情報通信技術面における留意点～テレワーク導入時のセキュリティ対策のポイント～

Flexible Work,Flexible Business,Flexible Life.

株式会社 テレワークマネジメント
鵜澤 純子

CONTENTS

１．総務省 テレワーク
セキュリティガイドライ
ンについて

2.技術に関する対策

3.ルールと人に関する対策

2
Copyright © 201９ TELEWORK MANAGEMENT All Rights Reserved.

<弊社のご紹介＞

株式会社 テレワークマネジメント
3

株式会社 テレワークマネジメントのご紹介

普及
啓発

導入支援

・テレワークに関する講演・研修
・テレワークセミナー定期実施
・メールマガジン定期配信
・自治体テレワーク普及・推進事業

・テレワーク導入コンサルティング
テレワークに関する調査/分析
テレワークツールの開発/販売
テレワーク勤務規則/制度策定サポート
・テレワーク研修・講演

ビジネス提案

政策提言・テレワークを活用した新しいビジネスの提案

・国の政策提言
・自治体の施策提言

4
Copyright © 201９ TELEWORK MANAGEMENT All Rights Reserved.

<総務省 テレワークセキュリティ
ガイドラインについて＞株式会社 テレワークマネジメント51.1.テレワークセキュリティガイドライン第4版
 総務省は「テレワークセキュリティガイドライン第4版」を平成30年4月13日に公表 （前回改定は平成25年3月29日）
 働き方やICT技術などを、今の現状に合った内容にアップデート

安全に働ける環境人

技術ルール
6
Copyright © 201９ TELEWORK MANAGEMENT All Rights Reserved.

<技術に関する対策>株式会社 テレワークマネジメント
7

2.1.情報漏洩の原因

テレワークと関連が深いと考えられるもの

出展：ＮＰＯ日本ネットワークセキュリティ協会「2017年情報セキュリティインシデントに関する調査報告」
Copyright © 201９ TELEWORK MANAGEMENT All Rights Reserved.

8

2.2.テレワーク時の情報セキュリティリスクのイメージ

社内LAN

ＩＮＴＥＲＮＥＴ

Copyright © 2018 Telework Management. All Rights Reserved.

9

2.2.テレワーク時の情報セキュリティリスクのイメージ

社内LAN
不正アクセス
不正アクセス

セキュリティ
ホールからデータ流出

データ改ざんＩＮＴＥＲＮＥＴ

端末の盗み見

端末の盗難・紛失による情報漏洩

情報の盗聴

不正な持ち出し

内部不正

不正な端末の利用
マルウェア
感染
Copyright © 2018 Telework Management. All Rights Reserved.

10

2.3.情報セキュリティリスクへの対策

社内LAN

ネットワーク監視
セキュリティ

不正アク
セス
不正アク
セス

ホールからデータ流出

データ改ざん

認証
ＩＮＴＥＲＮＥＴ

端末の盗み見

端末の盗難・紛失による情報漏洩

情報の盗聴

不正な持ち出し作業の見える化
内部不正

不正な端末の利用

マルウェア
使用機器や業務環境の管理
感染

Copyright © 2018 Telework Management. All Rights Reserved.

112.4. 対策その１：使用機器や業務環境の管理

社内LAN
不正アク
セス
不正アク
セス

セキュリティ
ホールからデータ流出

データ改ざん

ＩＮＴＥＲＮＥＴ

端末の盗み見

端末の盗難・紛失による情報漏洩

情報の盗聴

不正な持ち出し

内部不正

不正な端末の利用

マルウェア
使用機器や業務環境の管理
感染Copyright © 2018 Telework Management. All Rights Reserved.

122.5.テレワークで仕事をすると何が起きる？

社内LAN情報が社外（手元）に保存される

開発
データ 顧客リスト
ＩＤPASS
メール

特許
情報

漏洩リスクが 個人
情報
高まる

売上
データ
機密
情報

Copyright © 2018 Telework Management. All Rights Reserved.

13

2.6.テレワークの方法に応じた対策が必要
リモートデスクト 仮想デスクトッ クラウド型アプ セキュアブラウ アプリケーション
PC持ち帰り方式
ップ方式
プ方式
リ方式
ザ方式
分離方式

概要

会社自席PCを遠隔操作

会社・データセ クラウド型アプ テレワーク端末 業務アプリとデー 会社とテレワーク
ンターのVDIを リを用いて業 にデータを残さな タをコンテナ化し で同じ端末を使用
遠隔操作
務
いセキュアブラウ て一般アプリと分ザを使用
離テレワーク 保存しない
端末への情報保存

保存しない

どちらも可

保存しない

保存しない

保存する

データ漏洩 危険性小さい等のリスク危険性小さい

危険性あり

危険性小さい危険性小さい

危険性大きい会社業務環境への脅威侵入危険性小さい危険性あり

危険性小さい危険性小さい

危険性大きい

可能

可能

可能

可能

同じ

危険性小さい会社と同じ 同じ
業務環境

テレワーク リモートデスクト 仮想デスクトッ 必要
端末の業 ップツールのみ プツールのみ
務ソフト

セキュアブラウザ 必要
のみーBYOD

可能

危険性大きい

可能

可能

危険性あり

可能

常時オンラ 必要イン

必要

一時的にオフ 一時的にオフライ 一時的にオフライ 不要
ラインでも可 ンでも可ンでも可14

Copyright © 201９ TELEWORK MANAGEMENT All Rights Reserved.

2.7.「情報を手元に残さない」技術：シンクライアント化
ファットクライアント端末(普通のPC)サーバー
シンクライアント端末
データ
アプリ
OS

データ

画面転送

プログラム実行

アプリケーション
データ保存

OS
画面表示・入力

最小限のアプリプログラム実行
画面表示・入力
データ保存
15

Copyright © 201９ TELEWORK MANAGEMENT All Rights Reserved.

2.8.「情報を手元に残さない」技術：その他の方法
サーバー

アプリケーション
ラッピング方式

データの仮想化

セキュア
ブラウザ

PC内の「コンテナ化」された領域のみで作業＆ファイルの一時保存が可能。アプリ終了
でコンテナごと削除

デスクトップ、ドキュメントフォルダ内のファイルを仮想化し、実体をクラウドに保存。手元ではキャッシュを使って作業を行い、電源オフでキャッシュも削除
16
Copyright © 201９ TELEWORK MANAGEMENT All Rights Reserved.

2.9.「手元に残ってしまった情報」への対応策
ＰＣのハードディスクの暗号化

ＰＣのハードディスクのリモートワイプ

データをフォルダ・ファイル単位で暗号化するのではなく、OS領域やシステムファイル領域を含めたハードディスクを丸ごと暗号化

端末に保存されたデータを、ネットワー
クを経由した遠隔操作で消去。電源オ
フでも実行可能な製品も。

データ

電源オフでも消去実行

ＯＳ

データ
アプリ

アプリ

アプリ

消去
命令

ＳＭＳ
で送信

受
信ＢＩＯＳ

ＯＳ
結果報告
17

Copyright © 201９ TELEWORK MANAGEMENT All Rights Reserved.

2.10.対策その２：認証

社内LAN
不正アクセス
不正アクセス

セキュリティ
ホールから
データ流出

認証

データ改ざん

ＩＮＴＥＲＮＥＴ

端末の盗み見

端末の盗難・紛失による情報漏洩

情報の盗聴

不正な持ち出し

内部不正

不正な端末の利用
マルウェア
感染
Copyright © 2018 Telework Management. All Rights Reserved.

18.

2.11.「認証」を強化することで不正アクセス等を防止
多要素認証による本人確認【知識情報】
ＩＤ，パスワード、ＰＩＮ番号など【所持情報】
ワンタイムパスワード、ＳＭＳ認証、ＵＳＢ
トークン、マトリックス認証など【生体情報】
指紋認証、顔認証など

知識情報

知識情報

生体情報

ログ
イン
ＯＫ

クライアント証明書による利用端末の限定
クライアント証明書をユーザのデバイスにインストールすることで、ユーザが正規の利用者であることを認証。

証明書がないＰＣからはアクセス不可

証明書があるＰＣからはアクセスＯＫ

ログ
イン
不可19

2.12.対策その３：ネットワーク監視

社内LAN

ネットワーク監視
セキュリティ

不正アクセス
不正アクセスホールからデータ流出

データ改ざん

ＩＮＴＥＲＮＥＴ

端末の盗み見

端末の盗難・紛失による情報漏洩

情報の盗聴

不正な持ち出し

内部不正

不正な端末の利用
マルウェア
感染
Copyright © 2018 Telework Management. All Rights Reserved.

20

2.13.社内ネットワークの「水際対策」
UTM (Unified Threat Management＝統合脅威管理) とは、複数の異なるセキュリティ機能を一つのハードウェ
アに統合し、集中的にネットワーク管理を行う機器

社内LAN

ＵＴＭ

社内ＬＡＮ

・情報漏洩防止・不適切なアプリの利用・不正サイトへのアクセス防止・ウィルス感染メールの送信・Ｃ＆Ｃサーバとの通信

入口
対策

出口
対策

ＵＴＭ

インターネット（社外）・ウィルス・迷惑メール
・ネットワーク攻撃・マルウエア、スパイウェア
・標的型攻撃21

Copyright © 201９ TELEWORK MANAGEMENT All Rights Reserved.

2.14.対策その４：作業の見える化社内LAN
不正アクセス
不正アクセス

セキュリティ
ホールからデータ流出
ＩＮＴＥＲＮＥＴ

端末の盗み見

端末の盗難・紛失による情報漏洩

情報の盗聴

不正な持ち出しデータ改ざん

作業の見える化
内部不正

不正な端末の利用
マルウェア
感染
Copyright © 2018 Telework Management. All Rights Reserved.

22

2.15.内部不正対策=ログ取得、手元の見える化

時間管理・記録と併せ、作業画面の記録や顔認証により、遠隔の社員を見える化

23
Copyright © 201９ TELEWORK MANAGEMENT All Rights Reserved.

2.16.情報セキュリティリスクに様々な技術を組み合わせた対策を社内LAN多要素
認証

ネットワーク監視
のぞき見対策

暗号化
ログの可視化

端末管理

証明書
Copyright © 2018 Telework Management. All Rights Reserved.

24

<ルールと人に関する対策>株式会社 テレワークマネジメント
25

3.1.ルールに関する対策
 情報セキュリティ保全対策の大枠を作る

1

２

３

• 対策の必要性を理解し、必要な人材、予算を割り当てる• 情報セキュリティポリシーを定め、ＰＤＣＡで定期的に管理するルールを作る• 社内の情報資産を重要度に応じたレベル分けを行い、テレワークでの利用可否と、利用可の場合の取扱い方法を定める

26
Copyright © 201９ TELEWORK MANAGEMENT All Rights Reserved.

3.2.（参考）ＩＰＡ「中小企業の情報セキュリティ対策ガイドライン」「サイバーセキュリティ経営ガイドライン」の改訂や、中小企業等を対象としたクラウドサービスの充実化などの環境変化を受けて、2019年３月に第3版改訂

https://www.ipa.go.jp/security/keihatsu/sme/guideline/

27

Copyright © 201９ TELEWORK MANAGEMENT All Rights Reserved.

3.3.（参考）冊子に含まれる各種ひな形

28
Copyright © 201９ TELEWORK MANAGEMENT All Rights Reserved.

3.4.人に関する対策
 作ったルールを守るのは人～教育研修が重要

1• 研修などを通じて、作成したルールの社内周知、広報を行う。

• 事故を想定した実践的な訓練を実施する

２３• 訓練の結果を踏まえ、周知・理解が足りない部分をさらに広報する

29
Copyright © 201９ TELEWORK MANAGEMENT All Rights Reserved.

3.5.安全な環境でテレワークを！

安全に働ける環境人技術ルール
30
Copyright © 201９ TELEWORK MANAGEMENT All Rights Reserved.

ご清聴いただきありがとうございました。

31
Copyright © 201９ TELEWORK MANAGEMENT All Rights Reserved.