COLUMN

2022.06.01 ｜ Writer：NTT東日本　アベ

テレワークのセキュリティ事故の事例5つ｜原因から学ぶ対策法を紹介

「テレワークが増えているけれど、セキュリティ事故は起こっているの？」

「テレワークで起こったセキュリティ事故にはどんなものがあるの？」

新型コロナウイルス感染予防もあり、テレワークを進める企業が増えていますが、テレワーク実施の際に心配になるのがセキュリティ事故です。

国内で起こったテレワーク時のセキュリティ事故の事例は次のようなものがあります。

上記の事故は一例にすぎません。

テレワークを行う中で、様々なセキュリティ事故が起こっているのです。

テレワークを今後続けていく上で、すでに起こってしまったセキュリティ事故について知らなくては、自社に起きそうなセキュリティ事故を予測し、必要な対策をきちんととることはできません。

適切なセキュリティ対策を行わないままでは、大きな事故を起こし、大問題となってしまうこともあるのです。

そこでこの記事では、テレワークで起こったセキュリティ事故、その対策について、以下のような点を解説します。

これを読んで、テレワーク時のセキュリティ事故や、それを防ぐための対策についてきちんと知っておくことで、今後自社でテレワーク時に行うべき対策がしっかりわかります。

そして適切なセキュリティ対策を実施することで、テレワークでもしっかりと情報を守り、安全に進めることができるようになるのです。

この記事があなたの会社のセキュリティ対策に役立てば幸いです。

1.【2022最新】テレワークによるセキュリティ事故の事例5つ

テレワークを実施している企業は多いものですが、セキュリティ対策が万全でなかったことで、セキュリティ事故を起こしてしまっている事例もあるのをご存知でしょうか？

テレワークは、時間や場所を有効活用し、柔軟でバランスの取れた働き方を実現するためにとても役立つ働き方です。

しかし、決まったオフィス以外の場所で仕事を進めることで、今までと同じセキュリティ対策だけでは対策が足りておらず、重大なセキュリティ事故を起こしてしまうことがあるのです。

テレワーク時のセキュリティ事故対策について考える前に、まずは最新のセキュリティ事故の事例について確認し、対策の必要性について見直してみることにしましょう。

テレワーク時に起こったセキュリティ事故の事例は、次のようなものがあります。

それぞれの事例について詳しくみていきましょう。

1-1.パターン①　ウイルス感染によって情報流出

セキュリティ事故の中でも被害が大きく、企業の信頼性にも大きなダメージを与えるのが個人情報流出です。

守られるべき個人情報がウイルス感染によって流出してしまうパターンは多く見られます。

ウイルスに感染する経路はWebにアクセスする、ファイルをダウンロードしてしまうなど様々ありますが、テレワーク時は通信環境が社内ほどセキュリティ対策されていないことなどから、ウィルス感染の危険性が高まります。

詳細な事例についてみていきましょう。

1-1-1.テレワーク時にSNSに接続しウイルス感染　個人情報流出

被害内容	従業員の氏名・メールアドレスなどの個人情報、 サーバのログ、通信パケット、 サーバ情報設定などの情報流出
被ったデメリット	個人情報流出による企業に対する 信頼性の低下
原因	テレワーク時に社内ネットワークを経由せず SNSに接続してウイルスに感染

テレワークを行っていた従業員が、社用パソコンで社内ネットワークを経由せずにSNSに接続し、第三者から受け取ったファイルをダウンロードしたことで、社用パソコンがコンピューターウイルスに感染しました。

その後、従業員が出社し、ウイルス感染した社用パソコンを社内ネットワークに接続したことで、社内の他のパソコンにも感染が拡大したというものです。

流出した情報は、従業員の個人情報（氏名・メールアドレス）、サーバのログ、通信パケット、サーバ情報設定などです。

取引先や関係会社など機密性の高い情報は漏えいしていませんが、大きなセキュリティ事故の事例となりました。

1-2.パターン②　ポップアップ詐欺による乗っ取り

ポップアップ詐欺とは、Webサイトにアクセスした時に表示されるポップアップ機能を使い、ユーザーを騙す詐欺のことです。

悪意のある広告をクリックしてしまったなどの理由で、アドウェアと呼ばれるプログラムをダウンロードしてしまうと、「ウイルスに感染しました」といった内容のポップアップが表示されてしまいます。

そのポップアップの指示に従って操作してしまうと、パソコンが乗っ取られる、個人情報を抜き取られる、金銭を搾取されるなどの被害に遭ってしまうのです。

テレワークでは、同僚の目がない分、業務以外のWebサイトに気軽にアクセスできるため、ポップアップ詐欺に合う可能性が高まります。

さらにポップアップが表示された時、周囲に対応を相談できる人がいないため、騙されて指示に従い、被害を大きくしてしまうことがあるのです。

ポップアップを使ったセキュリティ事故事例には次のようなものがあります。

1-2-1.ポップアップ表示に従いパソコンを乗っ取られる

被害内容	数十分間第三者にパソコンを乗っ取られる
被ったデメリット	個人情報流出の可能性 信頼性の低下
原因	テレワーク時にウイルス感染を伝える ポップアップが表示され 指示に従ったところパソコンが乗っ取られた

社員がテレワークを行っていたところ、ウイルス感染を伝えるポップアップが表示されました。

社員がポップアップの指示に従って操作を行ったところ、約十分間第三者にパソコンを乗っ取られてしまったというセキュリティ事故事例です。

第三者に乗っ取られた後、金銭を要求する表示が出たため、社員は詐欺を疑い、インターネット接続を切断し、乗っ取りを解除しました。

その後、専門業者によって行われた調査では情報流出などはなかったものの、乗っ取られていた数十分間に端末に表示されていた被験者の個人情報が閲覧された可能性があるということです。

1-3.パターン③　紛失・盗難による情報流出

テレワークのために、パソコンやUSBを社外に持ち出すことがありますが、そこで情報が入ったパソコンやUSBを紛失したり、盗難にあうことでセキュリティ事故が起こるパターンです。

社外に持ち出すことで、第三者から盗難される可能性も高くなりますし、従業員の不注意で紛失する可能性も高くなります。

人為的なミスによって起こるセキュリティ事故の事例についてみていきましょう。

1-3-1.個人情報が入ったUSBを紛失

被害内容	個人情報が入ったUSBを紛失
被ったデメリット	信頼性の失墜
原因	社外で仕事をするため個人情報が入ったUSBを無許可で持ち出し、帰宅途中に紛失してしまった

USBを持ち出し、帰宅途中にUSBが入ったリュックサックを紛失してしまいました。

USBに入っていた情報は、個人情報データです。

社外に関するデータを持ち出す場合、許可を得るルールがありましたが、行われておらず、事故が起こってしまいました。

1-4.パターン④　VPN暗証番号流出より不正アクセス被害

VPNとは、Virtual Private Network（バーチャル プライベート ネットワーク）の頭文字で、「仮想空間に作られた専用回線」のことです。

インターネットで通信を行う際に、相手をIDとパスワードで認証し、情報を暗号化して送ることで情報が漏れないようにすることができます。

VPNを使って自宅のパソコンと会社を繋ぐことで、安全に気密性の高い情報をやり取りし、仕事を進めることができるため、テレワークには欠かせない技術となっているのです。

このようにVPNのIDとパスワードが流出することで、企業の機密情報が流出するというセキュリティ事故事例が多く起こっています。

IDとパスワードが流出してしまうと、企業の機密情報に誰でもアクセスできる状態になってしまうため、大変危険なのです。

VPN暗証番号流出の事例を紹介します。

1-4-1.アップデートを怠りVPNパスワード流出

被害内容	VPNパスワードが流出し、 企業の機密情報に誰でもアクセスできる状態になってしまった
被ったデメリット	企業の機密情報が流出した可能性
原因	VPNの専用機器のアップデートを怠り 脆弱性を突かれてパスワードが流出した

専用機器のアップデートを怠ったことが原因でVPNパスワードが流出した事例です。

流出した企業は、特定のVPN機器を使用していました。

特定のVPN機器メーカーは、機器の脆弱性を発表し、修正プログラムを公開、注意喚起も行っていました。

しかし、情報が流出した企業では、修正プログラムを反映しておらず、その隙を突かれてサイバー攻撃を受けてVPNパスワードが流出してしまいました。

VPNパスワードが流出したことにより、企業の機密情報にアクセスされ、流出する結果となりました。

1-4-2.VPNパスワード流出により不正アクセスを受ける

被害内容	VPNパスワードが流出し、パソコン1台に不正アクセスが行われた
被ったデメリット	機密情報が流出した可能性 信頼性の失墜
原因	VPNの専用機器の脆弱性を突かれてパスワードが流出した

VPNの脆弱性を突かれたことによるセキュリティ事故は、多くの企業で起きています。

企業で使用していたVPN機器の脆弱性を突いたサイバー攻撃により、VPNパスワードが流出、企業のパソコン1台に対して不正アクセスが行われていたというものです。

この不正アクセスによる情報流出は確認されていませんが、誰もが大丈夫と安心して使用していても

実はセキュリティ対策が十分に行われていないということがあります。

2.テレワークにはセキュリティ事故対策が必須！

テレワークを実施する際は、セキュリティ事故対策を必ず行うべきです。

「1.【2022最新】テレワークによるセキュリティ事故の事例5つ」でも紹介したように、セキュリティ事故対策が不十分だと、様々な事故が起こります。

テレワークでは、会社のオフィス以外の場所で自由に働くことができるのが魅力です。

自宅、出先の喫茶店、出張先のホテルなど、場所を限定せずに仕事を進めることができる分、オフィス内で仕事を進めていた時よりもセキュリティ事故が起こる可能性が高まります。

例えば「1-1-1.テレワーク時にSNSに接続しウイルス感染　個人情報流出」の事例のように、自宅でテレワークを進める時に、社内ネットワーク以外のネットワークを使ってインターネットに接続し、コンピューターウイルスを含むファイルを受信してしまうこともテレワークならではと言えます。

セキュリティ事故が起こると、企業には様々な悪影響が出てしまうのです。

セキュリティ事故が起きてしまえば、企業の信頼性は失墜します。

また企業の大切な機密情報が流出してしまうことで、経営上大きなダメージを受けてしまうこともあります。

テレワーク時の情報流出事例ではありませんが、企業に大きなダメージを与えたセキュリティ事故事例を2例紹介します。

不正アクセス事件では数百人、数千万円の被害が出てしまいました。

この不正アクセス事件の影響により、サービスは数ヶ月でサービスが終了しています。

他にも個人情報流出事件では、数千万件に登る個人情報が流出し、損害の賠償として、数百億円の損失となった例もあります。

このように、セキュリティ事故は企業にとって大きなダメージを与えることになります。

テレワークを安全に進めていくためにも、セキュリティ事故対策は必ず行わなくてはならないのです。

3.セキュリティ事故の事例から学ぶ！テレワーク時に必ず行うべき3つのセキュリティ対策

「2.テレワークにはセキュリティ事故対策が必須！」でも紹介したように、テレワークを進めていくうえで、セキュリティ事故対策は必ず行わなくてはなりません。

なぜなら、セキュリティ事故対策を怠ってしまうと、個人情報や企業の機密情報流出などの重大事故につながり、その結果、多額の損害賠償を支払わなくてはならなかったり、企業としての信頼性を著しく損ねてしまうことになるからです。

では実際にはどのような対策をしていけばいいのでしょうか？

先ほど紹介したセキュリティ事故の事例の原因を踏まえて、行うべき有効な対策を見ていきましょう。

セキュリティ事故の原因からわかる、テレワーク時に必ず行うべきセキュリティ対策は次の3つです。

参考：テレワークセキュリティガイドライン

詳しくみていきましょう。

3-1.【テレワーク時のルールが不完全だった場合の対策】テレワーク時のセキュリティルールを決めておく

テレワークのセキュリティ事故の原因としてひとつめに挙げられるのが「テレワーク時のルールが不完全だった」ということです。

テレワークを行う際、セキュリティ対策のためのルールが制定されていないと、人によって基準がバラバラになり、セキュリティ意識が甘い人が事故の原因を作ってしまうことがあります。

例えば「1-3.パターン③　紛失・盗難による情報流出」で紹介した事例のように、USBに多くの個人情報を入れたまま持ち出し、紛失してしまうなどがその例です。

これを防ぐには、テレワークを行う上で、どのように仕事を進めていけばいいのか、きちんとしたルールを設定することが必要です。

ルールがなくては、新しいことが起きた時、どうすればいいのかわからず作業がストップしてしまうこともあります。

また、人によって判断が違ってしまうと会社全体のセキュリティ対策にバラツキが生じてしまい、対応がうまくいかなくなってしまうことも考えられます。

例えばUSBの持ち出しの場合で考えてみましょう。

セキュリティ対策意識が高い場合、USBに入れるデータは必要最小限にして、万が一の紛失に備えます。

しかしセキュリティ対策意識が低い場合、すぐに必要ではないデータも入れてしまい、紛失した場合の損失を大きくしてしまうことがあるのです。

これを防ぐには、次のようなルールが考えられます。

◎USBの使用禁止（テレワークで必要なデータはクラウド上に保存しVPNでアクセスする）

◎USBを使用する場合は申請が必要（持ち出しできるデータは限定する）

あらかじめ「こうすれば安全にテレワークを行うことができる」というルールを定めておきましょう。

具体的には、以下のようなルールを定めていきます。

【テレワーク時のセキュリティ対策ルール】

これらのルールを決めておくことで、社員は安全にテレワークを行うにはどうすればいいのかがわかります。

迷ったらルールを確認するようにしておけば、対応に差が出ることがありません。

まずはテレワークを進めるルールを制定していきましょう。

3-2.【社員のセキュリティ意識が足りない場合の対策】社員ひとりひとりのセキュリティ意識を高める施策を行う

いくらしっかりとルールを制定しても、それを守らなくてはセキュリティ事故を防ぐことはできません。

セキュリティ事故を防ぐには、ルールを守るように「人」を教育していかなくてはならないのです。

特にテレワークでは、自宅など他の社員や上司の目が届かないところで仕事を進めていくことになります。

そのため、ルールが守られているかを企業が確認することが難しく、ルールを徹底することも難しくなるのです。

例えば「1-1-1.テレワーク時にSNSに接続しウイルス感染　個人情報流出」の事例のように、社用パソコンでは必ず社内ネットワークを使うというルールがあっても、それを守らずにインターネットにアクセスしてしまうことで、ウイルス感染などのセキュリティ事故が起きてしまうことがあります。

総務省の「テレワークセキュリティガイドライン」でも、「情報セキュリティ対策の「ルール」・「人」・「技術」のうち、実施が最も難しいのは「人」の部分です。」とされています。

ルールを徹底できるよう、社員のセキュリティ意識を高めていきましょう。

具体的には次のような方法を取ると良いでしょう。

【社員のセキュリティ意識を高めるために行う施策】

社員ひとりひとりのセキュリティ意識を高めて、ルールを徹底してもらうことが事故を防ぐことにつながるのです。

3-3.【セキュリティ技術が最新でない場合の対策】セキュリティ対策技術の導入と適切な保守を行う

セキュリティ事故対策には、技術面もとても大切です。

ルールや人では守り切れない部分を守ってくれるのは、技術面となります。

例えば「1-4.パターン④　VPN暗証番号流出より不正アクセス被害」で起こった不正アクセスの原因は、

◎VPNの技術に脆弱性があったこと

◎最新のバージョンに更新しなかったことで脆弱性をそのままにしてしまったこと

です。

このセキュリティ事故は、VPNを最新の状態にして脆弱性をなくしておけば防ぐことができました。

きちんとセキュリティ対策技術を導入し、適切な保守を行えば防ぐことができたのです。

具体的には次のような方法をとっておきましょう。

【テレワーク時のセキュリティ事故対策として有効な技術】

4.テレワーク時のセキュリティ対策を進めるステップ

テレワークを実施するためにセキュリティ対策が必要であることを理解し、「ルール・人・技術」の3つの面で対策をしなくてはならないことがわかりました。

では、セキュリティ対策を行うために、実際にどのように進めていけばいいのか、具体的な進め方のステップを紹介していきましょう。

テレワークのセキュリティ対策を行うには、次の5つのステップで進めていきましょう。

それぞれについて詳しくみていきましょう。

4-1.テレワークを行うためのガイドラインを作成する

まず初めに行いたいのが、テレワークを行うためのガイドラインの作成です。

テレワークを行う上で、「何をしていいのか」「何をしていけないのか」という明確なルールを作成します。

テレワークでは、自宅などオフィス以外の場所で基本的には一人で仕事を進めていきますから、迷ったときにすぐに人に聞いて確かめることはできません。

テレワークを行っている社員が迷ったときにすぐに答えが見つかるよう、具体的で細かいガイドラインを決めておくと良いでしょう。

具体的には次のようなことを決めておきます。

テレワークを行う 基本方針	テレワークを行う上でセキュリティ対策についての 基本となる方針
テレワークを行う 行動指針	テレワークを行う場所や、貸与されたパソコンの利用制限などについてのルール
情報管理についてのルール	パソコン、USB、紙媒体の保管ルール パソコン、USB、紙媒体の持ち出しルール パソコンに入れるアプリやツールの制限　　　　　等

ガイドラインの作成に迷ったときは、総務省の「テレワークセキュリティガイドライン」を参考にするのがおすすめです。

経営者、情報システム管理者、社員の3つの視点で行うべきことが詳しく記載されています。

セキュリティ事故の事例についても記載されていますから、ぜひ一度目を通しておきましょう。

また細かなルール設定に関しては「、同じく総務省の「中小企業等担当者向け テレワークセキュリティの手引き」に記載されているチェックリストが参考になります。

こちらにも目を通して、漏れのないガイドラインを作成していきましょう。

4-2.安全性の高い通信インフラを整備する

通信インフラを安全性の高いものにすることも、テレワークでのセキュリティ対策としては重要です。

安全性の高い通信インフラとして進められるのがVPNです。

VPNはインターネットで通信を行う際に、相手をIDとパスワードで認証し、情報を暗号化して送ることで情報が漏れないようにすることができるため、通常のインターネット接続よりも高いセキュリティ効果が期待できます。

ただし、「1-4.パターン④　VPN暗証番号流出より不正アクセス被害」でも紹介したように、VPNには脆弱性が見つかることがありますから、定期的にアップデートし、安全性を保つことが大切です。

4-3.ウイルス対策ソフトを導入する

テレワークに使用するパソコンなどの端末には、ウイルス対策ソフトを導入し、セキュリティ対策を行いましょう。

セキュリティ事故事例でも、USBメモリがウイルス感染していたものの、USBを差し込んだパソコンがウイルス対策ソフトを導入しておいたことですぐに発見でき、ウイルス感染を防ぐことができたという例もあります。

ウイルス対策ソフトは費用がかかりますが、テレワークに利用するパソコンはすべて導入し、セキュリティ事故を防ぐことが大切です。

参考：中小企業における情報セキュリティ対策の実態調査- 事例集 –

4-4.社員へのセキュリティ研修を行う

ガイドラインを作成しても、社員ひとりひとりがガイドラインやルールを意識し、守っていかなくてはセキュリティ事故を防ぐことはできません。

セキュリティ事故を防ぐためにも、社員に対してセキュリティ研修を行い、ルールの徹底と意識の向上を目指しましょう。

セキュリティ研修は一度行ったら終わりではなく、定期的に行うことも大切です。

定期的に行うことで、ガイドラインの見直しや、ルールの大切さを見直すことも出来ます。

4-5.端末のOSやVPN機器を最新の状態に保つ

通信インフラをVPNにする、ウイルス対策ソフトを導入するなどの対策は、導入しただけでなく最新の状態に保つよう、定期的にアップデートすることも大切です。

「1-4-1.アップデートを怠りVPNパスワード流出」の事例にあるように、導入当初には見つからなかった脆弱性が後に見つかり、アップデートを怠ったことでセキュリティ事故につながることがあります。

また、コンピューターウイルスやマルウェアなどは常に新しいものが出てくるため、アップデートを怠っていると対策できないことがあるのです。

セキュリティ対策は導入するだけでなく、しっかりと保守していくことも大切です。

定期的に脆弱性が見つかっていないかを確認し、アップデートを行いましょう。

5.テレワーク時のセキュリティ事故を回避するにはNTT東日本のクラウド導入サービスがおすすめ

テレワーク時のセキュリティ事故を回避するための方法として、クラウド導入サービスを取り入れるのもおすすめです。

「ITに詳しい担当者がいないから、テレワークのセキュリティ事故対策を行うのは難しい」

「保守や運用の必要性は分かっているけれど手が回らない」

NTT東日本のクラウドソリューションなら、そんなお悩みを解消できます。

5-1.テレワーク時のセキュリティ事故対策に「クラウド導入・運用支援サービス」がおすすめな理由

テレワーク時のセキュリティ事故対策に「クラウド導入・運用支援サービス」がおすすめなのは、テレワークに必要なデータ環境だけでなく、セキュリティ対策も含めた総合的な支援を受けることができるからです。

「情報システム担当者がいない」

「情報システム担当者はいるけれど通常業務で手が塞がっている」

そんな企業の場合、テレワークの環境を整えるためにクラウド環境を導入しようとしても、難しいのではないでしょうか。

しかし、NTT東日本が提供するクラウド導入・運用支援サービスなら、自社に必要なテレワークのための環境を整え、導入、さらに保守までを一貫して支援します。

気になるテレワーク時のセキュリティについても、知識が豊富な専任担当者が、自社の状況に合わせたセキュリティ対策を提案することができるため、セキュリティ対策万全な状態でテレワークを推進することができるのです。

5-2.NTT東日本のクラウド導入・運用支援サービスの強みは「セキュリティ対策万全な運用支援」

NTT東日本のクラウド導入・運用 for AWS/ Microsoft Azureなら、設計から導入・運用までワンストップで支援するだけでなく、導入後には盤石な監視・保守体制で御社のクラウド環境を守ります。

◎導入時のセキュリティ対策

◎導入後のセキュリティ対策

セキュリティ事故対策もITのプロが対応し、貴社に最適なセキュリティ態勢を構築するので安心です。

さらに運用・保守も徹底サポートします。

NTT東日本だからできる、24時間365日の監視・保守システムで、貴社のテレワークのセキュリティ対策をサポートできるのです。

セキュリティ事故を防ぐために、NTT東日本のクラウド導入・運用 for AWS/ Microsoft Azureをぜひご活用ください。

5-3.すでにAWSを導入済みでもNTT東日本のセキュリティチェックが有効

すでにAWSを他社で導入しているけれど、セキュリティ対策が不安な場合は、AWS資格を保有する専任担当者による情報セキュリティ設定を客観的にチェックすることも可能です。

クラウド利用のベストプラクティスに基づいたチェックリストで、手動とツールの2つの方法で、運用中のAWS環境における情報セキュリティ設定を客観的にチェックいたします。

チェック後は結果をご説明するだけでなく、情報セキュリティ対策のアドバイスも行います。

セキュリティ対策に不安がある場合は、ぜひNTT東日本にご相談ください。

6.まとめ

テレワーク時のセキュリティ事故の事例と、事故を防ぐ対策について紹介しました。

テレワーク時はオフィスとは違い、人目が少ない、周囲に相談できない、などセキュリティ事故を起こしやすくなる要因があります。

しかし、すでに起きてしまったセキュリティ事故の事例に学び、対策法をきちんと実施することで、セキュアな環境を整えてセキュリティ事故を防ぐことができるのです。

セキュリティ事故対策は次の3つのポイントを押さえておきましょう。

テレワークのセキュリティ事故対策を行うだけでなく、テレワークを行いやすい環境を整えるのにも、NTT東日本のクラウド導入・運用 for AWS/ Microsoft Azureは役立ちます。

ぜひ導入をご検討ください。