新型コロナウイルス拡大を防ぐべく政府が発した緊急事態宣言を受けて、多数の企業がテレワークをスタートさせ、在宅勤務に切り替えるオフィスワーカーも増えている。とはいえ、準備が整っていなかった企業などでは、通常の導入プロセスを経ることなく急ごしらえの対応となっており、早急な点検・見直しも必要になっている。なかでもSSL VPNの脆弱性には注意が必要だ。
緊急事態宣言で、急遽対応したテレワーク
その環境で、セキュリティは大丈夫か？
新型コロナウイルス対策として、多くの企業が急遽オフィスワーカーを在宅勤務に切り替えた。中には以前から万全の準備を整えていた企業もあるが、それはごく一部に過ぎない。例えば、2020年夏に予定されていたオリンピック・パラリンピックの影響で通勤に支障が出る可能性に備えて、あるいは働き方改革や災害に備えた事業継続計画の一環としてテレワーク環境の導入を検討していた企業でも、少なからず期間を前倒ししたり、対象人員を当初想定より大幅に拡大したりするなど、計画の修正を迫られたことだろう。むしろ最も多かったと考えられるのが、そうした検討もほとんどできていないまま、「どうにか自宅でも仕事できる環境」を大慌てで作った、というケースではないだろうか。
さすがに今では、不慣れな環境での仕事を余儀なくされた従業員も慣れてきて、彼らをサポートするIT部門にも少しは余裕が出てきたことだろう。今こそ、この急ごしらえの環境を点検し、改善に向けて準備しておきたいところだ。もちろん事情が事情だけに、どの企業でも様々な課題に直面しているだろうが、とりわけ急いで対処すべきは、やはりセキュリティだろう。世界各国で新型コロナウイルスの感染が拡大したとはいえ、サイバー犯罪者たちが休業したわけではなく、むしろ社会の混乱に乗じようと標的を物色しているはずだ。そんな彼らにとって、急ごしらえのテレワーク環境などは格好の獲物になりかねない。
2019年にも脆弱性が発見されていたSSL
VPN これまで使っていなかったユーザーは要注意
セキュリティで確認すべき項目は多いが、急ごしらえのテレワーク環境において重要なポイントはいくつかに絞られる。例えば、ファイアウォールなどネットワークセキュリティ製品に搭載されているVPN機能は、オンプレミスの社内システムへ社外からセキュアにアクセスする重要なセキュリティの一つだ。しかし今回の緊急事態宣言にともない、初めて利用する企業も少なくないだろう。しかし実は、このVPNには注意すべき情報がある。複数のSSL VPN製品が影響を受ける脆弱性が2019年に公表されており、この脆弱性を狙った攻撃も確認されているからだ。今までこの機能を使う機会がなかったユーザーの中には、該当する脆弱性の検証や、セキュリティパッチやアップデートの適用、設定変更といった対策が施されていないケースも少なからずあると考えられる。
サイバーセキュリティに詳しい人たちの間でも、テレワーク推進に伴い利用が増えたVPNの脆弱性について、強く懸念している。セキュアワークス マーケティング事業本部 主席上級セキュリティアドバイザーの古川勝也氏もその一人だ。セキュアワークスは、サイバーセキュリティ・サービス業界のグローバルリーダーである米国Secureworksの日本法人で、脅威インテリジェンスの提供やインシデント対応、マネージドセキュリティサービス、セキュリティ関連コンサルティングなど、多彩なサービスを手掛けるサイバーセキュリティのプロ集団である。
セキュアワークス株式会社
マーケティング事業本部
主席上級セキュリティアドバイザー
古川勝也氏
「緊急事態宣言を受けて急遽テレワーク環境を整えた企業は、何はともあれオフィスから在宅勤務へ移行させることを最も優先したはずです。その過程で、VPNの検証が十分にできていないケースも、かなりあるのではないかと危惧しています。実際、セキュリティ面で不安を抱くユーザー企業も多く、最近はセキュリティ診断サービスの引き合いが増えてきました」と古川氏は言う。
