえで業務用端末側のセキュリティレベルを各サービス導入によって底上げしておきリスクに備えることが重要です。
ツールやソリューションの積極的な導入によって起こり得るインシデントを未然に防ぐこと、そして起こってしまった場合に即時発見し、対応を打てる環境を構築しておくことが、会社全体を守ることにつながります。
どのようなリスクがあり、どのようなソリューションがあるかを情報収集し適切な対策を行いましょう。
トレンドマイクロからのアドバイス
ホームネットワークは社内業務と言う枠でしか見ていない場合に漏れてしまいがちな観点となります。
しかし、この脆弱（ぜいじゃく）性が突かれてしまった場合のリスクについては社内ネットワークの不備と同レベルでのインシデントにつながってしまいます。
トレンドマイクロでは会社端末に高いセキュリティレベルを施しホームネットワーク越しの攻撃に対しても対応できるさまざまなソリューションを提供しています。自社の体制をご確認のうえ、不足している点がありましたらぜひご検討ください。
軽くて・強くて管理負担が少ない中小企業向けクラウドセキュリティ
ウイルスバスター™ビジネスセキュリティサービス（VBBSS）は現場から求められる「速さ」と「防御力」を両立させた製品です。
管理者が求める「導入のしやすさ」や「管理のしやすさ」にもこだわったセキュリティ製品で、テレワーク用に準備した会社の端末にインストールすることが可能となっています。
また、従業員数の増減に合わせてPC1台から手軽に導入可能でありながら全PCのセキュリティを遠隔管理できます。
「クラウド型」のため管理サーバも不要で、管理者、ユーザ共に自宅などのテレワーク環境で作業するケースにも対応した管理サーバも不要な管理コスト軽減に貢献できるソリューションとなっています。
事前予防と事後対処を実現するエンドポイントセキュリティ
Trend Micro Apex One™ SaaSはセキュリティをクラウドからサービスとして提供する (Security as a Service)として、クラウド基盤を活用した新しいインシデント対応を行っています。
管理サーバのメンテナンスを不要とし、自動アップデートにより運用管理工数を大幅に削減、会社端末の管理コスト最適化を図ることのできる「サービスとしてのセキュリティ (SaaS)」です。
高度な脅威からクラウドメールサービスのメールやファイル共有サービス上のデータを保護
Trend Micro Cloud App Security™（CAS）はMicrosoft 365のメールサービスやファイル共有サービス等でやりとりをするメールやファイルに含まれるランサムウェアや標的型サイバー攻撃によく利用されるOfficeファイルをはじめとするビジネスでよく使用される形式のファイルに潜む不正プログラムを検出します。
ドキュメントエクスプロイトの検出技術と挙動分析により未知の不正プログラム、不正URLも検出できるメール・コラボレーションセキュリティ製品で人間のセキュリティ意識と合わせ効果的にランサムウェアを防御することができます。
※すべての未知の脅威に対応するものではありません
また、トレンドマイクロではExchange Onlineを使用しているお客様向けに今まですり抜けていた脅威をスポットで可視化するためのサービスとして以下のサービスをご提供しております。
ご活用いただける環境にありましたらぜひお試しください。
Exchange Onlineのクラウド上にあるメールボックス内に残っている脅威を可視
Trend Micro Security Assessment Service™は企業が直面する高度な脅威から効果的に守られているかどうかを確認できるMicrosoft 365のメールサービス (Exchange Online) 向けの無料メールセキュリティ評価サービスです。
検出した脅威情報を詳細なレポート形式でご提供し昨今の脅威からどの程度保護されているかが検証可能となっています。