リモートワークで押さえるべきセキュリティリスクと対策  / RemoteWorkerAssociation-security

Slide 1

Slide 1 text

Slide 2

Slide 2 text

Copylight © Remote Worker Association All rights reserved. 2 ホワイトペーパー公開の背景  新型コロナウイルスの感染拡大を防ぐために、  リモートワークを導入する企業が増えています。    多くの方々がリモートワークに挑戦しているものの、  どうやって企業に導入したら良いのかわからなかったり、  不必要な懸念に駆られて導入できないという声を多数お聞きしてきました。    リモートワークをスムーズに導入・運用するためには、正しい知識が必要です。本資料では、リモートワークにおけるセキュリティについてまとめましたので、お役立ていただければ幸いです。    ホワイトペーパーvol.1：全体編　※株式会社キャスター提供  （資料をPDFダウンロードしていただき、→をクリックすると別サイトに遷移いたします。） 

Slide 3

Slide 3 text

Slide 4

Slide 4 text

Copylight © Remote Worker Association All rights reserved. 4 リモートワークにおけるセキュリティ脅威・事故  •マルウェア感染  •不正アクセス  •盗難　  •設定、運用ミス  •端末置き忘れ  •各種ハードウェア故障  •地震、火災  •洪水、落雷停電等  人為的脅威  意図的脅威  偶発的脅威  環境的脅威  情報消失  情報漏えい  作業中断 

Slide 5

Slide 5 text

Copylight © Remote Worker Association All rights reserved. 5 セキュリティ脅威・事故防止への対策  情報消失  情報漏えい  作業中断  1.ポリシー管理  2.システム対策  3.物理  対策  1-1. ポリシー更新  1-2. 従業員教育  2-1. アクセス制御  2-2. 監査  2-3. 監視・検知  3-1. 端末  3-2. ネットワーク  3-3. 執務環境 

Slide 6

Slide 6 text

Copylight © Remote Worker Association All rights reserved. 6 セキュリティ対策マップ  持出し  社内社外会社端末  私物端末  アクセス  端末管理/  ログ管理  自宅  カフェ・  コワーキング等  社内  サーバー  クラウド  システム  1-1. ポリシー更新  2-1. アクセス制御  1-2. 従業員教育  2-3. 監視/検知  2-2. 監査  3-1. 端末  3-2. ネットワーク  3-3. 執務環境 

Slide 7

Slide 7 text

Slide 8

Slide 8 text

8 1. ポリシー管理  1-1.  ポリシー  更新  1-2.  従業員教育  • セキュリティポリシー、規程、マニュアル類を更新する。  • リモートワーク導入によってルール変化が起こる部分が更新対象となる。  - 情報資産へのアクセス制御、通信のセキュリティ、暗号化、ログ管理、マルウェアからの保護、執務環境等  • セキュリティポリシー、規程類の変更箇所を中心に、リモートワーク実施時に留意する点を従業員に周知する。  • 特に従業員の行動次第で顕在化する脅威について重点的に研修を行う。  - 端末の盗難被害、公共無線LANへの接続等  Copylight © Remote Worker Association All rights reserved.

Slide 9

Slide 9 text

9 2. システム対策 2-1.アクセス制御  アクセス  ポイント  制御  • 利用可能なアクセスポイント（無線LAN）を限定する対応。  • 公共無線LAN等、未許可ネットワークへの接続を制御する。  多要素認証  • 認証の３つの要素から２つ以上を組み合わせる。  - 知識要素：パスワード、PINコード  - 所有要素：スマートフォン、トークン  - 生体要素：指紋、顔  • クラウド上のアプリへのアクセスであれば、ログインID／パスワード入力後、登録済みのスマートフォンにSMSで届いたコードを入力しなければアクセスできない形を指す。  Copylight © Remote Worker Association All rights reserved.

Slide 10

Slide 10 text

10 2. システム対策 2-1.アクセス制御  ID管理  （アカウント  管理）  • アカウントの不正利用を防止するために、以下を行う。  - アカウントの一元管理  - アカウント発行時のパスワード生成／通知ルール  - 休職・退職者のアカウントの停止・削除  - パスワードの定期的な強制変更  アクセス  コントロール  • 社外からの各種システムに対するアクセスを可能とする対応。  • 従業員の属性（職位・部署等）に応じて、ファイル／フォルダの閲覧制限をかける対応。  - Active Directy、Google管理コンソール等での対応  Copylight © Remote Worker Association All rights reserved.

Slide 11

Slide 11 text

11 2. システム対策 2-2.監査  ログ管理  • ログを取得することにより、不正行為へのけん制・問題発生時の原因特定に繫げる。  • 主に、各社内システムや、ファイル、フォルダ、ウェブサイトへのアクセスログ、パソコンの操作ログが対象となる。  端末管理  （MDM）  • PC、スマートフォンなどのパスワードポリシー強制適用、遠隔でのロック・データ消去を可能とする対応。  • 端末の紛失・盗難時における機密情報の漏えい防止を目的とする。  Copylight © Remote Worker Association All rights reserved.

Slide 12

Slide 12 text

Slide 13

Slide 13 text

13 3. 物理対策  のぞき見  防止  フィルター  • PC、スマートフォンの画面を見られることによる、認証情報（ID／パスワード）や機密情報の漏えい防止を目的とした対応。  • 作業場所が不特定で、誰かに画面を見られる可能性の高い環境となるリモートワークには必須の対応となる。  シンクライ  アント化  • サーバー側の画面をPCなどの端末に表示させる対応。  - 仮想デスクトップ、VDI、DaaSなどが当たる。  • 端末側へのファイル、データ保存不可。  • 私物端末を利用して業務を行う場合などに適している。  Copylight © Remote Worker Association All rights reserved.

Slide 14

Slide 14 text

14 3. 物理対策  ワイヤー  ロック  • 不特定の場所で行うリモートワークにおいて、端末の盗難を物理的に防ぐための対応。  • 在宅勤務においても空き巣等の犯罪リスクがあるため、施錠しておくことが望ましい。  ハード  ディスク  暗号化  • ハードディスクを暗号化し、盗難・紛失による情報漏えいを防止する対応。  • 一般的にWindowsはbit rocker、MacはFire Vaultを利用。  • 暗号化解除パスワードが漏えいしている意味が無いため、 MDMとの組合せで、セキュリティを強固にする必要がある。  Copylight © Remote Worker Association All rights reserved.

Slide 15

Slide 15 text

15 3. 物理対策  外部記録  媒体制限  • USBや外付けハードディスクなどの利用を制限する対応。  • WindowsはActive Directryのグループポリシーで設定可能。  • LanScope Catなどのエンドポイント管理ツールを利用し、接続時の禁止通知、特定の外部記録媒体のみを利用可能にする、といった対応も可能。  ハード  ディスク  保存制限  • 内蔵ハードディスクへのファイル保存を制限する対応。  • データの作成・編集など、すべてをクラウド上で行うことで、情報漏えいを防止する。  • WindowsであればActive Directryのグループポリシーで設定する。  Copylight © Remote Worker Association All rights reserved.

Slide 16

Slide 16 text

16 3. 物理対策  無線LAN  暗号化  • 従業員の自宅無線LANを利用する場合には、無線LANが暗号化されているかどうかを確認する。  • 暗号化がされていない場合、第三者のなりすましに・踏み台による不正アクセスなどのリスクがある。  施錠・  入退室管理  • 業務を行う環境は、自宅であれば施錠、シェアオフィスなどでは入退室管理がされた場所で行うことが望ましい。  • 自宅においては空き巣等での盗難や、家族からの情報漏えいリスクの防止、シェアオフィスにおいは、入退室管理がされていることによる窃盗など犯罪へのけん制が利く。  Copylight © Remote Worker Association All rights reserved.

Slide 17

Slide 17 text

Slide 18

Slide 18 text

18 2. システム対策 2-3.監視・検知  マルウェア  対策  • マルウェア対策ソフトを導入し、感染による情報漏えい、ファイルの改ざん等を防止する。  • プログラム、ウィルス定義ファイルの自動アップデートを有効にし、全端末に最新のアップデートが適用されている状態とする。  不正侵入  検知・防御  • サーバーやネットワークを監視し、不正なアクセスを検知・防御することを目的とした対応（WAF/IPS）。  • サイバー攻撃による自社システムからの情報漏えい、Webサイトの改ざん等を防止する。  Copylight © Remote Worker Association All rights reserved.

Slide 19

Slide 19 text

Slide 20

Slide 20 text

20 2. システム対策 2-4.その他  バックアップ  • 社内のファイルサーバーと同様に、クラウド上のファイルについても定期的なバックアップを取得するのが望ましい。  アプリ  導入・  実行制御  • 従業員自身でのアプリ・ソフトウェアのインストール制限をかける対応。  • ライセンス違反の防止、マルウェア感染の防止等を目的とする。  • WindowsであればActive DirectryのApp Locker等の利用を推奨。  Copylight © Remote Worker Association All rights reserved.

Slide 21

Slide 21 text

Copylight © Remote Worker Association All rights reserved. 21 ホワイトペーパー監修    株式会社クロスリバー代表取締役社長CEO  株式会社キャスター Caster Anywhere責任者越川慎司    国内外の通信会社に勤務、ITベンチャーの起業を経て、マイクロソフト米国本社に入社。   のちに日本マイクロソフトの業務執行役員として、Officeビジネスの責任者に従事。   2017年に株式会社クロスリバーを創業し、週休3日で500社以上の企業の働き方改革やITプロジェクトを支援。海外プロジェクトにも参画し、年間移動距離は地球4周以上になる。   2018年11月に株式会社キャスターの執行役員に就任し、リモートワーク導入コンサルティング「Caseter Anywhere」の事業責任者およびコンサルタントとして、多くの企業でリモートワーク支援を手がける。   ホワイトペーパー監修、情報提供 