編集 NTT東日本編集部

近年では、新型コロナウイルス感染症の影響やICT（情報通信技術）の発達により、テレワークを導入する会社が増えています。テレワークは、主に自宅で業務を行うため感染症のリスクが抑えられるほか、オフィスの維持費や通勤費用の低減にもつながります。そのため、テレワークを導入しようと考えている企業は、多いのではないでしょうか。

しかし、テレワークは従業員によって就業環境が異なるため、業務の進捗管理が難しかったり、情報漏えいや不正アクセスのリスクが生じる可能性があります。そこで、今回の記事では、テレワークにおける不正アクセスや、情報漏えいのリスクを軽減するVPNの安全性について解説します。VPNの情報セキュリティ対策を理解できる内容になっているので、ぜひ最後までお読みください。

1.VPNの安全性について解説

VPNは、安全に通信するための技術です。VPNを構成するセキュリティ技術によって、認証されていない第三者の不正アクセスを防げます。しかし、VPNの仕組みは万能ではありません。本章で、VPNの安全性について正確に理解しましょう。

1-1.VPNとは

VPNは、インターネットや閉域ネットワーク上に仮想の専用線を構築して通信する技術です。VPNによって構築された専用線は接続できる人物が制限されているため、悪意ある第三者の不正アクセスから通信を保護できます。

また、VPNは従来の専用線と異なり、回線が冗長化（トラブルに備えて予備のシステムなどを用意しておく方法）されており、災害や回線トラブルに強くなっています。ただし、VPNは不正アクセスを防ぐ技術であり、コンピューターウイルスを駆除するものではありません。そのため、事業でVPNを利用する際は、さまざまな情報セキュリティ対策を講じる必要があります。

1-2.VPNの仕組み

VPNは構築や接続の仕組みによって、以下のとおり3種類に大別できます。

上記のとおり、VPNはどこに通信網を構築する仕組みかによって、特徴が異なります。

1-3.VPNの安全性

VPNは、以下のとおり3つの技術から構成されます。

上記のとおり、VPNは第三者の不正アクセスを防止できます。しかし、コンピューターウイルスに対しては防御力がありません。また、VPNを閉域網に構築するかどうかによって安全性は変わります。

2.VPNに存在する4つの情報セキュリティリスク

VPNは、認証された人物（あるいは通信地点間で）が安全に通信するための技術です。しかし、VPNのセキュリティには欠点があります。本章で、VPNに存在する情報セキュリティリスクを理解しましょう。

2-1.フリーWi-Fi利用時のパスワード漏えい

フリーWi-Fiを利用してVPNに接続する場合、認証情報（IDやパスワード）が漏えいするリスクがあります。フリーWi-Fiと通信端末間の通信が暗号化されていない場合、悪意ある人物にVPNの認証情報を盗まれる可能性があります。

VPNの認証情報を盗まれてしまうと、通信を暗号化する意味がなくなってしまいます。そのため、ノマドワーキング制度（フリーWi-Fiのある場所や自宅で働く方法）の導入を考えている方は、認証情報の漏えいに注意が必要です。

2-2.VPN機器の脆弱性

VPN機器自体にセキュリティホールが存在する場合、そこからシステムが攻撃され、アクセスに必要な認証情報を盗まれる可能性があります。なお、セキュリティホールとは、VPN機器を動作させるプログラムの不具合や設計上のミスです。

例えば、VPNを導入している会社が、機器メーカーの提供するアップデートを見落としたり無視したりしていた場合、脆弱性を放置したままの運用になってしまいます。脆弱性を放置したままVPNを運用していては、安全な通信を確立できません。

2-3.接続する通信端末の脆弱性

接続に使用する通信端末（スマートフォン、タブレット、ノートパソコンなど）に脆弱性がある場合、VPNに不正アクセスされる可能性があります。特に、BYOD（個人所有の端末を業務で使用すること）を導入しようと考えている場合は注意が必要です。

従業員が会社のデータベースなどにアクセスした際に、通信端末に紛れ込んでいたコンピューターウイルスに感染してしまう可能性があります。通信端末の「セキュリティが正常か」「コンピューターウイルスに汚染されていないか」をVPNへ接続する前に確認する必要があります。

2-4.ソーシャルエンジニアリングによる汚染

会社内でVPNの運用ルールを徹底していない場合、ソーシャルエンジニアリングによって、不正アクセスされたりコンピューターウイルスに汚染させられたりする可能性があります。ソーシャルエンジニアリングとは、人間の心理的な隙や行動のミスからVPN接続の認証情報を盗み出す攻撃方法です。

例えば、従業員が道端に落ちていたUSBメモリを拾い、持ち主を調べるためにパソコンへ接続するとします。その後、パソコンをVPN接続で利用した際に、USBメモリに入っていたコンピューターウイルスに感染するといったケースが考えられます。

3.VPNの情報セキュリティリスクに対する7つの対策

VPNには、複数のセキュリティリスクが存在します。しかし、それぞれのリスクへ適切に対処すれば、問題なくVPNを運用できます。本章でVPNの情報セキュリティ対策を理解し、実務において実践できるようになりましょう。

3-1.VPNの利用ルールを決める

VPNの利用ルールを決めて、従業員の情報セキュリティ意識を向上させましょう。情報セキュリティ意識を向上させるためには、日頃から「VPNは万能ではない」と利用者全員が理解しておく必要があります。なお、VPNの利用ルールは以下のような項目を取り決め、徹底する必要があります。

• VPNはフリーWi-Fiで利用しない
• 決められた通信手順を守る
• 認証情報の管理と更新

加えて、情報セキュリティ意識を向上させるために、セミナーを開催しましょう。セミナーを定期的に開催することで、VPN利用者の慣れや油断に起因するセキュリティ事故を軽減できます。

3-2.VPN機器の定期的なアップデート

VPN機器のシステムを定期的にアップデートして、セキュリティホールから攻撃されるリスクを低減しましょう。常に最新のアップデートを利用するためには、VPN機器メーカー公式サイトの定期的なチェックが重要です。加えて、IPA（独立行政法人情報処理推進機構）の公式サイトで、他社のセキュリティ事故や被害状況を確認しましょう。

3-3.VPN接続に多要素認証を導入

不正アクセスを防止するため、VPNの認証を強化しましょう。VPNは、一種のファイアウォールです。一度不正アクセスされてしまうと、内部からはすぐに対処できません。そのため、不正アクセス自体をまず防止する必要があります。

なお、不正アクセスの防止には、多要素認証（知識情報・所持情報・生体情報を複数組み合わせる方法）の導入が効果的です。SMSによるワンタイムパスワードの送付や指紋認証を、VPN接続に取り入れましょう。

3-4.通信端末自体のセキュリティ対策

通信端末自体のセキュリティ強度を向上させるために、MDM・MAM・MCMを徹底しましょう。

上記の対策を徹底することで、通信端末の問題によるセキュリティ事故を減らせます。

3-5.BYODを禁止してVPN接続専用の端末を支給

BYOD（従業員が個人で所有する通信端末を業務に使う方法）は情報セキュリティ上のリスクが高いため、専用の端末を支給してVPNを運用しましょう。BYODのセキュリティリスクが高い理由は、以下のとおりです。

• MDM・MAM・MCMの導入が難しくセキュリティ品質を統一できない
• 個人的な利用によりコンピューターウイルスに感染する可能性がある

会社支給の端末でVPN接続する場合、MDM・MAM・MCMによってセキュリティ品質を統一できます。また、セキュリティソフトウェアやフィルタリング機能を導入することで、コンピューターウイルスの感染を防げます。

3-6.ソーシャルエンジニアリング対策を行う

ソーシャルエンジニアリングによるセキュリティ事故を防ぐために、定期的に講習やセミナーを開催しましょう。講習やセミナーでは、以下のような注意点について解説する必要があります。

• 情報媒体を拾わない、中身を確認しない
• メールに認証情報を記載しない、電話で話さない
• 認証情報を入力する際は周囲を確認する
• 機密情報を廃棄する際は、シュレッダーにかけたり溶解したりする

また、講習やセミナーの開催だけでなく、朝礼や全社集会などで注意喚起したり社内メールや掲示板で注意点を告知したりするのも効果的です。

3-7. 情報セキュリティ対策を行っている会社に外注する

VPNのセキュリティ対策に自信がない場合は、外注会社に依頼しましょう。VPNのセキュリティ対策は、設備・通信端末・利用者の意識など対象が多岐にわたります。そのため、専門知識とノウハウがなければ、VPNのセキュリティ対策を完璧に行えません。また、自社でVPNの認証やセキュリティ機能の追加をするには、時間と手間がかかります。そこで情報セキュリティ対策を外部に依頼すれば、外注先のノウハウが得られます。

4.VPNの安全性に不安があるならNTT東日本の「ギガらくVPN」がおすすめ

自社内のリソースが足りず、VPNの情報セキュリティ対策をできない方は「ギガらくVPN」の導入がおすすめです。「ギガらくVPN」は、NTT東日本のオペレーターが通信設定を遠隔で調整するため、専門知識やノウハウなしで、VPNを導入管理できます。

なお「ギガらくVPN」は、L3・L7ファイアウォール（アクセス制御と監視）と802.1x認証（端末の認証と制御）を基本機能として提供しています。そのため「ギガらくVPN」を利用することで、安全な通信が可能です。

また、ヘルプデスクによるトラブルサポートや訪問修理を提供しているため、通常時もトラブルが発生した際も安心してVPNを利用できます。テレワークの導入を考えている企業は「ギガらくVPN」を検討してみてはいかがでしょうか。

• 故障連絡受付から現地までの駆けつけ時間および回復時間を保証するものではありません。
• 故障の原因がお客さまの責任による場合、別途費用がかかります。

「ギガらくVPN」の詳細はこちら

5.まとめ

VPN（仮想専用線）は、トンネリング（仮想の直通回線を確立する技術）・カプセル化（通信データを加工して保護する技術）・暗号化で安全な通信網を構築する技術です。しかし、VPNの情報セキュリティは万能ではありません。利用方法・機器や通信端末の脆弱性など、さまざまな箇所にリスクが潜んでいます。しかし、VPNのセキュリティリスクに自社で対応するためには、コストとノウハウが必要です。

そこで、VPNのセキュリティ対策にリソースを割けない方は「ギガらくVPN」への外注がおすすめです。「ギガらくVPN」へ外注すれば、自社で情報セキュリティ対策を行う必要がありません。

「ギガらくVPN」の詳細はこちら

なお、より低コストでVPNを導入したい方には、フレッツ・VPNワイドがおすすめです。

フレッツ・VPNワイドの詳細はこちら

また、大容量かつ高速な通信を実現したい方には、フレッツ・VPNプライオをおすすめします。

フレッツ・VPNプライオの詳細はこちら

関連サービス

資料ダウンロード

関連するコラム

• コラムをもっと読む