◇SH3116◇内閣サイバーセキュリティセンター、「テレワークを実施する際にセキュリティ上留意すべき点について」を公表　齋藤弘樹（2020/04/23）

内閣サイバーセキュリティセンター、「テレワークを実施する際に
セキュリティ上留意すべき点について」を公表

岩田合同法律事務所

弁護士　齋　藤　弘　樹

 

　令和2年4月14日、内閣サイバーセキュリティセンター（NISC）は、「テレワークを実施する際にセキュリティ上留意すべき点について」と題する文書（以下、後記の各資料も合わせて「本文書」という。）を公表した。

　本文書は、新型コロナウィルス感染症（COVID-19）の影響でテレワークの活用が急速に進んでいることを踏まえ、NISCが、政府機関等、重要インフラ事業者[1]がテレワークを導入する際のセキュリティ上留意すべき点について注意喚起を行うとともに、国民一般向けにも注意すべき基本的なポイントを周知するために公表したものである。

　本文書は、資料1「政府機関等におけるテレワークにかかる留意事項（注意喚起）」、資料2「重要インフラ事業者等におけるテレワークにかかる留意事項（注意喚起）」、資料3「テレワーク実施者の方へ～あなたのセキュリティは大丈夫ですか？～」、資料4「テレワークにかかる留意事項（情報共有）」の4つの資料から構成されている。

　以下、資料1及び2において「留意事項」とされている6点及び資料3において注意点として挙げられている7点（下表参照）について、資料3において参照することが求められている、総務省「テレワークセキュリティガイドライン第4版」[2]や内閣サイバーセキュリティセンター「インターネットの安全・安心ハンドブック[3]（以下それぞれ「ガイドライン」「ハンドブック」という。）の説明も踏まえて解説する。

 

１　資料1及び2において「留意事項」とされている6点について

1. ⑴ VPN
2. 　 　外部からインターネットで組織と通信する際の安全策として、Virtual Private Network（VPN）[4]を経由して組織のネットワークに接続し、業務を実施するケースが存在する。本文書は、VPNは完全ではないとの前提の下、迅速なパッチ適用を行うようにすることに加え、多要素認証[5]の採用の検討が必要である旨述べている。
    
3. ⑵ メール
4. 　 　本文書は、テレワークの際に使用するメールについて、自組織が定めている「情報セキュリティポリシー」において、フリーメールや商用メールの制限がどのようになっているか、改めて確認する必要がある旨述べている。
   　また、本文書は、自組織が用意した在宅勤務用のメールであっても、セキュリティ対策を一層高めるため、取り扱うデータの内容に応じて、PGP暗号化やS/MIMEの活用による対策（すなわちメール本文や添付ファイルの暗号化）を推奨している。[6]
    
5. ⑶ リモートデスクトップ（RDP）
6. 　 　本文書は、テレワーク等によりWindowsのRemote Desktop Protocol（RDP）をインターネット上に公開している機器が増加しているとの推測の下、（不正な攻撃に対する弱点となる）RDPの深刻な脆弱性に対応するパッチ適用が未了でないか、留意する必要がある旨述べている。また、本文書は、組織において、意図せずRDPポート（データを送受信するためのチャンネル）を公開しないよう注意をしている。
    
7. ⑷ 遠隔会議システム
8. 　 　本文書は、テレワーク等で遠隔会議システム（「Zoom」等）の利用が拡大しているが「Zoom」にはセキュリティ上の問題点があったことを指摘した上で、「Zoom」に限らず遠隔会議システムに潜在するリスクについて、導入前の調査・運用方法の策定・運用中にリスクが顕在化した際の対策の事前検討が必要である旨述べている。
    
9. ⑸ 機密情報の保護
10. 　 　本文書は、機密情報が写真や動画に映り込む事例が発生していること等を踏まえ、テレワーク実施時には不用意に機密情報を漏えいしないよう留意すべき旨及び遠隔会議の実施場所や設定に配慮すべき旨述べている。
     
11. ⑹ その他
    1. ① 堅牢なパスワードや多要素認証の使用
       本文書は、パスワードの堅牢化及び多要素認証の活用の検討を求めている。[7]
    2. ② 端末や機器のアップデート
       本文書は、OSやソフトウェア、アプリ、機器の脆弱性を確認したうえで、必要に応じてアップデートする等、システムの状況に応じた管理策を検討することを求めている。
    3. ③ 不審なメールへの注意
       本文書は、業務を装ったメール等不審なメールに注意し、身に覚えのないメールの添付ファイルやURLをクリックしないことを組織全体に注意喚起するよう求めている。
    4. ④ 端末の盗難や紛失への注意
       本文書は、ノートPCやスマートフォン、USBメモリ等の紛失防止対策に加え、暗号化の実施の検討や、個人の端末を利用する場合のセキュリティ対策の考慮を求めている。
    5. ⑤ 無線LANのセキュリティ設定の確認
       本文書は、無線LAN（Wi-Fi）のセキュリティ設定に留意するよう求めている。[8]
    6. ⑥ インシデント発生時の連絡方法の確認
       本文書は、テレワークによるセキュリティインシデント発生に備え、あらかじめインシデント発生時の対処方法、連絡方法を確認するよう求めている。

２　資料3において注意点として挙げられている7点について

　下表のとおり、資料3において注意点として挙げられている7点は、資料1及び2において「留意事項」として挙げられている6点の中にほぼ含まれている。[9]

　また、上記6点及び7点と関係する、ガイドラインの記載（該当頁）を以下に列挙した。

資料2記載の6点	ガイドラインの該当頁
VPN	45～46頁
メール	－
リモートデスクトップ（RDP）	－
遠隔会議システム	－
機密情報の保護	－
その他 ① 堅牢なパスワードや多要素認証の使用 ② 端末や機器のアップデート ③ 不審なメールへの注意 ④ 端末の盗難や紛失への注意 ⑤ 無線LANのセキュリティ設定の確認 ⑥ インシデント発生時の連絡方法の確認	①のうちパスワードについて51～53頁、多要素認証について48頁  ②のうちOSやブラウザ、ソフトウェアのアップデートについて31頁、37頁  ③について40～41頁  ④について43～44頁  ⑤について45～46頁
資料3記載の7点	ガイドラインの該当頁
複雑なパスワードや多要素認証の使用	パスワードについて51～53頁 多要素認証について48頁
端末や機器のアップデート	OSやブラウザ、ソフトウェアのアップデートについて31頁、37頁
業務を装ったメールや不審なメールへの注意	40～41頁
通信の暗号化	45～46頁
端末の盗難や紛失への注意	43～44頁
社内ではないこと（盗み見、無線LANのセキュリティ等）への注意	① 盗み見について26頁、47頁 ② 無線LANのセキュリティ等について45～46頁
インシデント発生時の連絡方法の確認	－

 

３　企業に求められる対応

　テレワークの導入の必要性が高まっている一方で、テレワークの導入によりセキュリティ上のリスクが増加する側面もあるかと思われる。したがって、テレワークの導入を検討するまたはすでに導入している企業においては、本文書を踏まえ、セキュリティに十分注意する必要がある。

以　上