リモートワーク時代：VPNが企業データをいかに守るか

2020年以降、リモートワークは「オプション」から「常態」へと変わった。企業は社員が自宅でも十分に生産性を発揮できることに気づき、社員は通勤しなくて済むのが本当に快適だと実感した。しかし、深刻に過小評価されてきたことがある。企業データのセキュリティ境界は、オフィスのファイアウォール内から、社員の自宅Wi-Fi、街角のカフェ、空港の待合室にまで拡散してしまったのです。

あなたの隣でつい先日倒産したばかりのスタートアップ企業、ハッキングされた原因は技術的な脆弱性ではなかったかもしれない。単に、ある同僚がスターバックスで無料Wi-Fiに接続して顧客データを処理し、パケットを傍受されたというだけのことだ。

リモートワークのセキュリティ環境は想像以上に脆弱

オフィスには、ITチームが保守するファイアウォール、侵入検知システム、産業用レベルのネットワークセキュリティ設定がある。あなたの家には何があるだろうか？ プロバイダから提供されたルーター、パスワードは「12345678」かもしれず、ファームウェアは3年間更新されていないかもしれない。このような環境で企業の財務諸表、顧客情報、商業契約を扱うのは、鍵のかかっていない部屋に金庫を置くようなものです。

さらに悪いのは、社員が外出先で公衆Wi-Fiを使って社内システムにアクセスするケースだ。暗号化による保護がないデータは、公衆ネットワーク上ではまるで放送のようなものだ。同じWi-Fiに接続している誰でも、あなたのネットワーク活動を盗聴できる可能性がある。

VPNがリモートワークで果たす4つの役割

「見えない壁」を作る。VPNは、社員のデバイスと企業サーバーの間に暗号化されたトンネルを構築する。メールの送受信、CRMへのログイン、ERPシステムへのアクセス、デザインファイルの転送――すべてのデータがAES-256ビット暗号化で保護される。たとえネットワークの途中でデータパケットが傍受されたとしても、手に入るのは解読不可能な暗号文だけだ。

「仮想社員証」を発行する。社内ネットワークシステムは、社内IPアドレスからしかアクセスできない。VPNはリモートの社員に対し、仮想の社内IPアドレスを割り当てる。これは「あなたは会社にいる」のと同じ意味で、すべての社内リソースに通常通りアクセスできる。OA承認、ファイルサーバー、内部データベース――オフィスで接続するのとまったく同じ使用感だ。

「越えてはならない線」を引く。エンタープライズVPNは、統一されたセキュリティポリシーを適用できる。VPNに接続しなければ社内リソースには一切アクセスできない、デバイスはセキュリティ基準を満たさなければならない、ログインには多要素認証が必須――といったルールは「推奨」ではなく、システムレベルでの強制的な制限だ。

「途中の強奪」を防ぐ。VPNの暗号化DNS機能は、DNSハイジャックや中間者攻撃を防ぐ。攻撃者が社員のいるネットワークのルーターを乗っ取ったとしても、企業システムのドメイン名をフィッシングサイトに解決することはできず、VPNで暗号化されたデータストリームを復号することもできない。

リモートワークセキュリティの最低限のルール

• VPNは必須であり、オプションではない。企業は、すべてのリモートアクセス通信をVPN経由にするよう義務付けなければならない。例外はない。
• 多要素認証を追加する。IDとパスワードだけでは不十分だ。携帯電話の認証コードやハードウェアキーによる追加確認を加えれば、パスワードが漏洩しても攻撃者を阻止できる。
• デバイスのセキュリティベースラインチェック。VPN接続前に、デバイスに最新のセキュリティパッチとウイルス対策ソフトがインストールされているかを自動チェックし、基準を満たさないデバイスは接続を拒否する。
• 最小権限の原則。社員には、業務を遂行するために必要最低限の権限だけを付与する。デザイン部門に財務システムへのアクセスは不要だし、インターンに顧客データベースを見せる必要はない。
• セキュリティ意識は研修だけでは終わらない。定期的にフィッシングテストやセキュリティインシデント訓練を実施し、「安全」を壁のスローガンではなく、筋肉の記憶に変えていく。

リモートワークの潮流は後退することなく、むしろさらに深く浸透していく。闪连VPNは、企業と個人に対して多層的な暗号化保護を提供し、リモートワークをオフィス勤務と同様に安全で信頼できるものにする。データセキュリティは、問題が起きない間はその重要性に気づきにくいが、ひとたびインシデントが発生すれば、それは破滅的な災難となる。事故が起きてから後悔する前に、対策を講じよう。