コロナウイルスにテレワークで対抗する：必要なセキュリティのチェックリスト

世界的なコロナウイルスのパンデミックは、多くの経済的なインパクトを及ぼしています。そしてそれを防ぐべく、各国は堅牢な検疫体制の強化を進めています。日本の緊急事態宣言による、外出自粛・テレワーク対応要請も顕著な例の一つです。これらの政策は、リモートアクセス時の認証情報や脆弱な個人用デバイス、はたまた保護されていないエンドポイントまで、標的型のサイバー攻撃急増を引き起こしています。そしてこのような混沌とした状況は、セキュリティ責任者やCISOの肩に重い責任を負わせています。

この記事の最後のテンプレートでは、組織のサイバー防御がこの困難な時代をうまく乗り切るためにチェックすべき基本的なプラクティスを簡潔、明確、かつ実行可能な形でまとめています。

テレワーク時のセキュリティ必須事項は主に７項目

尚、このテンプレートは、テレワーク時に必要なセキュリティ対策における７つの柱で構成されています。

1. セキュリティ技術関連：インストールして設定すべき製品カテゴリの推奨リスト。これらのカテゴリを選択する際のガイドラインは、複数の攻撃分析ソースから収集したコロナウイルスに関連するインシデント・攻撃脅威の状況を集約した分析に基づいています。
2. セキュリティチームの体制：規模や献身的なレベルに関わらず、すべてのチームは、継続的なセキュリティ運用を日常的に処理するための一連の手続きを持っています。これらの手順は、少なくとも今回のコロナウィルス対応・テレワーク対応のために更新されなければならず、また多くの面で特定の IT やサイバー攻撃の変化に対応するために更新されなければなりません。
3. 労働環境：CISOやセキュリティ責任者は、人間は機械よりもはるかに弱いことをよく知っています。コロナウイルスがもたらすテレワークなどの労働環境の不確実性は、人々をあらゆる種類のソーシャルエンジニアリング操作に対して著しく脆弱にします。意識の向上、教育、セキュリティ・ドリルは、このような膨大に増加する攻撃に対する従業員の武装に不可欠です。
4. 3rdパーティサービスプロバイダ：企業がすべてのセキュリティタスクを社内で実行しているかどうかに関わらず、スキルに依存したミッションの一部をドメインエキスパートのMSSP（マネージドセキュリティサービスプロバイダ）にアウトソーシングすることを検討する時期に来ていることは間違いありません。
5. セキュリティ管理の可視性：組織の幹部は、セキュリティ担当者・CISOの取り組みだけでなく、実際のセキュリティ態勢についても完全な可視性を持っていなければならない。すべてのセキュリティ責任者は、これらのレポートを簡単に作成できるインフラを持っていなければならないはずです。
6. ID管理と認証：従業員が必要かつ最低限なアクセス権限になっている事をしっかりと制御する必要があります。社内ネットワーク以外からテレワーク時はアクセスが発生する以上、社員のパスワードが簡易なために不正ログイン・不正アクセスをされないよう、より強固な認証の手配が必要です。また入退社に伴うID管理も、消し忘れなどないようなるべく自動化していくことが求められています。
7. 物理環境のセキュリティ向上：テレワーク時には、通常時の社内環境のみながらず、自宅やカフェなど様々な環境からのアクセスが想定されます。そのような物理的な製薬を踏まえた上で、どのような点に気をつけるべきかをまとめました。

セキュリティ確認事項・チェックリストはなぜ公開されたのか

この文書を公開する自分の目標は、個々の企業のニーズに合わせて簡単に調整できる使いやすいテンプレートで、セキュリティ責任者及びCISOのセキュリティ強化プロセスを簡素化し、最適化することです。

エンドポイント、ネットワーク、ユーザーの保護を、プロアクティブな監視と制御、攻撃の防止と検出、および応答のオーケストレーションといったセキュリティライフサイクル全体にわたって統合し、自動化していく事が、昨今のコロナウィルスへの対策としてテレワークを開始するためのセキュリティ強化に必須となってきています。

このテンプレートをベースに様々な企業のセキュリティチームや責任者が、よりシンプルかつスピーディにテレワーク環境への対処を実現し、効率的に業務を進められる環境を構築できれば本望です。労働環境の変化に対応するためのセキュリティ項目や対応事項については、他の記事でも詳しく解説しているので、是非御覧ください。

テレワーク対応のためにセキュリティ担当者が対応すべきチェックリスト