テレワークのセキュリティ対策に必要なファイル暗号化

急ごしらえのテレワーク環境には多くのセキュリティリスクが存在している

新型コロナウイルスの影響で急遽推し進められたテレワーク

テレワークは働き方改革の一環として政府により推進されてきました。しかし、セキュリティに対する懸念などから中々導入が進んでいませんでした。ところが、2020年に流行した新型コロナウイルスの影響により、企業は半強制的にテレワークの実施を迫られ、セキュリティ対策が万全でないまま普及が進む事態となりました。

このようなテレワークにおけるセキュリティ対策の甘さはサイバー攻撃を仕掛ける側にとって格好の標的となります。事実、VPN機器の脆弱性をついた不正アクセス被害の報告や、リモートアクセスを狙った攻撃が急増しており、企業は早急に強固なセキュリティ体制の構築を迫られています。また、逆にこのようなセキュリティへの懸念から、現在でもテレワークを実施できず、感染への不安を感じつつも出社せざるを得ない企業も多いようです。

なぜセキュリティ対策は後回しにされるのか？

多くの企業がセキュリティ対策をしなくてはならないものと考えているでしょう。しかし、日本企業においてセキュリティ対策は後回しにされやすい傾向にあります。その理由は、多くの経営層がセキュリティについて直接利益を生み出すものではないと考えていることが挙げられます。しかし、IBMによる2020年8月の調べでは、情報漏洩事件の１回当たりの総コストは約４億円にも上るという調査報告があり、また事故を起こした企業への信用の低下や株価への影響などを考えると、セキュリティ対策が今すぐに着手するべき重要な問題だということは明らかです。

セキュリティ対策は今からでも間に合う

テレワークの普及に伴い情報漏洩リスクも格段に増加しています。しかし、この事は自社のセキュリティ体制を見直すきっかけにもなります。情報漏洩事故を起こす前に、自社に必要なセキュリティ対策をあらためて検討してみてはいかがでしょうか。

テレワークの具体的なセキュリティリスクとは

テレワークの実施方法とそのリスクについて、ここでは下記の５つを挙げます。

PC・USBの持ち出しのリスク

PCやUSBの持ち出しを許可されている場合、紛失・盗難のリスクが考えられます。テレワークでは特に通勤に利用する交通機関や喫茶店などでの置き忘れが多く発生するため、機密性に応じて持ち出しルールの策定や対策を行う必要があります。

BYOD利用のリスク

私用端末をテレワークに利用する（Bring Your Own Device : BYOD）際は、会社支給の端末と違い端末管理が不十分な場合が多くあります。例えばウイルス対策ソフトが最新のものにアップデートされていないことによるマルウェア感染のリスクや、社内へ侵入するための踏み台とするためBYODを狙ったサイバー攻撃も確認されており、端末側に対するなんらかの対策は必須となります。また、家族と共用でPCを利用している場合は、機密情報を家族に見られてしまったり、間違えて外部のサイトにアップロードされてしまうリスクも存在します。

VPNの利用によるリスク

VPNによる社内サーバーへのアクセスは多くの企業が利用していますが、VPN機器の脆弱性を突いた攻撃や盗聴・改竄などのリスクがあります。VPN情報（VPNを使う際のユーザ名、パスワード、IPアドレス）が流出してしまうと第三者による不正アクセスを受け機密情報漏洩の可能性があります。

リモートデスクトップやVDI（仮想デスクトップ）のリスク

リモートデスクトップやVDIによりテレワーク端末へ画面転送を行う場合、端末側に情報がないため一定のセキュリティレベルは担保されます。考えられるリスクとしては、社内サーバーにはファイルの実体が存在しているため、社内への不正アクセスを受けた場合の流出が考えられます。また、回線の混雑による作業効率の低下を考慮し、一時的にでも端末側へのダウンロードを許可している場合、端末側でのセキュリティ対策は必須となります。

クラウドストレージのリスク

クラウドストレージによるファイル共有を行う際はID・パスワード情報の流出リスクに注意する必要があります。またアクセス権の設定ミスや利用者自身による置き間違え（アクセス権の設定されたフォルダではなく、共用のフォルダに機密情報を置いてしまうなど）が考えられます。また、クラウドサービス提供者のシステム上の不備、内部からの不正アクセスやミスによる流出も起こりうるため、利用者は機密情報をなんの対策もせず安易にクラウド上へアップロードするべきではありません。

このように、テレワークの実施方法は様々ですが、それぞれにセキュリティリスクが存在しており、なんらかの対策が必要になります。

なぜファイル暗号化・DRM/IRMは有効なのか

弊社はこれらのリスクへの対策としてファイル暗号化・DRM/IRMをお勧めしています。

ファイル自体に暗号化で漏洩防止

情報はファイル単位で管理されていますが、このファイル自体を暗号化することで、情報の漏洩を防止します。ファイルサーバー暗号化やディスク暗号化ソリューションとは異なり、一旦暗号化されたファイルは、どこに行っても暗号化されたままですので、万一ファイルが外部に漏洩しても第三者には解読することができません。

ファイルベースでアクセスを制御し、エンドポイントで漏洩を防ぐ

暗号化されたファイルにアクセスする際は、専用のサーバーから認証を受けたユーザのみが、与えられた権限範囲の中でファイルに記録された情報を利用することができます（閲覧・更新・印刷など）。外部の人間は勿論、内部の人間による不正利用や持ち出しにも対処することができます。

テレワークに伴う多くのセキュリティリスクに対応

ファイル自体を暗号化して保護するので、ほとんどの情報漏洩の原因への対策となります。 社内のファイルサーバーなどに保管されたファイルを機密性に応じてあらかじめ暗号化保護しておくことで、悪意のある第三者からの不正アクセスやマルウェア感染による漏洩を防ぎます。これにより、たとえBYODを踏み台にした攻撃やVPN情報流出により社内ネットワークが不正な侵入を受け、ファイルが窃取されても、情報漏洩の心配はありません。これはクラウドストレージについても同様です。また、端末側にあるファイルも暗号化保護しておくことで、紛失・盗難のリスクや端末側にダウンロードしたファイルの流出を防ぐことができます。

実際の企業におけるテレワーク運用は択一的な考え方ではなく、VDIとクラウドストレージを併用するなど、複数のツールを使い分ける必要があります。ファイル暗号化による対策は、非常に幅広いリスクに一つで対応できるため、ツールごとに個別の対策を積み重ねることによるコストの増加や運用負荷を削減することが可能です。

テレワークセキュリティガイドライン（第4版）での記載

総務省「テレワークガイドライン 第4版」の中でもファイル単位での暗号化について言及されており、

• 機密レベルに応じて電子データにアクセス制御、暗号化の要否や印刷可否などを設定すること
• 端末の紛失・盗難に対する対策として、従業員が機密データを管理する場合は暗号化して保存すること
• パブリッククラウドなどにファイルを移送する際は、あらかじめファイルを暗号化するなど多重の安全対策を講じること

などが記載されています。

DataClasysで利便性を損なわずにセキュリティの底上げを実現

ファイル暗号化は既に多くの企業で導入・運用されていますが、一部では導入後の運用の複雑さや利便性低下への懸念などから導入に二の足を踏むこともあるようです。

弊社の開発するDataClasysは官公庁・自治体を含む870社以上の導入実績を誇る純国産のファイル暗号化ソリューションです。導入後も今までの運用をほとんど変えることなくセキュリティレベルの向上を図ることが可能です。

あらゆるファイルをもれなく暗号化

DataClasysはファイル形式に依存しない設計となっているため、Office系のファイルは勿論、図面やモデリングなどのCAD系ファイル、画像や動画のマルチメディア系ファイルなどあらゆるファイルを暗号化することができます。これにより社内の機密ファイルをもれなく暗号化することが可能です。

変わらない業務効率

ファイルは自動暗号化フォルダへの移動やコピー＆ペーストにより簡単に暗号化されますので、手作業で個別に暗号化を行う必要はありません。なお、自動暗号化はNASやクラウドストレージを対象に設定することも可能です。また、一度DataClasysを起動してしまえば、暗号化ファイルは今まで通りダブルクリックで利用可能。面倒なパスワード入力や管理の手間がないのも特徴の一つです。

パフォーマンスが大きく低下しない

セキュリティシステムの導入時には総じてパフォーマンスの低下が懸念されます。特にファイルの暗号化は対象ファイルへのアクセス時に復号処理を挟むため、パフォーマンスの低下は日々の業務に大きく影響します。DataClasysも全くパフォーマンスが低下しないわけではありませんが、その程度は最小限に、多くは利用者が体感できない程度に収まります。

オフラインでどこでも作業可能

暗号化ファイルを利用する際は認証サーバーから復号鍵の配信を受けることを前提としますが、任意の期間内であればオフライン環境でも暗号ファイルを利用することができます。またオフライン時にアクセス権限が自動的に切り替わるような設定もできますので、テレワークでファイルを社外利用する場合に限り、印刷やコピー＆ペーストを禁止するなどの柔軟な設定も可能になります。

お客様の声

某信用金庫様

暗号化されていることを意識することなく利用できるので、利用者からの問い合わせも少なく、システム部門としては非常に助かっています。

某労働金庫様

利用や運用にほとんど手間が掛かりませんし、万が一ファイルが流出してしまっても、中身の情報は暗号化されており漏えいしませんから、セキュリティを管理する立場としても安心感が増しました。

某商工会議所様

ファイルフォーマットの網羅度という点においては、他の比較製品とは比べ物にならないほど充実していることが実感できました。費用対効果の面でも優れた製品だと感じました。

某証券会社様

P-Pointerとの連携により、個人情報に絞って暗号化できるという点に魅力を感じ導入を決めました。機密性の高いファイルを選んで暗号化できるところがポイントだと思います。