Pocket

テレワークを導入するにあたっては、セキュリティ対策も必要となります。
セキュリティ対策の基本は、まずリスクを把握することからです。

想定されるリスクの一例

  • 通信傍受
  • 不正アクセス
  • PCや外部メモリの覗き見、盗難
  • 印刷物の覗き見、盗難

対策

通信傍受への対策

通信傍受に対しては、通信の暗号化が有効です。
Wifiを利用するときは通信データを暗号化し、データの盗難を防ぐことが大切です。
暗号化方式にはWEPやTKIP、AESなどがありますが、WEP<TKIP<AESの順でセキュリティが強固となります。できればAESを使うと良いでしょう。公衆無線LANでなければ、多くの場合は問題ないと思います。

危険となるのは、公衆無線LANを利用する場合です。便利なので使ってしまいたくなりますが、やめましょう。利用するときはVPN接続を利用して暗号化するか、覗かれて困るような通信をしないか・・・となります。公衆無線LANは不特定多数の方が使っているわけですから、暗号化されていたとしても同じSSIDとパスワードで接続している人からは通信が傍受されてしまう危険があります。

VPN接続をするようにしていれば、公衆無線LANを使っていたとしてもリスクは低くなります。
これについての詳細は今後機会があれば書きますが、仮想的な専用回線を利用するもので、VPNサーバーを通して暗号化通信をすることができます。(VPNにも色々種類があります、暗号化しないものもあります)

不正アクセス対策

Webアプリを利用するのであれば、そのIDとパスワードが漏れないようにすること、推測されにくいようなものを設定することが重要となります。パスワードを強力なものにすることや、二段階認証の活用、IPアドレスフィルタリングなど、様々な対策が考えられます。最も基本的な対策はパスワードです。

パスワードポリシーを設定できるのであれば、設定することを強くおすすめします。
パスワードポリシーとは、パスワードに対して一定の要件を満たすことを要求するもので、例えば大文字小文字を含む8文字以上のものだとか、記号も含ませるとか、そういったルールです。
これを満たさないパスワードは設定できず、もっと強力なパスワードを設定するように命じられます。

個人の裁量でパスワード設定を任せると、どうしても簡単なものを設定してしまう可能性はありますから、パスワードポリシーによる管理というのはとても有効です。

二段階認証も有効です。例えば携帯電話のSMSにワンタイムパスワードを送るものなどがあり、ログインの都度通常のパスワードの他にワンタイムパスワードを入力することが求められます。

IPアドレスフィルタリングは、許可されたIPアドレスからのみアクセスできるようにするもので、こちらも強力な方法となります。利便性は落ちるかもしれませんが、VPN接続を組み合わせるとかなり便利だと思います。

最も気をつけるべきはヒューマンエラー

ただし、情報漏えいの原因はその多くがヒューマンエラーによるもので、通信を盗聴されたとかハッキングを受けたとかいうのは少ないのが現状です。
つまり、セキュリティルールの策定や使う人に対するセキュリティ教育などが必要となります。パスワードポリシーの設定のようにシステム的にヒューマンエラーが起きないような対策を講じることもできますが、全てを機械的に対策するのは難しいかなと思いますし、コストも増えます。

PCには必ずパスワードロックをかけ、◯分以上操作がない場合にはロック画面にするとか、紙の資料は許可なく印刷したり持ち歩かないとか、そういった情報管理体制が求められるわけです。

ときどき、喫茶店などで業務の重要資料を見ている方がいらっしゃいます。不正アクセスよりも、これを紛失されたり盗難されるほうが可能性も高く、恐ろしいこととなるわけです。

それほど難しくはありません

セキュリティが不安という方の多くは、何が原因で情報漏えいするのか、どのようなリスクがあるのか、ということについて分からず、漠然とした不安を抱えていらっしゃるケースが多いのかなと思います。

たしかに難しいことも色々とあり、この記事に書かれたことが全てでは決してありません。会社としてやっておくべきことの一部ですが、これだけでも対策をしていないより遥かにセキュリティが確保されるでしょう。

テレワークをするしないに関わらず、会社でのIT活用は避けられないものとなっていますから、ここに書かれたことだけでもまずは見直してみましょう。

https://blog.no-tas.com/wp-content/uploads/2016/10/e56a1c4e68be89f5595889f023b77905-1024x768.jpeghttps://blog.no-tas.com/wp-content/uploads/2016/10/e56a1c4e68be89f5595889f023b77905-150x150.jpeg高橋 圭佑テレワークテレワークを導入するにあたっては、セキュリティ対策も必要となります。 セキュリティ対策の基本は、まずリスクを把握することからです。 想定されるリスクの一例 通信傍受 不正アクセス PCや外部メモリの覗き見、盗難 印刷物の覗き見、盗難 対策 通信傍受への対策 通信傍受に対しては、通信の暗号化が有効です。 Wifiを利用するときは通信データを暗号化し、データの盗難を防ぐことが大切です。 暗号化方式にはWEPやTKIP、AESなどがありますが、WEP<TKIP<AESの順でセキュリティが強固となります。できればAESを使うと良いでしょう。公衆無線LANでなければ、多くの場合は問題ないと思います。 危険となるのは、公衆無線LANを利用する場合です。便利なので使ってしまいたくなりますが、やめましょう。利用するときはVPN接続を利用して暗号化するか、覗かれて困るような通信をしないか・・・となります。公衆無線LANは不特定多数の方が使っているわけですから、暗号化されていたとしても同じSSIDとパスワードで接続している人からは通信が傍受されてしまう危険があります。 VPN接続をするようにしていれば、公衆無線LANを使っていたとしてもリスクは低くなります。 これについての詳細は今後機会があれば書きますが、仮想的な専用回線を利用するもので、VPNサーバーを通して暗号化通信をすることができます。(VPNにも色々種類があります、暗号化しないものもあります) 不正アクセス対策 Webアプリを利用するのであれば、そのIDとパスワードが漏れないようにすること、推測されにくいようなものを設定することが重要となります。パスワードを強力なものにすることや、二段階認証の活用、IPアドレスフィルタリングなど、様々な対策が考えられます。最も基本的な対策はパスワードです。 パスワードポリシーを設定できるのであれば、設定することを強くおすすめします。 パスワードポリシーとは、パスワードに対して一定の要件を満たすことを要求するもので、例えば大文字小文字を含む8文字以上のものだとか、記号も含ませるとか、そういったルールです。 これを満たさないパスワードは設定できず、もっと強力なパスワードを設定するように命じられます。 個人の裁量でパスワード設定を任せると、どうしても簡単なものを設定してしまう可能性はありますから、パスワードポリシーによる管理というのはとても有効です。 二段階認証も有効です。例えば携帯電話のSMSにワンタイムパスワードを送るものなどがあり、ログインの都度通常のパスワードの他にワンタイムパスワードを入力することが求められます。 IPアドレスフィルタリングは、許可されたIPアドレスからのみアクセスできるようにするもので、こちらも強力な方法となります。利便性は落ちるかもしれませんが、VPN接続を組み合わせるとかなり便利だと思います。 最も気をつけるべきはヒューマンエラー ただし、情報漏えいの原因はその多くがヒューマンエラーによるもので、通信を盗聴されたとかハッキングを受けたとかいうのは少ないのが現状です。 つまり、セキュリティルールの策定や使う人に対するセキュリティ教育などが必要となります。パスワードポリシーの設定のようにシステム的にヒューマンエラーが起きないような対策を講じることもできますが、全てを機械的に対策するのは難しいかなと思いますし、コストも増えます。 PCには必ずパスワードロックをかけ、◯分以上操作がない場合にはロック画面にするとか、紙の資料は許可なく印刷したり持ち歩かないとか、そういった情報管理体制が求められるわけです。 ときどき、喫茶店などで業務の重要資料を見ている方がいらっしゃいます。不正アクセスよりも、これを紛失されたり盗難されるほうが可能性も高く、恐ろしいこととなるわけです。 それほど難しくはありません セキュリティが不安という方の多くは、何が原因で情報漏えいするのか、どのようなリスクがあるのか、ということについて分からず、漠然とした不安を抱えていらっしゃるケースが多いのかなと思います。 たしかに難しいことも色々とあり、この記事に書かれたことが全てでは決してありません。会社としてやっておくべきことの一部ですが、これだけでも対策をしていないより遥かにセキュリティが確保されるでしょう。 テレワークをするしないに関わらず、会社でのIT活用は避けられないものとなっていますから、ここに書かれたことだけでもまずは見直してみましょう。人事労務・企業法務・仕事効率化・ITツールに関すること等を書いています。