ISMS, プライバシーマークに関するさまざまな資料と役立つリンク集

テレワークのセキュリティ対策について

10.21.2020
ISMS解説資料.  288 views

企業の情報資産は、多くの場合、オフィスの中で管理され、外部の目に触れることはありません。

しかし、テレワークを行う場合、インターネット上を流れたり、持ち運びが容易なノートパソコン等の端末で利用されるため、セキュリティ対策がなされたオフィス環境とは異なり、マルウェアの感染、端末や記録媒体の紛失・盗難、通信内容の盗聴等といった「脅威」にさらされやすいといえます。

更に、端末やその設定や使い方において脅威に対する「脆弱性」が存在すると、情報漏えいや情報の消失などといった実際の事故の発生につながります。

このような事故の発生を防ぐためのテレワーク実施方法には、活用するシステム・環境などにより複数存在します。

テレワークで利用する端末種別(PC、タブレット、スマートフォン)やオフィスネットワークへの接続方式(VPN、リモートデスクトップ、セキュアブラウザ)、テレワーク端末(会社支給や従業者所有)へのデータ保存の有無などといった要素により、考慮すべきセキュリティ対策も変わってきます。

上図は、総務省が発行している「テレワークセキュリティガイドライン(第4版)」および「中小企業等担当者向けテレワークセキュリティの手引き(チェックリスト)(初版)」を参考に、テレワークの全体像と取り巻く脅威、それらに対するセキュリティ対策方法を図示したものです。

なお、これに示したテレワーク方法以外にも、作業内容や費用等により様々な方法があります。本資料が、企業等がテレワークを実施するにあたり、どのような方法で、どのようなセキュリティ対策を講じるべきかを考える際のお役に立てば幸いです。

本資料に用いた、以下の資料も合わせてご参考ください。

テレワークの6つの方式

以下は、上図にも示した総務省「テレワークガイドライン」に示された6つのテレワーク方式を解説したものです。

  • パターン①(リモートデスクトップ方式)

    「リモートデスクトップ」とは、ソフトウェアによってコンピュータのデスクトップ画面をネットワークを通じて外部の別コンピュータへ転送し、遠隔で操作する方法です。
    主な利点としては、オフィスで利用しているのと同じ環境が利用できるため、オフィスと同じよう形で行えます。また、作業したデータを保存する場合もオフィス側に保存され、テレワーク環境で利用する端末に電子データを残さないようにすることができますので、テレワーク端末として私用端末を使うことも可能です。
    欠点としては、テレワーク端末とオフィスを接続するインターネット回線で十分な速度が確保できなければ、操作性が低下することに留意する必要があります。

  • パターン②(仮想デスクトップ方式)

    「仮想デスクトップ」とは、オフィスのサーバ上で提供される仮想デスクトップ基盤(VDI:Virtual Desktop Infrastructure)に、テレワーク端末から遠隔でログインして利用する方法です。
    テレワーク環境で利用する端末に電子データを残さない点ではパターン①の「リモートデスクトップ方式」と同じですが、オフィスに端末を用意しておく必要がなく、システム管理者が仮想デスクトップ環境を一括して管理することができ、均質的なセキュリティ対策を実施することができます。
    なお、パターン①と同じく、テレワーク端末とオフィスを接続するインターネット回線の速度がテレワーク端末の操作性を左右します。

  • パターン③(クラウド型アプリ方式)

    オフィスかテレワーク環境かどうかを問わず、インターネットで接続されている環境からクラウドサーバ上で提供されるアプリケーション(クラウドアプリケーション)にアクセスすることにより、作業を行う方法です。
    クラウドアプリケーションは、サービス提供事業者側が用意したクラウドサーバー上にあるWebアプリケーション(業務に必要な機能をWebブラウザ上で扱えるようにしたアプリケーション)で、クラウドサービスとも呼ばれています。企業における一般的な業務は、大抵Web・クラウドアプリケーションで対応できます。
    アプリケーションで作成したデータの保存先は、クラウド上とローカル環境のどちらも選択可能であるため、テレワーク端末に業務に関するデータを保存してしまうとその管理の問題が生じます。
    有名なものとしては、文書作成・管理には「Microsoft Office 365」、ファイル管理には「Dropbox」や「box」、グループウェアは「サイボウズ ガルーン」などがあります。他にも会計ソフトやコミュニケーションアプリなど、その種類は多岐に渡ります。

  • パターン④(セキュアブラウザ方式)

    セキュアブラウザとは、セキュリティ機能に特化したブラウザのことで、一般的なWebブラウザの基本機能を持ちながら、不正アクセスや情報漏えいを防止するための対策が施されています。
    セキュアブラウザを活用することで、テレワークの環境で利用した場合でも、情報漏洩や不正アクセスのリスクを抑えることが可能です。
    パターン③の「クラウド型アプリ方式」の安全性を高めた方式で、セキュアブラウザを用いることで、ファイルのダウンロードや印刷などの機能を制限し、テレワーク端末に業務で利用する電子データを保存しないようにすることが可能です。なお、テレワーク端末上で利用できるアプリケーションは、この特別なインターネットブラウザ経由で利用できるものに限られます。

  • パターン⑤(アプリケーションラッピング方式)

    テレワーク端末内に「コンテナ」と呼ばれるローカルの環境とは独立した仮想的な環境を設けて、その中でテレワーク業務用のアプリケーションを動作させる方法です。
    アプリケーションラッピングでは、テレワーク端末内に「コンテナ」などの仮想環境を実現し、その中でアプリケーションやドキュメントをラッピングするアプリケーション(以下、ラッピングAPP)を動作させます。
    このラッピングAPPを経由して起動した、アプリケーション、ドキュメントは仮想環境上ラッピングされた状態で動作するため、ファイルの操作感はいつも通りで変わりなく、しかもラッピングされた状態のアプリケーションを終了、ドキュメントを閉じると仮想環境も削除されるため、テレワーク端末内に電子データを残さない利用が可能です。
    コンテナ内で動作させるOSやアプリケーションはローカルPCにインストールされたものを利用しますので、インターネットの速度の影響を受けにくい利点もあります。

  • パターン⑥(会社PCの持ち帰り方式)

    オフィスで用いている端末をテレワーク先に持ち出して作業を行う方法です。
    ネットワーク経由でオフィスにアクセスする必要がある場合は、インターネットの経路上での情報漏えい対策としてVPNで接続することが前提となります。
    テレワークを行うためには毎回オフィスから端末を持ち帰る必要があるほか、テレワーク端末に電子データを保存することが前提となるため、厳格な情報セキュリティ対策を端末に対して行う必要があります。