節電・在宅勤務・事業継続：
ガイドブック公開に向けた２年間の活動報告

2013年6月7日
NPO日本ネットワークセキュリティ協会（JNSA）
在宅勤務における情報セキュリティ対策検討ワーキンググループ
リーダー 冨田高樹（みずほ情報総研株式会社）
Copyright © 2013 Japan Network Security Association

はじめに• 本講演は、社会活動部会 在宅勤務における情報セキュリティ対策検討ワーキンググループが２年にわたり行ってきた活動を紹介するものです。
• ガイドブックについては以下をご参照ください。
『オフィスの節電と在宅勤務における事業継続・情報セキュリティ対策ガイドブック』公開ページ
http://www.jnsa.org/result/2012/zaitaku_guide.html• 本日の発表内容：– ワーキンググループの活動内容– 活動を通じて明らかになったこと

Copyright © 2013 Japan Network Security Association2

Part 1
ワーキンググループの活動内容

Copyright © 2013 Japan Network Security Association3

きっかけ• ３・１１東日本大震災– 通勤できない！（計画停電＆節電ダイヤ）– 緊急避難的な在宅勤務→セキュリティ対策は？

• ３回の節電要請– 2011年春期（関東+東北、計画停電実施）– 2012年夏期（関東、電気使用制限等規則発動）– 2013年夏期（関西、節電要請）→セキュリティを担保しつつ、節電するには？
Copyright © 2013 Japan Network Security Association4WGの結成と活動• 節電対策／在宅勤務対策に関して、JNSAとしてできることがあるのではないか？
– 会員のノウハウを公表すれば役に立つはず– 各社のソリューション告知媒体として使ってもらってもよい• 活動経緯– 2011年6月8日– 2011年6月13日– 2011年6月16日– 2011年7月1日– 2012年6月20日– 2012年7月13日

JNSA定時総会（懇親会）で呼びかけ作業用Wiki設置
第１回会合
ガイドライン公開
第２回会合
改訂版公開

Copyright © 2013 Japan Network Security Association5

WG参加企業• ガイドブック作成にあたり、以下の各社メンバーのご協力を賜りました。ここに心より御礼申し上げます。
株式会社アーク情報システム
アルプスシステムインテグレーション株式会社
伊藤忠テクノソリューションズ株式会社
株式会社インフォセック
SCSK株式会社
株式会社エヌ・ティ・ティ・データ
F5ネットワークスジャパン株式会社
株式会社OSKクオリティ株式会社
サイバーソリューション株式会社
株式会社JMC

株式会社シマンテック
ソフトバンク・テクノロジー株式会社
トレンドマイクロ株式会社
日本 CA 株式会社
日本アイ・ビー・エム株式会社
日本アイ・ビー・エムシステムズ・エンジニアリング株式会社
富士通株式会社
富士通エフ・アイ・ピー株式会社
株式会社富士通ソーシアルサイエ
ンスラボラトリ
株式会社メトロ株式会社ラック（社名五十音順）

Copyright © 2013 Japan Network Security Association

6成果物の作成• 2011年度：「オフィスの節電対策のための在宅勤務における情報セキュリティ対策ガイドブック」– 安全な在宅勤務の方法– 使用する機器やサービスにおける情報セキュリティ対策– 在宅勤務の導入事例紹介– WG参加企業によるソリューション紹介• 2012年度：「オフィスの節電と在宅勤務における事業継続・情報セキュリティ対策ガイドブック」– 事業継続の視点から在宅勤務の方法を整理– オフィスの節電対策に関する説明を追加

Copyright © 2013 Japan Network Security Association

7

これまでの在宅勤務との違い• これまで： 育児や介護の希望をかなえる– 対策の検討に十分な時間をかけることができた– 様々な条件を承諾する従業員のみを対象– 従業員側からも、多くの協力を期待できた• 今回： 事業継続ないしオフィスの節電– 十分な準備期間を確保できない– 従業員が希望しているとは限らない– それでも、事故を起こしてはならないのは同じ
Copyright © 2013 Japan Network Security Association

8

在宅勤務導入の論点① 在宅勤務を指示すべきかどうか– 他の手段（時差勤務、自家発電）と比較して最良か？

② 在宅勤務でどのような作業をしてもらうか– 成果と比較して、リスクが大きすぎることはないか？

③ 情報資産の持出しを認めるかどうか– 社内で情報資産が識別され、手続きが存在するか？

④ 在宅勤務の方法として、どの手段を認めるか– 目的に応じた最適な手段は何か？
Copyright © 2013 Japan Network Security Association9情報を持ち出す／持ち出さない？
情報を持ち出すことの利点と欠点
利点• 特別な仕組みが不要• コストが少なくて済む• 早期に実施可能• BCP的に有利な場合あり（オフィス被災時等）• 自宅のネットワーク性能は低くてもよい

欠点• 情報漏えいリスク大• 情報消失リスク大• 情報資産の把握が難しくなる（複製、副産物）• 持ち出し管理の負荷大• 持ち出した範囲の作業しかできない

Copyright © 2013 Japan Network Security Association

10在宅勤務で理解すべきこと• 情報資産を守る責任を自分が負うことになる– 会社では組織的対策が講じられている部分の多くを自分で守る必要がある– 事故時のリスクについての理解→リスクを負える範囲で業務遂行するのが理想• 家庭への配慮が必要– くつろぎの場に「作業環境」を持ち込むことの説明– ＰＣやＬＡＮのセキュリティ確保への協力要請

Copyright © 2013 Japan Network Security Association

11

「持ち出さない」方法• 情報資産を持ち出さなくても可能な作業のみを行う→在宅勤務で可能な作業を限定• 情報資産を自宅に持ち出さなくても、情報にアクセスできる方法を提供する→リモート作業環境（シンクライアント等）を使う
Thin Client

Copyright © 2013 Japan Network Security Association

12

「持ち出して」行う方法• 作業環境ごと持ち出す→職場の機器（モバイルPC等）の持ち出し• 情報資産のみを電子媒体で持ち出す→自宅の私物PCでの作業• 書類を持ち出す→紙媒体の情報管理（主に自宅での廃棄に注意）
Copyright © 2013 Japan Network Security Association

13

職場の機器の持ち出し• 機器持ち出しに関する対策のポイント– 機器の暗号化→モバイルPCの盗難・紛失による情報漏えい防止– 外部接続のルール策定→自宅でのインターネット接続を許可するか？
– 外部書き出しの制御→モバイルPCからの私物USBメモリ等への書き出しの防止
Copyright © 2013 Japan Network Security Association

14自宅の私物PCでの作業• 私物PCでの作業に関する対策のポイント– 情報資産の安全な移送→ USBメモリ、通信等でいかに安全に持ち帰るか– 私物PCの健全化→ マルウェア対策、アップデートの必要性– 情報資産の保存制限→ 私物PCに保存したままにしない– ネットワークの安全対策→ 無線LANからの情報漏えい防止
Copyright © 2013 Japan Network Security Association15紹介した方法のまとめ
利点

欠点

シンクライアント•情報を予め持ち出す必要がない•自宅側はPCでなくても、職場側のPC作業が可能•必ずネットワーク接続が必要•職場側の設備停止時は作業不可能

モバイルＰＣの持ち出し•自宅のICT環境に左右され•在宅勤務者分のモバイルないPCの調達が必要•PCに対策を施せば、一定の•通勤時のPC搬送が煩雑安全性が担保される私物ＰＣ利用

•事業継続の面からは有利な場合が多い（職場が停電、サーバが機能停止等の場合）•他の方法と比べ、安全性の担保が困難（強制できない）•従業員が所有しているPCの性能が生産性を左右Copyright © 2013 Japan Network Security Association

16

在宅勤務の標的型攻撃対策• 在宅勤務では標的型攻撃やフィッシング被害のリスク大– 発信者が「成りすまし」であっても気づきにくい– 気軽に相談できる同僚がいない• 対策– 電子メールの添付ファイルやリンクに注意– 添付ファイルには予め決めたパスワードを設定– 電子署名、S/MIME等を利用（対応できる場合）– 万一のため、パスワードの共用は避けておく
Copyright © 2013 Japan Network Security Association17

事故発生時の危機管理• 在宅勤務で事故が起きたら・・・– 事態の正確な把握– 事故拡大の防止（被害拡大を防ぐための対策）– 的確な情報発信（風評やデマの抑制）• 上記はいきなりできるものではない– 緊急体制の事前準備– 在宅勤務者を含む全従業員への教育– 事故を想定した訓練の実施
Copyright © 2013 Japan Network Security Association18

節電対策立案のポイント• まずオフィスの電力使用状況の可視化– 機器種類、設置場所、時間帯別使用傾向の把握• 節電計画の策定– 重要機器の除外– 機器リプレースの検討• 節電ポリシーの実行– PCはツールによる自動化が可能– 実施前と効果を比較し、PDCAサイクルで改善
Copyright © 2013 Japan Network Security Association

19

Part 2
活動を通じて明らかになったこと

Copyright © 2013 Japan Network Security Association20

関連するセミナー・講演等• ２０１１年度– JNSAセミナー：在宅勤務のセキュリティを考える！〜
JNSAガイドブックの解説と事例セミナー〜– 2011年日本ワーク/ライフ・バランス研究会
第三回勉強会– 取材対応（株式会社レビューマガジン）– 取材対応（株式会社リクルート キーマンズネット）• ２０１２年度– JNSAセミナー（東京）– JNSAセミナー（大阪）– JNSA賞受賞（ありがとうございます）
Copyright © 2013 Japan Network Security Association

21読者・聴衆の反応• 在宅勤務／テレワークのニーズは大きかった– ガイドブックに記載のソリューションの認知度は高くない（というより、これまで関心が無かった人がほとんど）– 急ぎの導入例が多く、製品を詳しく調べる余裕がない中でのガイドブックの提供は歓迎された模様• 対策は企業規模別に異なる– 大企業はシンクライアント主体– 中小企業はBYOD主体• 実はあの年の節電で、オフィスコストを大幅に節約できたらしい
Copyright © 2013 Japan Network Security Association22

ガイドブック公開後の動き• 総務省：テレワークセキュリティガイドライン– 第３版として改訂・公表（2013年3月29日）– 前版公表以降の6年間に普及したシンクライアント等、本ガイドブックで扱っている技術の活用等が示されるようになった– 組織のルールを決めるときに有用な記述が多く、ガイドブックと併用を推奨– 公表URL（情報流通行政局）
http://www.soumu.go.jp/main_content/000215331.pdf

Copyright © 2013 Japan Network Security Association23

今後について• ガイドブックの見直し（構想）– 「節電/停電対策」に関するニーズ低下への対応• 電力供給事情が大きく改善されたわけではないが…
• 状況が落ち着いたところで、節電限定の内容を付録に移動し、在宅勤務/テレワークと事業継続のガイドブックとしたほうが使いやすいかもしれない– 総務省テレワークセキュリティガイドラインへの対応• 同ガイドラインの推奨事項に対応したソリューションを紹介することも考えられる• 震災は過去のことではない– 被災地は東京の人が思う以上に復旧していません…
• 引き続きのご支援よろしくお願いいたします。
Copyright © 2013 Japan Network Security Association24

ありがとうございました

Copyright © 2013 Japan Network Security Association25