個人まかせではないPCで安全にテレワークの実現を
Ｓｋｙ株式会社 ICTソリューション事業部 副本部長
金井 孝三

Ｓｋｙ株式会社 会社概要
本社所在地

東京本社
大阪本社

東京都港区港南二丁目16番1号 品川イーストワンタワー 15階
大阪市淀川区宮原3丁目4番30号 ニッセイ新大阪ビル 20階

設立

1985年3月2日

資本金4億5千万円

売上高

763.6億円（2020年3月期）

従業員数

3,030名（2021年2月1日現在）

仙台支社

大阪本社

グループ
従業員数

3,148名（2021年2月1日現在）

拠点所在地

札幌、仙台、東京、横浜、三島、名古屋、大阪、神戸、広島、松山、福岡、沖縄

グループ会社

札幌支社

東京本社

広島支社
福岡支社

株式会社エッグ

横浜支社
名古屋支社
神戸支社
松山支社

三島支社

沖縄支社

2

アジェンダ1.

テレワークを実現する各種方式

2.

テレワーク環境を狙うサイバー攻撃

3.

これからのゼロトラストネットワークにも重要なPCの適切管理

4.

安全なPCはIT資産把握とセキュリティパッチの適用の徹底から

5.

組織を守るためには組織がPCを安全に維持することが重要

3

テレワークを実現する各種方式

4「テレワーク（telework）」とは？
「tele = 離れた所」と「work = 働く」をあわせた造語です。ITを活用し、オフィスから離れて、時間や場所の制約を受けずに柔軟に働く働き方を指します。

モバイルワーク
オフィス

テレワーク

以前からよく行われてきた「テレワーク」

サテライトオフィス
緊急事態宣言発令中の地域は在宅勤務

7「出勤者数 割削減」
5

モバイルワークと在宅勤務の環境の違い「モバイルワーク」は主に移動時間を有効活用するものです。「在宅勤務」とは大きく異なります。

モバイルワーク
目的・メリット

対象の職種

業務の効率化
（働く場所を自由に選択、移動時間を活用 など）移動が多い職種（主に営業）

在宅勤務
仕事と家庭の両立、災害／パンデミック対策
モバイルワーカーに加え、業務をPCで行う職種（主に事務）

業務で通常使うPC

モバイルPC

デスクトップPC／モバイルPC

テレワークを行う時間

1日の一部の時間

テレワーク実施日の業務時間中（出社しない）（必要な時は出社する）

6

テレワークの6種類のパターン

出典：総務省「テレワークセキュリティガイドライン」第4版
https://www.soumu.go.jp/main_content/000545372.pdf

業務環境へアクセスする際に用いるIT技術によって、テレワークは6種類のパターンに分けられます。

１

リモートデスクトップ方式

２

仮想デスクトップ方式

３

クラウド型アプリ方式

４

セキュアブラウザ方式

５

アプリケーションラッピング方式

６

会社PCの持ち帰り方式

デメリット
7

在宅勤務の場合の、各パターンのまとめ利用シーンを想定して各パターンをまとめると、下表のようになります。

１

リモートデスクトップ方式

私物PCにデータがない４

自宅に高速回線が必要

オフィスと同じ
環境

セキュアブラウザ方式

私物PCにデータがない

自宅に高速回線が欲しい

クラウドのみ使用可能

２

仮想デスクトップ方式

私物PCにデータがない

５

自宅に高速回線が必要

オフィスと同じ
環境

アプリケーションラッピング方式

私物PCにデータがない

自宅に高速回線が欲しい

コンテナ対応しか使えない

３クラウド型アプリ方式

私物PCにデータを保存

６

クラウド
自宅にのみ
高速回線が欲しい 使用可能

会社PCの持ち帰り方式

私物PCにデータがない

自宅の高速回線は不要

オフィスと同じ環境

8テレワーク環境を狙うサイバー攻撃

9

新型コロナウイルス感染症の拡大に便乗するサイバー攻撃
多くの企業でセキュリティ対策が不十分なままテレワークの導入を余儀なくされ、サイバー犯罪者はこの状況を利用した攻撃を活発化させました。この感染症拡大は、いまだに収束の兆しがみえておらず、今後も攻撃が続くと思われます。
▼全世界における2020年のCOVID-19関連不正サイトへ誘導されたアクセス数の推移
0

1月
2月
3月

100,000
3,916
9,497

200,000

3.6倍

約34,1976月

400,000

Web経由のサイバー攻撃（不正サイトへの誘導など）が2020年3月から増加！

10倍

約348,767

4月
5月

300,000

168,576

継続して攻撃が行われている

178,395

参考：トレンドマイクロ 「2020年 上半期セキュリティラウンドアップ」 新型コロナウイルスがサイバーセキュリティ業界に与えた影響

10テレワークの弱点を利用する攻撃が発生• VPN製品の既知の脆弱性を突き、取得したと見られる認証情報約900件がインターネット上に流出• 大手製造企業がサイバー攻撃の被害を受け、国内外9工場が生産停止• 大手IT企業従業員のBYOD端末からVPNを通り、VDI経由で社内サーバーに不正アクセス• 大手製造業の従業員がテレワークで使用するPCで、社内ネットワークを経由せずSNSを利用し、マルウェアに感染• オンライン会議サービス用のソフトウェアインストーラーに、マルウェアをバンドルして再配布する攻撃
11

脆弱性を悪用された事例
VPNの脆弱性を悪用され、暗証番号を含む情報が流出
2020年8月、VPNサーバーの暗証番号を含む情報が、ロシアのハッキングフォーラム上で公開されていることが判明。
対象のVPNサーバーは全世界で900件以上。うち、日本国内のIPアドレスは46社含まれることが確認された。
流出の原因になったのは、 2019年4月に公表されたVPNサーバーの脆弱性とされる。
※VPN暗証番号：VPN管理者による新規グループ開設後、参加者の申し込みをするために必要となる番号。VPNに接続する際の認証用パスワードとは異なります。

【脆弱性】とは脆弱性

情報資産
脆弱性

コンピューターのOSやソフトウェアにおいて、プログラムの不具合や設計上のミスが原因となって発生した「セキュリティ上の弱点」

OSやサーバー、ソフトウェアを最新版にアップデートしないことは非常に危険です！！
12

テレワーク中にマルウェアに感染した事例
社内ネットワークを経由せずSNSを利用し、マルウェアに感染＜製造業＞
2020年4月、自宅でのテレワーク時に社内Firewall等を経由せず社員がSNS を利用。その際にマルウェアを含んだファイルをダウンロードして感染。出社時にマルウェアに感染したPCを社内ネットワークに接続したことで、社内ネットワークを通じて感染が拡大した。
機密性の高い技術情報、取引先に係る重要な情報の流出は確認されていない。

SNS

組織のUTM等を経由せずにSNSを利用出社して組織内ネットワークに接続。
感染拡大！

ウイルスに感染13

ビデオ会議システム「Zoom」へのサイバー攻撃
テレワークによるオンライン会議ツールの使用が増加しました。特にZoomは主要サービスを無料で使えることなどから利用者が急増しましたが、サイバー攻撃の被害も相次ぎ、話題となりました。

過去に発生したZoomへのサイバー攻撃やセキュリティの問題

1

会議に不正侵入する「Zoombombing（ビデオ爆撃）」

2

チャット機能の脆弱性

Zoom 4.6.10
以降で解決！

3

エンドツーエンド※1の暗号化が行われていなかった

Zoom 5.0
以降で解決！

関係のない人がZoomによるWeb会議へ乱入して暴言を発したりすることがあった。

Window版のZoomクライアントのチャット機能にUNC （Universal Naming Convention）パスの処理に関する脆弱性が確認されており、PCの情報を不正に取得される危険性があった。

Zoomを使った通信はエンドツーエンドの暗号化によって保護されているはずだったが、サーバー上に保有するデータが復号可能な状態であることが発覚。 ※1 通信を行う人同士しか見られないようにすること。

Zoom 5.0
以降で解決！

ソフトウェアは最新のバージョンにて使用することをお勧めします14これからのゼロトラストネットワークにも重要なPCの適切管理

15

新しいセキュリティモデル「ゼロトラストセキュリティ」「信頼しない」という言葉の通り、外部も内部も全て疑うという「性悪説」に基づいた考え方です。
ネットワークの内部を守る従来の「境界型セキュリティ」では、安全の確保が難しくなってきたため注目されています。

境界型セキュリティ

ゼロトラストセキュリティ
インターネット

インターネット

クラウド

城の要塞のように外部の攻撃から内部を守る

一度侵入されると被害が広がる

組織内

組織外

侵入を前提で、各ポイントのセキュリティを強化
クラウドのセキュリティ

認証によるアクセス制御

端末のセキュリティ対策
16

なぜ今、ゼロトラストセキュリティが求められるのか？
在宅勤務の導入などにより、インターネットを経由した組織内ネットワークの利用が求められる今、境界を強固に保つことが難しくなりつつあります。「ゼロトラストセキュリティ」はエンドポイントとの通信を毎回認証し、記録することでマルウェアの拡大感染のリスクを下げることを目指します。

外部環境（インターネット）
内部環境（組織内ネットワーク）
脆弱性対策やEDRが行われていることが前提。

全ての通信をチェック・認証する
アプリケーションへのアクセス

認証されない通信では侵入できない

端末と端末同士サーバーとネットワーク
17サイバー攻撃の標的となるクライアントPC（在宅勤務）「クライアントPC」は、さまざまな情報にアクセスできるので、サイバー攻撃のターゲットになりやすいです。そんなクライアントPCが在宅勤務用に急遽、一斉に持ち出されたことで、さらにリスクが高まっています。
標的型攻撃ランサムウェア

抜き取り

PCの脆弱性を利用し侵入

テレワークで使っているクラウドサービスへ侵入

身代金

関係者を装ったメール

抜き取り

フィッシング攻撃

ID・パスワードを抜き取り

テレワーク中のPC

古いVPN装置の脆弱性を利用

テレワーク中のネットワーク環境を狙った攻撃
18

ゼロトラストでは、クライアントPCのセキュリティ対策が極めて重要

これから（ゼロトラスト）は組織内／外に関わらず個々のエンドポイント・セキュリティが必要

IT資産管理

ログ管理

利用するエンドポイント（デバイス）の把握管理するデバイスを把握し、管理外の信頼できないシャドーITを排除

Windows 10、Microsoft 365
アップデート支援

OSやアプリケーションの更新プログラム適用の徹底

脆弱性対策として、OSやアプリケーションを最新の状態に保つ

ITセキュリティ対策強化（連携）

EDR製品等の導入

アンチウイルス機能だけでなく、未知の脅威に対する振る舞い検知や、検知後の駆除や調査にも対応

19安全なPCはIT資産把握とセキュリティパッチの適用の徹底から

20

組織を狙ったランサムウェアの身代金の額は、急騰しています
以前のランサムウェアは主に個人を狙っていたため、感染した場合の被害額は数十万円程度でした。ところが2020年下半期より、さらに攻撃が巧妙になり、より高額の身代金を要求される事例が報告されています。

2020年7月 アメリカ

2020年10月 欧州

2020年10月 ドイツ

1,000万ドルを要求。

同じ犯罪グループにより、二度感染。

盗み出した顧客データをダークウェブ上で公開。

要求に応じなかったため、顧客向けサービスが5日間停止。

1,400万ドルを要求

ランサムウェア感染で2019年12月
事業廃止※画像引用元：Wood Ranch Medical ホームページ

2,300万ドルを要求

ランサムウェアに感染した場合、倒産のリスクもあります21

「テレワークを行う際のセキュリティ上の注意事項」

更新日：2020年9月14日
IPA（独立行政法人情報処理推進機構）
セキュリティセンター

テレワークを行う際のセキュリティ上の注意事項として、IPAより以下の項目が示されています。

1.修正プログラムの適用

2.セキュリティソフトの導入および定義ファイルの最新化
3.パスワードの適切な設定と管理
4.不審なメールに注意5.USBメモリ等の取り扱いの注意
6.社内ネットワークへの機器接続ルールの遵守
7.ソフトウェアをインストールする際の注意
8.パソコン等の画面ロック機能の設定

真っ先に挙げられているのが「修正プログラムの適用」です22修正プログラムが公開された脆弱性は、狙われやすいです
以前はセキュリティパッチが未公表の脆弱性を悪用したゼロディ攻撃が話題となっていましたが、近年は効率よく儲けるために、公開されてすぐの脆弱性を攻撃するプログラムを開発することが多いです。そして、開発された攻撃用プログラムは、ダークウェブ上で販売されます。

脆
弱性発
見プ
ロ脆
グ弱ラ性
ム・
公修
正
表

攻撃用プログラムの開発、販売

修正プログラムの検証

組
織内への配
布

脆弱性対策に時間がかかるほど、狙われやすくなります23

「修正プログラムの適用」の実態
Windows 10機能更新プログラム公表後の適用率の調査結果では、10日後に8.8％、半年後で46.4％です。
公表から10日後で公表から半年後で8.8％

46.4％（37.6+8.8）
PCを使うときに急にWindows Updateが始まると仕事にならない。
後でやろうと思っていたけど、つい忘れる…。

※出典：AdDuplex 「AdDuplex Report for November 2020」 https://reports.adduplex.com/#/r/2020-1124

「修正プログラムの適用」は、ネットワーク上の全てのPCに必要
サイバー攻撃において、攻撃者はインターネットを介して組織内のネットワークに侵入し、ハッキング技術を用いて侵入範囲を拡大します。脆弱性があると、攻撃者による侵入や侵入範囲の拡大が行いやすくなります。

ＶＰ
Ｎ

ＶＰ
Ｎ

25

OSだけでなく、アプリケーションも最新の状態に脆弱性が残された状態だと不正アクセスに利用されたり、マルウェアに感染する危険性があります。
脆弱性を利用した攻撃を防ぐためにも、管理しているPCのOS、インストールされているアプリケーションなどは最新の状態にしておく必要があります。
Windows
品質更新プログラム

Windows 10
機能更新プログラム

ウイルス対策ソフトウェア

Web会議システム

業務アプリケーション

オフィスソフトウェア
VPN接続用アプリケーション
26

組織を守るためには組織がPCを安全に維持することが重要

27「テレワークセキュリティガイドライン」
テレワークの場合、オフィスと離れた場所で作業を行うため、通信経路上のリスクがあります。また、作業を行う端末から、情報が盗まれてしまう可能性があります。
こういったリスクを考慮して、総務省にて「テレワークセキュリティガイドライン」が定められています。現在の最新版は、2018年4月に策定された第4版です。

通信経路上のリスク

テレワーク端末上のリスク
参考：総務省「テレワークセキュリティガイドライン」第4版 https://www.soumu.go.jp/main_content/000545372.pdf

28

セキュリティ対策のポイント

参考：総務省「テレワークセキュリティガイドライン」第4版 https://www.soumu.go.jp/main_content/000545372.pdf「テレワークセキュリティガイドライン」では、それぞれの立場ごとにポイントがまとめられています。
項目数
経営者

５

システム管理者

１８

テレワーク勤務者

２０

離れた・見えない場所で業務を行うため、テレワーク勤務者に求められる対策が多いです。
できるかな…

29テレワーク勤務者に求められる対策（例）参考：総務省「テレワークセキュリティガイドライン」第4版 https://www.soumu.go.jp/main_content/000545372.pdf

テレワーク作業中は、利用する情報資産の管理責任を自らが負うことを自覚し、情報セキュリティポリシーが定める技術的・物理的及び人的対策基準に沿った業務を行い、定期的に実施状況を自己点検する。

がんばる！

第三者と共有する環境で作業を行う場合、端末の画面にプライバシーフィルターを装着したり、作業場所を選ぶ等により、画面の覗き見防止に努める。
作業開始前に、テレワーク端末にウイルス対策ソフトがインストールされ、最新の定義ファイルが適用されていることを確認する。

マルウェア感染を防ぐため、ＯＳやブラウザ（拡張機能を含む）のアップデートが未実施の状態で社外のウェブサイトにはアクセスしない。

拡張機能？

無線LAN利用に伴うリスクを理解し、テレワークで利用する場合は確保すべきセキュリティレベルに応じた対策が可能な範囲で利用する。

わかりません30

テレワーク勤務者に、ガイドラインを遵守いただくためにガイドラインは、方向性を示すものなので具体的な作業については書かれていません。遵守するために具体的にどうすればいいのか、どこまでが必須なのか、手順書や基準を示すことも有効です。

どうすればいいのかわかりません

組織の現状に合わせた手順書どこまでが必須かわかりません

業界団体等の公開情報を元に就業規則として基準を整備

例えば介護業界の場合、「令和元年度 業界団体連携によるテレワーク導入促進事業補助金（東京都産業労働局）テレワーク勤務規程」が公表されています。
http://kaiziren.or.jp/wp/wp-content/uploads/2020/03/syuugyoukisoku0318.pdf
31

組織からの貸与PCをつかうことで、セキュリティ対策の実現へわかりません

普段、情報システム部門が行っているような運用管理を、「全ての」テレワーク勤務者が「もれなく」実施することは困難です。
そのため、テレワークを実施する端末は、SKYSEA Client Viewのような運用管理ソフトウェアをインストールし、会社から貸し出すことが望ましいです。

貸与PC••••••

サポート中のOSが入っている。
ウイルス対策ソフトウェアが入っている。
会社が把握している機種なので、問い合わせ対応がスムーズ。
不要なアプリケーションが入っていない。
プライベートの個人情報が入っていない。
クライアント運用管理ソフトウェアを入れて、管理できる。

私物のPCを使うより、はるかに安全に業務を行えます32システムでできる対策は、システムで実施をクライアント運用管理ソフトウェアがあればできること
・ インストールするアプリケーションを限定できる。
・ ルール違反の操作を制限したり、アラートを表示できる。
・ リモートで更新プログラムの適用やアップデートを行える。
・ HDDの暗号化を徹底できる。
・ 業務外の作業を制限できる。
・ 万が一の際の証跡管理のため、ログを収集できる。
・ 使用する通信を、VPN等に制限できる。など
33

従業員の私物PCを用いて業務を行う場合
テレワークの方式によっては、私物のPCにデータを残さない仕組みを用いることで、私物PCを用いて安全に業務を行うことができます。業務で用いるシステムによっては利用できないことがあります。

１

リモートデスクトップ方式

私物PCにデータがない４

自宅に高速回線が必要

オフィスと同じ環境

セキュアブラウザ方式

私物PCにデータがない

自宅に高速回線が欲しい

クラウド
のみ使用可能２仮想デスクトップ方式

私物PCにデータがない

５

自宅に高速回線が必要

オフィスと同じ
環境

アプリケーションラッピング方式

私物PCにデータがない

自宅に高速回線が欲しい

コンテナ
対応しか使えない３

クラウド型アプリ方式

私物PCにデータを保存

６

クラウド
自宅にのみ高速回線が欲しい 使用可能

会社PCの持ち帰り方式

私物PCにデータがない

自宅の高速回線は不要

オフィスと同じ
環境

34

私物PCを利用する場合

私物リスク
例

ルールを利用者が守ることができたとしても、ログの収集や管理を組織で行うことはできません。

OK

リスクを許容できる情報資産だけで行える業務は私物PCで扱う

NG
リスクを許容できない
情報資産を扱う業務はデータを持ち出さずに行う
35

シンクライアントシステムなら、私物PCで安全にテレワーク組織内に設置されたサーバー（またはクラウド）上の仮想デスクトップに、遠隔でログインして利用する方法です。
扱うデータはすべてサーバー上に保存されるため、セキュリティ面でメリットが大きい手法です。また、仮想デスクトップはWindows OSを搭載できるので、Windowsの業務システムを使うことができます。

自宅

組織内
仮想デスクトップ

画面イメージのみ

私物

36個人まかせではないPCで安全にテレワークの実現を
在宅勤務の増加でPCはこれまで以上に狙われています。そのため、求められる情報セキュリティ対策は、より複雑になっています。PCを組織から支給してシステムで管理したり、BYODの際にはPC内にデータを残さないようにしたりすることで、必要な情報セキュリティ対策の徹底を支援できます。

システムでカバー• 脆弱性対策• USBメモリの管理• 業務システム、操作ログの収集• HDDの暗号化の徹底• 使用する通信をVPNに制限• インストールするアプリケーションを限定• エンドポイントセキュリティなどによる多層防御• PC内のデータ非保持 など

10%

個人の意識リテラシー• セキュリティ研修など

90%
37

組織から支給するPCの私物PCにデータを保存しない

情報漏洩対策とIT運用管理に安全なBYODの実現に

SKYSEA Client View

SKYDIV Desktop Clientご清聴ありがとうございました3939

東京本社〒108-0075 東京都港区港南二丁目16番1号 品川イーストワンタワー15F
TEL : 03-5796-2752 FAX : 03-5796-2977

大阪本社〒532-0003 大阪市淀川区宮原3丁目4番30号 ニッセイ新大阪ビル20F
TEL : 06-4807-6374 FAX : 06-4807-6376

札幌支社 仙台支社 横浜支社 三島支社 名古屋支社 神戸支社 広島支社
松山支社 福岡支社 沖縄支社

●SKYSEA、SKYSEA Client View、SKYDIV および SKYDIV Desktop Client は、Ｓｋｙ株式会社の登録商標です。●その他記載されている会社名、商品名は、各社の登録商標または商標です。●本文中に記載されている事項の一部または全部を複写、改変、転載することは、いかなる理由、形態を問わず禁じます。●本文中に記載されている事項は予告なく変更することがあります。