監修：REIWAネットワークサービス担当（NTT東日本）

拠点間通信の必要性が高まるなか、VPN（Virtual Private Network）はビジネスの根幹を支える不可欠なインフラとなりました。「VPNを使っていれば安心」と思われがちですが、実はVPNそのものや運用方法に潜むリスクも存在します。

本記事では、VPNの基本的な仕組みから、見落としがちな4つのセキュリティリスク、安全性を最大化するための対策までを徹底解説します。

１．VPNの安全性と仕組み

VPNは、安全に通信するための技術です。VPNを構成するセキュリティ技術によって、認証されていない第三者の不正アクセスを防げます。しかし、VPNの仕組みは万能ではありません。本章で、VPNの安全性について正確に理解しましょう。

1-1. VPNの基本と利用シーン

VPNは、インターネットや閉域ネットワーク上に仮想の専用線を構築して通信する技術です。VPNによって構築された専用線は接続できる人物が制限されているため、悪意ある第三者の不正アクセスから通信を保護できます。

ただし、VPNは不正アクセスを防ぐ技術であり、コンピューターウイルスを駆除するものではありません。そのため、事業でVPNを利用する際は、さまざまな情報セキュリティ対策を講じる必要があります。

1-2. 3つの接続方式と安全性の違い（インターネットVPN・IP-VPN・広域イーサネット）

VPNには大きく分けて「インターネットVPN」と「閉域網VPN（IP-VPN、広域イーサネット）」があります。それぞれの接続方式の特徴は以下のとおりです。

インターネットVPNは既存のネット回線を利用するため導入が容易ですが、不特定多数が利用する公衆網を経由する性質上、DDoS攻撃や通信傍受の標的になりやすい側面があります。対して、IP-VPNや広域イーサネットなどの閉域網は、インターネットから物理的に隔離された事業者独自のネットワークを利用します。外部からの侵入経路が存在しないため、サイバー攻撃のリスクを減らし、強固なセキュリティを確保することが可能です。

なお、IP-VPNと広域イーサネットの主な違いは、通信プロトコルの自由度と管理レイヤーにあります。IP-VPN（レイヤー3）は事業者がルーティングを管理するため、運用負荷を軽減できます。一方、広域イーサネット（レイヤー2）は自由なネットワーク設計が可能ですが、自社での高度な管理スキルが必要です。

1-3. 安全を守る3つの技術（トンネリング・暗号化・認証）

VPNは、以下のとおり3つの技術から構成されます。

上記のとおり、VPNは第三者の不正アクセスを防止できます。しかし、コンピューターウイルスに対しては防御力がありません。また、VPNを閉域網に構築するかどうかによって安全性は変わります。

２．VPNに存在する4つの情報セキュリティリスク

VPNは、認証された人物（あるいは通信地点間で）が安全に通信するための技術です。しかし、VPNのセキュリティには欠点があります。本章で、VPNに存在する情報セキュリティリスクを理解しましょう。

2-1. フリーWi-Fi利用時のパスワード・情報漏えい

フリーWi-Fiを利用してVPNに接続する場合、認証情報（IDやパスワード）が漏えいするリスクがあります。フリーWi-Fiと通信端末間の通信が暗号化されていない場合、悪意ある人物にVPNの認証情報を盗まれる可能性があります。

VPNの認証情報を盗まれてしまうと、通信を暗号化する意味がなくなってしまいます。そのため、ノマドワーキング制度（フリーWi-Fiのある場所や自宅で働く方法）の導入を考えている方は、認証情報の漏えいに注意が必要です。

2-2. VPN機器の脆弱性（セキュリティホール）への攻撃

VPN機器自体にセキュリティホールが存在する場合、そこからシステムが攻撃され、アクセスに必要な認証情報を盗まれる可能性があります。なお、セキュリティホールとは、VPN機器を動作させるプログラムの不具合や設計上のミスです。

例えば、VPNを導入している会社が、機器メーカーの提供するアップデートを見落としたり無視したりしていた場合、脆弱性を放置したままの運用になってしまいます。脆弱性を放置したままVPNを運用していては、安全な通信を確立できません。

2-3. OSやブラウザなどの設定不備による不正アクセス

接続に使用する通信端末（スマートフォン、タブレット、ノートパソコンなど）に脆弱性がある場合、VPNに不正アクセスされる可能性があります。特に、BYOD（個人所有の端末を業務で使用すること）を導入しようと考えている場合は注意が必要です。

従業員が会社のデータベースなどにアクセスした際に、通信端末に紛れ込んでいたコンピューターウイルスに感染してしまう可能性があります。通信端末の「セキュリティが正常か」「コンピューターウイルスに汚染されていないか」をVPNへ接続する前に確認する必要があります。

2-4. 端末（エンドポイント）からのマルウェア感染

会社内でVPNの運用ルールを徹底していない場合、ソーシャルエンジニアリングによって、不正アクセスされたりコンピューターウイルスに汚染させられたりする可能性があります。ソーシャルエンジニアリングとは、人間の心理的な隙や行動のミスからVPN接続の認証情報を盗み出す攻撃方法です。

例えば、従業員が道端に落ちていたUSBメモリを拾い、持ち主を調べるためにパソコンへ接続するとします。その後、パソコンをVPN接続で利用した際に、USBメモリに入っていたコンピューターウイルスに感染するといったケースが考えられます。

３．VPNを安全に利用するための7つのセキュリティ対策

VPNには、複数のセキュリティリスクが存在します。しかし、それぞれのリスクへ適切に対処すれば、問題なくVPNを運用できます。本章でVPNの情報セキュリティ対策を理解し、実務において実践できるようになりましょう。

3-1. VPN機器のファームウェアやOSを常に最新にする

VPN機器の脆弱性を突いた攻撃を防ぐには、機器本体のOSだけでなく、内部で動作を制御しているファームウェアの更新作業が不可欠です。

サイバー攻撃者は常に最新の脆弱性を探しています。メーカーから修正パッチや最新ファームウェアが提供されたら、速やかにアップデートを適用する運用フローを構築しましょう。

3-2. 多要素認証（MFA）を導入して認証を強化する

不正アクセスを防止するため、VPNの認証を強化しましょう。VPNは、一種のファイアウォールです。一度不正アクセスされてしまうと、内部からはすぐに対処できません。そのため、不正アクセス自体をまず防止する必要があります。

なお、不正アクセスの防止には、多要素認証（知識情報・所持情報・生体情報を複数組み合わせる方法）の導入が効果的です。SMSによるワンタイムパスワードの送付や指紋認証を、VPN接続に取り入れましょう。

3-3. 通信ログの監視・分析を定期的に行う

「誰が、いつ、どこから」アクセスしたかのログを記録し、定期的にチェックしましょう。深夜帯の不自然なアクセスや、海外からのログイン試行などを早期に検知できれば、被害が拡大する前にアカウント停止などの迅速な対策を講じることが可能です。

また、詳細なログの蓄積は、インシデント発生時の原因究明や法的証跡としての役割も果たし、企業のガバナンス強化やコンプライアンス遵守といった信頼性の維持にもつながります。

3-4. インターネットから分離された「閉域網」を構築する

セキュリティ対策をより確実なものにするには閉域網（IP-VPNや広域イーサネットなど）を利用することが有効です。公衆網から隔離されているため、外部からのスキャンや攻撃を受けるリスクを根本から排除できます。

特に機密性の高いデータをやり取りする拠点間通信において、閉域網の構築は企業の重要資産を守る防壁となり、安全な通信インフラの実現に貢献します。

3-5. 明確なセキュリティポリシーを策定・周知する

VPNの利用ルールを決めて、従業員の情報セキュリティ意識を向上させましょう。情報セキュリティ意識を向上させるためには、日頃から「VPNは万能ではない」と利用者全員が理解しておく必要があります。なお、VPNの利用ルールは以下のような項目を取り決め、徹底する必要があります。

• VPNはフリーWi-Fiで利用しない
• 決められた通信手順を守る
• 認証情報の管理と更新

加えて、情報セキュリティ意識を向上させるために、セミナーを開催しましょう。セミナーを定期的に開催することで、VPN利用者の慣れや油断に起因するセキュリティ事故を軽減できます。

3-6. 通信機器の適切な設定・管理を徹底する

通信端末自体のセキュリティ強度を向上させるために、MDM・MAM・MCMを徹底しましょう。

上記の対策を徹底することで、通信端末の問題によるセキュリティ事故を減らせます。

3-7. エンドポイントセキュリティ（EDRなど）を導入する

VPNという通信経路の保護だけでなく、接続する端末（エンドポイント）そのものの防御を固めることが重要です。従来のような「境界線で守る」考え方では、巧妙化するサイバー攻撃を完全に防ぐことはできません。

従来のアンチウイルスソフトに加え、EDR（Endpoint Detection and Response）の導入を検討しましょう。EDRは、万が一端末がマルウェアに感染してしまった際、その挙動をリアルタイムで検知し、迅速な封じ込めや原因調査を支援する技術です。

４．高速かつセキュアな「閉域VPN」ならNTT東日本の「フレッツ・VPN アドバンス」

ここまで解説してきたとおり、VPNを安全に運用するには脆弱性の管理や端末対策に加えて、そもそも攻撃を受けにくいネットワーク環境を選ぶことが重要です。そこでおすすめのサービスが、NTT東日本の「フレッツ・VPN アドバンス」です。

フレッツ・VPN アドバンスは、インターネットから遮断された閉域網を利用するため、外部からの不正アクセスやDDoS攻撃を物理的に寄せ付けません。また、クラウド上での一括管理や、現地設定が不要なZTP（ゼロタッチプロビジョニング）機能により、設定ミスや運用負荷を大幅に軽減。最大概ね10Gbpsの高速通信（※1）にも対応し、強固なセキュリティと快適な通信環境を両立します。

運用管理に不安がある方や、よりセキュアな環境への移行を検討中の企業様に最適な次世代VPNサービスです。

※1　最大概ね10Gbpsの高速回線をご利用いただくには、フレッツ 光クロス、およびフレッツ 光クロス Biz回線のご契約が必要です。

技術規格上の最大値であり、実効速度ではありません。

「フレッツ・VPN アドバンス」の詳細はこちら

まとめ

VPNはトンネリングや暗号化といった技術で通信を保護しますが、決して万能ではありません。機器の脆弱性や設定不備、端末のマルウェア感染など、リスクは多岐にわたります。これらすべてに自社のみで対応するには、膨大なコストと専門的なノウハウが必要です。

セキュリティ対策や運用管理のリソース不足を感じているのであれば、NTT東日本の「フレッツ・VPN アドバンス」のような閉域網VPNの活用が効果的です。インターネットから隔離された安全なネットワーク基盤を導入することで、脅威を未然に防ぎつつ、運用の手間も軽減できます。リスクを正しく理解したうえで、自社の環境に最適なVPNサービスを選びましょう。   

関連サービス

資料ダウンロード

関連するコラム

• コラムをもっと読む