働き方の多様化にともなって、多くの企業が導入しているのがテレワーク制度です。在宅勤務や外勤先での作業を行うリモートワーク、モバイルワークなど、オフィス以外でICT環境を構築し、時間と場所にとらわれずオフィスと同等の作業を行うことを指します。
しかし、テレワークを導入、運用するには、セキュリティを考慮したうえで追加すべき要件もあれば、逆に削っても良い要件も存在します。具体的なポイントについてチェックしていきましょう。
テレワークはノートPCが基本。記憶容量や拡張性は必要最小限で、より基本性能が高いPCを選ぶ
テレワークの場合、まず「どこで作業を行うのか」を事前にしっかり確認しておく必要があります。一般的にテレワークと言えば自宅を前提としていることが多いですが、コワーキングスペースや営業先のカフェなどで作業をする場合も想定されます。また、テレワーク制度があっても、フルの在宅勤務ではない限り、オフィスで働くこともありますので、基本的にはノートPCを使用することになります。
通常PCを購入するにあたっては、予算が許す範囲内で記憶容量が多く、かつ拡張性の高い製品を選びがちですが、テレワークに関しては必ずしも正解ではありません。特にセキュリティ面においては、このことがデメリットとなる場合は少なくありません。
ローカルにはデータを残さないのが鉄則
例えばHDDの場合、あまり潤沢に容量がありすぎると、本来は持ち出すべきではないデータまでサーバーからダウンロードされ、ローカルに放置されたままになる危険性が高くなります。会社のサーバーにログインして作業を行う場合、ローカル側の容量は最小限で構いません。同じ予算を使うのであれば、大容量だが低速なHDDではなく高速なSSDを搭載している製品を選ぶなど、処理性能の向上に予算を振り分けた方がよいでしょう。
もともとテレワークでは、在席管理システムが常駐していたり、グループウェアやチャットツールが終日稼働していたりと、マシンのリソースはなにかと消費される傾向があります。読み書きの速さや動作速度といった基本性能を重視した方が、結果として作業効率は上がり、かつセキュリティレベルも高くなります。
また拡張ポート類も同様で、USBポートをはじめとしたインターフェイスは、ネットワークを介さずに外部とデータのやり取りができてしまうだけに、注意が必要です。ただし、管理ツールで無効化することも可能なので、ハードウェアとしてはポート数が多くても少なくても、管理をきちんとしていれば問題はありません。
以上、チェックすべきポイントを列挙しましたが、テレワークではPC本体以外にも、画面の覗き見を防止するフィルターや盗難防止スロットに固定するセキュリティワイヤーなどの周辺機器が必要となることもあります。予め必要であることが判明しているこれらの周辺機器も、予算立案の段階で考慮しておきましょう。
PCに高レベルでのセキュリティ確保が必須
テレワークで用いるソフトウェアはさまざまですが、社外から会社のシステムにログインすることに関しては、どのソフトウェアも共通しています。それゆえPC側には、悪意を持った第三者のログインを防ぐための強固な認証機能が求められます。
では、具体的にはどのような認証機能が望ましいかというと、顔認証や指紋認証など、人間の身体的特徴を用いて認証を行う、いわゆる生体認証を選ぶのが基本になります。顔認証の場合はカメラが、指紋認証であれば指紋を読み取るためのデバイスが、PCに搭載されていなければなりません。特にカメラについては、テレワークにおける在席状況の確認およびビデオチャットなどでも必要となることが多いので、テレワークでは必須と言えます。
暗号化によるローカルデータの保護は基本
テレワークに限ったことではないですが、業務で用いるデータを保存する端末は、暗号化しておくことが基本となります。この際にポイントになるのが、TPM（Trusted Platform Module）と呼ばれるセキュリティチップです。
これはCPUなどとは別にマザーボードに直接取り付けられているセキュリティ用のチップで、OSがWindows 10 Proであれば、標準のデータ暗号化機能「BitLocker」と組み合わせて、ドライブを暗号化できます。万が一、PCの盗難や紛失があったとしても、そのPCからの分解はもちろんのこと、分解されたパーツからもデータを読み出すことはできないので、強固なセキュリティを実現できます。
このTPM搭載PCは、法人向けPCを提供するメーカーであれば一般的なので、テレワーク導入にあたってPCをリプレースする場合は、機種選定の目安になります。それまで使っていたTPM非搭載PCを使う場合は、こうしたリスクがあることを前提に、ソフトウェア面でのセキュリティを強化するなど、対策をしましょう。
テレワークにおけるICT環境の６パターン
テレワークではPCの選び方やローカルをいかに保護するかという考え方も重要ですが、業務上必要となる通信をどのように保護するか？という対策や盗難や紛失による情報漏えいを防ぐため仮想デスクトップを利用するなどPC本体にはデータを保存しない工夫が必要になります。総務省「テレワークセキュリティガイドライン」では、6パターンのICT環境が紹介されています。こちらをもとにセキュリティ対策の基本を解説します。
①リモートデスクトップ方式
もっとも基本的なテレワークにおけるセキュリティ対策になります。テレワーク用端末からオフィスにある端末を遠隔操作・閲覧する方法です。メリットは、テレワーク用端末にデータを残さずに作業できること、オフィスにいるときと変わりなく作業ができることです。しかし、インターネット環境が十分ではない場合、速度が出ずに作業効率が低下する可能性があります。
②仮想デスクトップ方式
①の方法と似ていますが、サーバー上にある仮想デスクトップに接続して利用します。テレワーク端末にデータを保存しない点は①と同様ですが、オフィスに端末を用意する必要がなく、仮想デスクトップの管理も担当者が一括でできるメリットがあります。
③クラウド型アプリ方式
クラウド上のアプリケーションに接続して作業を行う方法です。インターネット環境さえあれば利用できるため、汎用性が高くなっています。デメリットは、作業データをアプリ上、ローカルどちらにも保存が可能なため、社内でルールを徹底し、管理をする必要があります。
④セキュアブラウザ方式
特殊なインターネットブラウザを使用することで、③利用時に、ローカルへのデータ保存を制限したり、使用機能を制限したりできるようになります。より高い安全性を確保でき、管理も効率化できますが、構築のコストは高くなります。
⑤アプリケーションラッピング方式
テレワーク用端末に、ローカル環境とは独立した仮想領域を設置し、必要なOSやアプリケーションをインストールして作業をするため、端末内にデータを残さずに作業が可能です。
⑥会社PCの持ち帰り方式
企業のPCをそのまま持ち出して使用するパターンで、在宅勤務や外勤先など自由度は高い一方で、もっともセキュリティに注意が必要です。テレワーク端末からネットワークにアクセスする際には、VPN接続をする必要があります。また端末自体を多重防御するなどを検討しましょう
特に近年は制度だけが先行してセキュリティ対策を怠ってしまうケースもあります。テレワークにおけるBYOD（Bring Your Own Device＝個人所有の端末を業務利用すること）やシャドーITも増加しているため、企業で把握・管理することも難しくなっています。
セキュリティポリシーを設定し、企業にあった方法を
テレワークに関するセキュリティ対策は、PCの選定やネットワーク接続の方法など企業の実情にあったセレクトをしなくてはいけません。視点はいくつもありますし、担当者の運用・管理コストも考慮する必要があります。
まずは社内のセキュリティに対する知識を深めるためにも、セキュリティポリシーを策定するとよいでしょう。ヒューマンエラーによる情報漏えいも低減できますし、セキュリティポリシーをもとに必要な対策やツールの導入を進めることができます。
多様な働き方が企業に求められている背景から、企業ブランドや従業員満足度の向上、人材の確保などを目的に制度が先行しているケースも多く存在します。生産性向上と多様な働き方にばかりフォーカスされる傾向にありますが、セキュリティもセットであることを、十分に理解しましょう。
