【連載第7回】どこでも安全に！テレワークとクラウド安全利用
コロナ禍以降、テレワークは多くの企業で定着しました。しかし、「とりあえずVPNを入れた」「各自のPCで対応」という暫定対応のまま運用を続けていませんか？
第7回では、テレワークとクラウドサービスを安全に利用するためのセキュリティ対策を解説します。
テレワークで発生するセキュリティリスク
オフィスのネットワーク内にいれば、ファイアウォールやUTMが通信を監視し、物理的なアクセス制御も効いています。テレワークではこれらの防御層がなくなるため、以下のリスクが発生します。
- 通信の盗聴: 公衆Wi-Fiを使用した場合のリスク
- デバイスの紛失・盗難: 持ち出しPCの物理的セキュリティ
- マルウェア感染: 家庭のネットワークからの感染
- 不正アクセス: 脆弱なVPN機器を狙った攻撃
対策は4つの層で考える
個別の製品を検討する前に、どの層が抜けているかを確認してください。1つだけ強化しても、他が空いていれば意味がありません。
| 層 | 守るもの | 中小企業の現実的な手段 |
|---|---|---|
| 認証 | 誰がアクセスしているか | MFA、条件付きアクセス |
| 端末 | どの端末からか | Intune等のMDM、ディスク暗号化 |
| ネットワーク | どこから、どう通るか | VPN、ZTNA、テザリング推奨 |
| データ | 何が持ち出せるか | 共有設定、ダウンロード制限 |
優先度は認証 → 端末 → データ → ネットワークです。 ネットワークを最後に置いているのは、SaaS中心の働き方では、通信経路よりも「誰が・どの端末で」入ってくるかのほうが効くためです。
テレワークセキュリティの基本対策
1. 通信の暗号化
VPNの導入は基本です。ただし、VPN機器の脆弱性を狙った攻撃が急増しているため、ファームウェアの定期的な更新が不可欠です。
最近ではVPNを使わない「ゼロトラスト」のアプローチも注目されています。Microsoft Entra ID（旧Azure AD）の条件付きアクセスなど、クラウドベースのアクセス制御も有効です。
VPNで見落としやすい点
- 脆弱性が公表されてから攻撃されるまでが短い。 VPN装置は社外から到達できる設計上、修正プログラムの適用を後回しにできません。適用のたびに通信が切れるため、「業務時間外に実施する」段取りを平時に決めておいてください
- EOL（サポート終了）機器が放置されやすい。 動いているため気づきにくく、更新プログラム自体が提供されていない状態が続きます。保守期限を資産台帳に記録してください
- 全通信を社内に集約すると帯域が足りなくなる。 Web会議やクラウドの通信まで社内経由にする構成は、拠点回線が上限になります。クラウド向けの通信は直接出す（ローカルブレイクアウト）判断も検討対象です
- VPNを通れば社内は素通しになりがち。 認証を突破された場合、ファイルサーバー全体に到達できてしまう構成が多く見られます
VPNからZTNAへの移行を検討する場合は、VPNとZTNAの比較記事も参考にしてください。
2. 多要素認証の導入
パスワードだけに頼る認証は危険です。特にクラウドサービスへのアクセスには多要素認証（MFA）の導入を強く推奨します。Microsoft 365であれば、Authenticatorアプリによる多要素認証を無料で利用できます。
条件付きアクセスは、まず次の3つから設定してください。
- レガシー認証のブロック — MFAを設定しても、古いプロトコル経由でパスワードだけの認証が通ってしまう抜け道を塞ぎます
- 全ユーザーへのMFA必須化 — 例外を作るなら、対象者と期限を記録に残す
- 利用しない国からのアクセス遮断 — 海外拠点や出張がない企業では効果が大きく、設定も容易です
管理者アカウントを例外にしないこと。 「MFAが面倒だから管理者だけ除外」は、最も権限の強いアカウントを無防備にする設定です。あわせて、MFAが使えなくなった場合の復旧手段（緊急用アカウント、管理者による再登録の手順）を先に決めておいてください。決めていないと、有事に例外設定を作って戻し忘れます。
3. デバイス管理
会社支給PCにはMDM（モバイルデバイス管理）を導入し、紛失時のリモートワイプ（遠隔消去）を可能にしておきましょう。Microsoft Intuneを使えば、デバイスの暗号化状態やセキュリティ更新の適用状況も一元管理できます。
私物PC（BYOD）を認めるかは、先に決めてください。 曖昧なまま運用すると、実態として私物からのアクセスが常態化します。認める場合は、端末そのものを管理する（MDM）のではなく、**アプリ側でデータを保護する方式（MAM）**が現実的です。私物端末の初期化権限を会社が持つ構成は、従業員の同意を得にくく、トラブルにもなります。
紛失時に備えて決めておくこと
- 第一報の連絡先（休日・夜間を含む）
- 遠隔ロック／消去を誰の判断で実行するか
- 対象アカウントのサインインセッションを取り消す手順
- 個人情報が入っていた場合の報告要否の判断
ディスクが暗号化されていれば、紛失＝漏えいと直ちに評価されない場合があります。暗号化の適用状況を平時に確認しておくことが、有事の判断材料になります。
4. クラウドストレージの適切な利用
「メールに添付して送る」のではなく、OneDriveやSharePointなどのクラウドストレージで共有し、アクセス権限を適切に設定する運用に切り替えましょう。
ただし、共有リンクの既定値を確認してください。 既定が「リンクを知っている全員」になっていると、社外に転送されただけで誰でも開ける状態になります。既定を社内限定にしたうえで、社外共有が必要な場合のみ、有効期限付きのリンクを発行する運用が安全です。
- 共有リンクの既定を組織内限定にする
- 社外共有リンクには有効期限を設定する
- 共有一覧を定期的に確認する — 案件終了後も生き続けるリンクが最も多い
- ダウンロード不可（閲覧のみ）の設定を、機密度の高い資料で使う
テレワーク規程で決めておくこと
技術的な設定だけでは運用が回りません。文書で決めておくべき最低限は次のとおりです。
- 作業してよい場所（自宅、カフェ、コワーキングの可否）
- 使用してよい端末（会社支給のみか、私物を認めるか）
- 公衆Wi-Fiの扱い（原則禁止とし、スマートフォンのテザリングを推奨する形が現実的）
- 家族との端末共有の可否
- 紙の資料の持ち出し可否と保管方法
- 画面の覗き見対策（公共の場でのプライバシーフィルター）
「原則禁止」だけを並べると守られません。禁止する代わりに何を使えばよいかを必ずセットで書いてください。
まとめ
- 対策は認証・端末・ネットワーク・データの4層で確認する。1つだけ強化しても穴が残る
- 優先度は認証 → 端末 → データ → ネットワーク。SaaS中心なら経路より「誰が・どの端末で」が効く
- VPN装置は修正プログラムの適用段取りとEOL管理が要。全通信の社内集約は帯域が上限になる
- 条件付きアクセスはレガシー認証ブロック・MFA必須化・不使用国の遮断から始める
- 管理者アカウントをMFAの例外にしない。MFAが使えなくなったときの復旧手順を先に決める
- BYODを認めるならMDMではなくMAM。私物端末の初期化権限を会社が持つ構成は無理が出る
- 紛失時は連絡先・遠隔消去の判断者・セッション取り消し手順を平時に決めておく
- 共有リンクの既定値を組織内限定に。案件終了後も生きているリンクが最も多い
- 規程では禁止と同時に代替手段を示す。公衆Wi-Fi禁止ならテザリングを推奨する
テレワークのセキュリティは「禁止」ではなく「安全に使える仕組みづくり」が重要です。Microsoft 365のセキュリティ機能を活用すれば、追加コストを抑えながら効果的な対策が可能です。
次回は、万が一インシデントが発生した場合の対応手順について解説します。
まとめ・ご相談
セキュリティ対策の強化をご検討の方は、Security365（セキュリティ運用・SOCライト）をご覧ください。
貴社のIT課題について、まずは60分の無料相談でお気軽にご相談ください。