社外リモートワークをセキュアに｜セキュリティ対策について

VPN

企業ネットワークの入口にVPN装置を設置して、インターネット上に仮想的な専用回線を構築します。企業ネットワークを暗号技術により部分的に遠隔地まで延伸した方式です。

リモートデスクトップ

インターネット上にサーバーを設置し、このサーバーを経由して社内PCを遠隔操作します。社内PCの遠隔操作により社内の業務サーバーにアクセスします。

VNETプラス

VNETプラスと呼ぶアプリケーションを終端の通信端末にインストールすることで、エンドツーエンドの暗号化通信を実現します。社内のサーバーにVNETプラスをインストールできない場合、VNETアダプタを設置してVNETプラスの機能を代行させます。

アクセス制限

リモートアクセスツールを用いると、特定のPCや利用者を限定して、社内サーバーへのアクセス許可を与えることが可能です。しかし、個々のファイルや、特定のアプリケーションに対するアクセス制限まで設定できるわけではありません。より細かいアクセス制御を行いたい場合は、利用環境に応じて異なる方法が考えられます。

たとえば、アクセス対象がNASの場合は、NAS自身のアクセス制御機能を利用してファイルレベルでの制限を設定可能です。また社内サーバーにアクセスする場合は、稼働中のアプリケーション毎に設定可能なアクセス制御機能があるので、その機能の活用が推奨されます。

それぞれの設定方法や機能は機種やアプリケーションによって異なるため、導入前にどのような制御が可能か調査することが大切です。リモートアクセスツール自体の機能と、サーバーサイドのアクセス制御機能を組み合わせて使用することが、セキュアな通信の実現に効果的です。

多要素認証

多要素認証は、パスワードに加えてそれ以外の認証要素を用いることで、正当なユーザーであることの確認を行うセキュリティ手法です。VPN、リモートデスクトップ、およびVNETプラスでは、サービス利用開始時にユーザー認証が必要です。VPNはVPN装置に対して、リモートデスクトップはクラウドサーバーに対して、VNETプラスはクラウド上の認証サーバーに対してこの認証プロセスを実施します。

初回のログイン時に一度だけ実行されるこの認証は非常に重要であり、多要素認証が可能な製品の選定が推奨されます。VNETプラスは利用する装置を限定する機能、さらにはワンタイムパスワードを併用する機能が準備されており本人確認をより厳密にしています。

暗号化技術

暗号化技術には、共通鍵暗号方式と、公開鍵暗号方式の2つの主なタイプがあります。

共通鍵暗号方式

送受信者が同じ共通暗号鍵（十分大きな乱数）を共有します。高速にデータの暗号化・復号を行えますが、事前に共通鍵を共有しておくという前提が必要です。

公開鍵暗号方式

送信者と受信者がともに2つの暗号鍵（公開鍵と秘密鍵）を保持し、鍵を事前に共有することなしに安全な暗号化通信が可能となる方式です。公開鍵は誰でもアクセスできる場所に置かれますが、秘密鍵は該当装置内で厳重に保管されます。公開鍵暗号方式は演算速度が共通鍵暗号方式に比べて3桁遅いという欠点があります。また、公開鍵が改ざんされるリスクに対処するために、公開鍵証明書が必要となります。

効率的でセキュアな通信を実現するために、通信開始時に公開鍵暗号方式で相手認証と共通鍵の共有を行い、実際のデータ通信には共通鍵暗号方式を用いるのが一般的です。

クラウドサーバーを利用したファイル共有

クラウド上に、共有のファイルサーバーを設置する方法です。Dropboxなど、商用のファイルサーバーもあります。

社内からも自宅からもアクセスでき、通信は必ず暗号化されるので盗聴の心配はありません。

クラウドサーバーの運用企業が信頼できるか、例えばセキュリティ対策をしっかりとっている企業か、運用企業から情報を盗まれる心配はないか、などを確認する必要があります。

また、ファイル容量に応じた金額が必要です。

Windowsファイル共有

Windowsには、ファイル共有機能がデフォルトで搭載されています。特定のPCの一部のフォルダやファイルを、許可された他PCからアクセスできます。アクセスする側は、Exploreを使って、まるで自PCのファイルをアクセスするかのような要領でアクセスできます。

この機能を用いて、Windowsマシンを専用のファイルサーバーとして使うことができます。ファイルサーバーに外付けのHDDを繋げば、大容量のファイルサーバーを実現できます。

ただし、この機能はアクセス側PCがファイルサーバーと同一のLAN上に存在する必要があります。

Windows PCはハードウエア的に不安な面もあるので、バックアップを定期的に取るのは必須です。

Windowsによるファイルサーバーを外部からアクセスしたい場合は、VPNを使うか、VNETを使う方法があります。VPNの導入にはネットワークの知識が必要です。一方、VNETプラスはWindowsにVNETをインストールして通信グループを定義するだけなので、非常に簡単に実現できます。

VNETプラスによる実現方法は「Windowsファイル共有をインターネット経由で実現する」のページを参考にしてください。

NASによるファイル共有

NAS（Network Attached Storage）は、ファイルサーバーとしての機能が組み込まれたストレージ製品です。NASはOSがLinuxの場合が多いですが、“samba”というアプリを搭載すると、Windowsファイル共有サーバーとして動作してくれます。

アクセスする側のPCからすると、Exploreにより自分のファイルをアクセスするのと同じ要領でアクセスできます。すなわちWindowsファイル共有と互換性があります。NASは利用者やファイルを限定するアクセス制御機能が豊富です。ハードウエア的にも、Windows PCに比べて安心感があります。ただし、組み込み型のことが多く、自由にアプリをインストールすることはできません。NASを使う場合も、基本的にアクセス側PCとNASが同一LAN内に存在する必要があります。遠隔からのアクセスが可能であることを謳うNASもありますが、設定作業などは専門の技術者に依頼する必要のあることが多いです。

NASを外部からアクセスできる別の方法として、VPNを使うか、VNETプラスを使う方法があります。

VNETプラスを使う場合、NASにはVNETプラスをインストールできないのでVNETアダプタを使います。VNETアダプタに簡単な設定を行うだけでNASに代わってVNETプラスの機能を代行してくれます。

社内サーバーに公開鍵証明書を保持させる

企業ネットワークの通信を暗号化する方法として、社内サーバーに公開鍵証明書を保持させる方法があります。公開鍵証明書の発行は、認証局が行う必要があります。しかし、通常の認証局はサーバーがインターネット上にあることを想定しており、社内サーバーに証明書を発行することはできません。そこで、企業自身が自前の認証局を立てて、社内のサーバーに証明書を発行する必要があります。しかし、認証局を立ててその後の証明書の管理を行う作業は、専門の知識が必要となるため、一般の中小企業では対応が難しい場合が多いです。

ゼロトラストネットワークを導入する

「社内は安全」というこれまでの考え方では、完全なセキュリティを担保できません。また、社外から簡単に情報を共有できないということから、社内と社外を同等に扱い“すべての通信を安全にするべき”という考えがあります。

対応策として、安全なサーバーをクラウド上に置き、社内からも社外からもこのクラウドサーバーを利用して、すべての通信を暗号化するという方法があります。

この考えは、クラウドサーバーの運用企業を全面的に信用する必要があります。また、企業ネットワークの構築を1から見直すことになり、簡単に導入できる方法ではありません。

社内にNATを導入してネットワークを分離する

NAT（Network Address Translation：アドレス変換）装置は、企業ネットワークとインターネットとの接続点に設置され、通常は企業ファイアウォールに内蔵される装置です。NATがあると、上位ネットワーク（インターネット側）から下位ネットワーク（企業ネットワーク側）に向けて通信の開始ができないという制約があります。しかし、下位ネットワークが完全に隠ぺいされます。

企業ネットワークが一般に安全とみなされる理由は、ファイアウォールによるフィルタ機能とともに、NATが存在するという理由が大きいです。

NATは企業ネットワークの中に設置することも可能で、保護したいネットワークと企業本体のネットワークをNATで区切ることができます。

この場合、保護したいネットワーク内から上位の企業ネットワークへのアクセスは自由にできますが、上位ネットワークから保護したいネットワークに向けてのアクセスはできなくなるので、NAT配下は安全になります。

VNETプラスを導入する

VNETは、終端の通信装置にVNETプラスをインストールすることにより、エンドツーエンドの暗号化通信が可能になります。すなわち、社内サーバーと社内PC間にVNETプラスをインストールすれば、それだけで暗号化通信が可能となります。

VNETを適用すると、NATが複数存在しても上位ネットワーク側から下位ネットワーク側に向けての通信開始が可能です。また、VNETを導入すると、企業外部からのアクセスも可能です。通信グループの定義により安全性は担保され、社内通信も含めてすべて暗号化されます。また、NAT配下のネットワーク構成が隠ぺいされるという特性はそのまま引き継がれます。