実は危ないテレワーク。3つのリスクと対策方法 #DDSセキュリティノート4
テレワーク中に、突然セキュリティ関連のトラブルに見舞われたら、どうしたらいいのでしょうか。
6/20（日）に首都圏の緊急事態宣言は解除されましたが、テレワークを実施している、またはオフィス以外で仕事をしている方もいらっしゃるでしょう。
こういったオフィス以外での勤務やテレワークでは、うっかりミスや設定の誤りによる情報漏えいが起こりやすい環境です。
無意識のうちに情報を危険にさらしてしまわないよう、事前にできる対策や万が一の正しい対処法を知っておくのは、とても大切です。
今回は、テレワークを実施する社員が組織にサイバーセキュリティリスクをもたらす可能性のある上位３つのトラブル例と、リスク軽減のヒントについてご紹介します。
テレワーク社員が直面するサイバーセキュリティリスク
1. フィッシング詐欺被害に遭う
2. 脆弱なパスワードを突破される
3. 家庭用Wi-Fiのセキュリティ対策の漏れ
テレワークの社員がよく直面するリスクは上記の3つです。
これらがサイバーセキュリティの懸念をどのように引き起こすかについて、詳しく紹介していきます。
│リスク１│ フィッシング詐欺被害に遭う
テレワーク社員に訪れる最大のサイバー脅威は、フィッシング詐欺です。
フィッシング詐欺とは、電子メールを介して同僚や友人を装った送信者が、被害者をだまして受信者のログイン情報または機密情報を提供させ、アカウントへのハッキング、より機密性の高い情報の盗難、マルウェアのインストールを実行する行為のこと。
今日では、迷惑メールフィルターを通過して社員の受信トレイに詐欺メールが直接届くようなケースも多々あります。
フィッシング詐欺で送られるメールは年々巧妙になっているため、どれだけフィルタリングの設定を強固にしたとしても、社員の元に詐欺メールが届くのを万全に防ぐのは難しいのが現状です。
情報入力の手前でフィッシング詐欺であることを見抜けるかは、最後は社員自身にかかっています。
実は、情報漏えいの発生原因は人的なミスが8割と言われており、組織のセキュリティにおいて、最も重要な課題は人間そのものであるといえます。社員一人ひとりのセキュリティに対する理解を深めることで、リスクを低減させることができるのです。
対策方法：社員へのセキュリティトレーニングを実施しましょう
最大の懸念は、いざフィッシングメールが届いたときに、社員一人ひとりが詐欺メールであると見抜き、正しく対処できるかです。
フィッシング対策協議会のサイトでは、現在流行している詐欺メールへの注意喚起が行われています。
企業のシステム担当者は、これらの内容を把握し、必要に応じて社内共有するだけでも一定の効果が期待できます。社員に対し、朝礼や社内報、社内メール等を活用し、定期的な注意喚起を行いましょう。
フィッシング詐欺に限らず、今日では社員へのサイバーセキュリティ教育は必要不可欠になっています。社内の情報管理に関するルールや、よくあるトラブル例を事前に共有することで、職場全体のサイバーセキュリティを向上できます。
│リスク２│ 脆弱なパスワードを突破される
脆弱なパスワードを設定すると、犯罪者はアカウントのパスワードを解読して企業の秘密情報にアクセスしようとします。
たとえば「password」「abcde」「12345」のような推測しやすいパスワードはハッカーの格好の標的になります。
パスワードの使いまわしは、ハッカーが悪用する一般的な方法です。
ハッカーは1つのアカウントのパスワードを解読すると、同じパスワードで他のアカウントにアクセスしようとします。ビジネスアカウントでのパスワードの使いまわしは非常に危険な行為です。
対策方法１：パスワードポリシーを設定する
パスワードポリシーとは、ユーザーが登録するパスワードに使用できる文字数や、文字の組み合わせなどに一定の条件を設けることを指します。
生年月日のような個人情報の使用を禁止したり、パスワードの使いまわしを禁止する、もしくはパスワードはシステム管理者が設定するといった社内ポリシーを設けて運用を行いましょう。
安全なパスワードは英数字・記号を用いた8～12語以上で、パスワードが長いほど解読されにくくなります。
対策方法２：パスワードを書き留めない
付箋紙などにパスワードを書き留める行為は、パスワードポリシー内で禁止するようにしましょう。
従業員がパスワードを覚えておくためにパスワードを書き留める必要がある場合は、安全なパスワード保存プログラムを検討してください。
│リスク３│ 家庭用Wi-Fiのセキュリティ対策の漏れ
企業は通常、テレワーク社員が業務で使用するPCのセキュリティ保護を考えますが、社員の自宅のWi-Fiネットワークもセキュリティリスクとなり得ることに気づいていません。
攻撃者は自宅のWi-Fiルーターのデフォルトのパスワードを悪用し、情報の盗取を試みます。Wi-Fiルーターはデフォルトのパスワードから変更されることが少ないため、自宅のネットワークが脆弱になっていることを知っているからです。
また、多くの人がPCやスマートフォンのOS、ウイルス対策ソフトに更新が必要であると知っていますが、自宅のWi-Fiルーターの更新は見過ごされがちです。更新されていないルーターは、時間の経過とともに情報漏洩のリスクが高まります。
オフィスでは、ネットワークを監視し、悪意のある通信をブロックするためにファイアウォールを設置していますが、多くの人は自宅のネットワークを保護するためのファイアウォールを持っていません。一部のルーターはファイアウォールが付いていますが、これらのファイアウォールはそれほど安全ではないのが現状です。
対策方法１：ルーターのセキュリティを強化する
社員の自宅にあるWi-Fiルーターのパスワードをデフォルトの設定から変更しましょう。また、ルーターのソフトウェアを定期的に更新してください。ハッカーに悪用される前に、迅速に修正プログラムを適用できます。
また、Wi-Fiのネットワークが暗号化によって保護されていることを確認しましょう。WEP、WPA、WPA2など、Wi-Fiのネットワーク暗号化には種類があり、セキュリティを守るためには必ず設定が必要です。
対策方法２：個人用DDHBOXを提供する
社員がしばらくリモートで作業する場合や、多くの機密データを処理する社員には、自宅のネットワークをより安全にするテレワーク用DDHBOXの導入がおすすめです。自宅での作業による情報漏えいリスクを最小限に抑えることができます。
大切なのは小さな設定をきちんと行うこと
コロナウイルスの蔓延によって世界中でテレワークが広まりました。便利である一方、サイバーセキュリティ上のリスクも伴います。
ポリシーの設定やパスワードの見直しといった、一見細かなものに思える取り組みでも、一定の効果を発揮します。経営層、またシステム担当者は、オフィスに限らず、社員の自宅のサイバーセキュリティ対策を見直してみてはいかがでしょうか。
デジタルデータソリューションはテレワークを実施する企業様向けに、家庭で使用可能な出口対策製品、テレワーク用DDHBOXを提供しています。
ご興味をお持ちの方は下記よりお気軽にご相談ください。
デジタルデータソリューション株式会社 公式HP
公式SNS Twitter ／ Facebook
Image by rawpixel.com