テレワークを意識したセキュリティ対策を！

情報処理推進機構（IPA）は、毎年発生する社会的に影響が大きかったと考えられる情報セキュリティにおける事案から、重大な脅威の候補を選出し、情報セキュリティ分野の研究者、企業の実務担当者などからなる選考会が審議・投票を行い、「情報セキュリティ10大脅威」を決定して発表しています。

2021年2月に発表された「情報セキュリティ10大脅威 2021」では、2020年に発生した事案から選定されています。その中でテレワークが関係する事案が、第3位と上位にランクイン。コロナ禍でテレワークが急速に導入された事情が反映された形です。そこで、IPAから発表された内容をもとに発生事案と対策についてお伝えします。

コロナ禍で急速に広まったゆえのテレワークの弱点

2020年は新型コロナウイルス感染症が世界的に蔓延し、政府機関からは感染症対策として出社自粛が呼び掛けらるとともに、テレワークが推奨されました。各企業はテレワークへの移行を急ぎ、試行錯誤で運用しながら、最近では本格的な活用が定着してきています。しかしその反面、セキュリティの弱さも露呈し、そこを狙った攻撃が増えています。

狙われている弱点とは？

テレワーク用ソフトウェアの脆弱性の悪用

テレワークへの移行に伴い、自宅等の外部から VPN 経由で社内システムにアクセスしたり、WEB会議サービスを利用して企業間など外部との会議を行ったりする機会が増えました。

そのため、VPN などを利用するために初めて使うソフトウェアを導入したり、緊急用としていた仕組みを恒常的に使う必要性がでてきて、十分なセキュリティ対策がされない状態で利用している企業もあるようです。

そうした VPN などのテレワーク用に導入している製品の脆弱性を悪用して社内システムに不正アクセスしたり、パソコンに保存されている業務情報等を窃取したりする、WEB会議サービスの脆弱性を悪用してのぞき見する、といった攻撃が増えています。

急なテレワーク移行による管理体制の不備

テレワークで利用しているパソコン内の OS やソフトウェアのセキュリティ管理を、ITの専門知識が十分でない組織が自ら行うのは難しいことです。その中で、テレワークへ急に移行したことによりルール整備やセキュリティ対策のノウハウが不十分なまま利用を開始したことも背景になっていると考えられます。

私物のパソコンや自宅ネットワークの利用

テレワーク実施のため、私物のパソコンを利用している場合、WEBサイトやSNSにアクセスしたり、私物のソフトウェアをインストールすることもあり、その際、パソコンがウイルスに感染したり、攻撃者にソフトウェアの脆弱性を悪用され、テレワーク用の認証情報などを窃取されたりするおそれがあります。

また、支給されたパソコンを利用している場合でも、自宅ネットワークが適切なセキュリティ対策が行われていなければ、企業などの組織側で運用している適切なセキュリティ対策が適用されず、パソコンがウイルスに感染するなどのおそれがあります。

実際に起きている事例は？

脆弱性の悪用により VPN のパスワード流出

VPN 製品の脆弱性が悪用されて窃取された認証情報、約900件がインターネット上で公開されていることが判明した事例（2020年8月）があります。その際に悪用された脆弱性はアドバイザリが公開されており（2019年4月）、更新プログラムを適用していないVPN製品が狙われた例です。

テレワーク中にウイルス感染して社内に拡大

テレワーク中の従業員が社有パソコンで社内ネットワークを経由せずに外部ネットワークに接続、SNSを利用したところウイルスに感染しました。その後、その従業員が出社して感染したパソコンを社内ネットワークに接続したことで、社内ネットワークにウイルス感染が拡大してしまいました。

非公開会議へアクセスできる脆弱性を悪用

WEB会議サービス Zoomに、特定の状況下において数分で非公開の Zoom会議へアクセスできる脆弱性があったと発表されました（2020年7月）。Zoom会議へアクセスする際に使う初期パスワードは6桁の数字で、パスワードの候補は最大で100万個ほどでした。当時、特定のアクセス方法を行うことでパスワード施行回数の制限を回避できる状況だったため、100万回ほどの試行でログインされるおそれがあるというものでした。なお、すでにこの脆弱性は修正されています。

対策の方法は？

テレワーカーの対策

• 情報リテラシーや情報モラルの向上
  セキュリティ教育の受講
• 被害の予防（被害に備えた対策含む）
  ・情報セキュリティの基本的な対策（下記の表参照）を実施
  ・組織のテレワークのルールを遵守（使用する端末、ネットワーク環境、作業場所等）
• 被害を受けた後の対応
  CSIRT への連絡

攻撃の糸口	基本的な情報セキュリティ対策	目的
ソフトウェアの脆弱性	ソフトウェアの更新	脆弱性を解消し攻撃によるリスク を低減する
ウイルス感染	セキュリティソフトの利用	攻撃をブロックする
パスワード窃取	パスワードの管理・認証の強化	パスワード窃取によるリスクを低 減する
設定不備	設定の見直し	誤った設定を攻撃に利用されな いようにする
誘導（罠にはめる）	脅威・手口を知る	手口から重要視するべき対策を 理解する

組織（経営者層）の対策

• 組織としての体制の確立
  ・CSIRT の構築
  ・対策予算の確保と継続的な対策の実施
  ・テレワークのセキュリティポリシーの策定

組織（セキュリティ担当者、システム管理者）の対策

• 被害の予防（被害に備えた対策含む）
  ・シンクライアント、VPN、ZTNA 等のセキュリティに強いテレワーク環境の採用
  ・テレワークの規程や運用ルールの整備
  　組織支給パソコンと私物パソコンの違いも考慮する必要がある。
  ・セキュリティ教育の実施
  ・テレワークで利用するソフトウェアの脆弱性
  　情報の収集と周知、対策状況の管理
  ・セキュリティパッチの適用（VPN 装置、ネットワーク機器、パソコン等）
• 被害の早期検知
  ・適切なログの取得と継続的な監視
  ・ネットワーク監視、防御
  　UTM・IDS/IPS 等の導入
• 被害を受けた後の対応
  ・CSIRT の運用によるインシデント対応
  　影響調査および原因の追究、対策の強化

テレワーク環境もセキュリティ対策を！

ウィズ・コロナが現実的になる中、テレワークは今後も業務の遂行に不可欠なアイテムになると考えられます。緊急ではなく、恒常的に利用していくことを視野に入れて、しっかりとセキュリティ対策をしましょう。

こちらもチェック！