海外ではテレワークが普及しているのに、なんで日本はテレワークが普及しないんだろう？って思いませんか。この記事では日本と海外のテレワーク事情を統計データを見ながら深堀りしていきます。今後の働き方を考えるなら避けては通れない案件ですね。
Withコロナ時代のサイバーセキュリティ提言：その6 海外拠点はウイルスやサイバー攻撃の標的になりやすい。情報管理やセキュリティレベルの維持に注力する。 7. 一方で、このテレワークの広がり方は理想とは程遠いものであることを確認しておきたい。そして、コロナ克服時にこそ働き方における真の改革は行われることだろう。今回のコロナによるテレワーク拡大の問題点と、この働き方の有効活用について考えることにする。皆さんの中でも、企業からの指示によりテレワークを実践している人も多いことだろう。ただ、まず前提としておさえておきたいのは「これは、テレワークと呼べるのか」というそもそもの問いである。結論から言うと、現状、会社員が勤務先から言い渡されて行っているのは「強制（毎日）在宅勤務」であり、「テレワーク」のかなり限定された類型である。コロナ騒動で拡大が促されたものといえば「時差出勤」や「テレワーク」である。コロナに期待したり、感謝したりするのは不謹慎そのものだが、とはいえ特に後者に関しては「これでテレワークが広がり、日本の働き方が変わるのでは？」と期待する声もよく聞く。しかし、筆者はこの「コロナで働き方が変わる」論については、慎重に向き合わなくてはならないと、この騒動の初期から警鐘を乱打してきた。これによりテレワークを体験する人が増えるのは良いことだと評価する人もいることだろう。実際、ビデオ会議サービスのZOOMなどを活用しパフォーマンスが上がったという声もよく聞く。 テレワーク継続相次ぐ “withコロナ”時代の新たな働き方模索 日清食品 アサヒ ダイドー 2020年6月5日 緊急事態宣言の解除後も、テレワークの継続を企業が従業員に求める動きが相次いでいる。 電子メールは誰もが利用する一般的な通信手段です。チャットツールなどテレワークを実現するコラボレーションツールの普及が進んではいるものの、社外との連絡には依然として電子メールが主要な役割を果たしています。新型コロナウイルスに便乗したスパムメール、攻撃グループの特徴を紹介製品や納入成果物に対しての検証は、検収受け入れのセキュリティ検査が有効です。多くの場合では、開発途中の納入物に対する受入検査は品質および機能的観点で開発部門が行う場合が多く、セキュリティに対して厳しい目線での検査が実施されないことがあります。自動車業界などでは、パーツレベルでのセキュリティレベルが厳格に策定されており、その基準を満たす製品でなければ、性能や機能が良くても納入することができない制度が整えられています。初めてづくしの「オンライン・インターンシップ」開催。得られた成果は？社内に物理サーバを設置するオンプレミスサービスでは、急増した在宅テレワーク利用者がVPN装置に殺到し、通信の遅延で作業が止まってしまうという問題も発生しています。テレワークが常態化するこれからの時代、クラウドサービスの活用はさらに増えることが予想されます。グローバルな組織拡大とともに、企業の調達に掛かるサプライチェーンも広範囲に広がっています。自然災害、政治・地政学リスク、情報セキュリティ、希少資源や紛争鉱物、環境問題、人権問題など様々な要件が重なり、世界中がビジネスや情報の鎖でつながれているのです。情報システムの調達では、IPAが2018年から2019年にかけて、ユーザ企業を対象に施したアンケートでは、IT業務委託契約書における責任範囲の記載について、情報セキュリティに関するインシデントが発生した場合の対応は37％、新たな脅威が顕在化した場合の情報共有・対応については21％にとどまっています。自宅などのオフィス外からのIT機器利用は、サイバー攻撃への防御も弱く、マルウェアの侵入を完全に防ぐことは困難です。そしてマルウェア感染に気付かず周囲に感染を広めてしまうこと、感染発覚後に適切な対応を取れず被害を拡大させてしまうことなど、コロナ禍が社会を揺るがす大きな脅威となっていることと類似点も多いことに気づきます。これは、相当な数のネット接続機器が、初期設定のID・パスワードを変更しないままインターネットに管理画面を公開した状態になっている事を意味します。人と組織体制についての基本的サイバーセキュリティ対策が有効です。標的型メール訓練の実施も頼れる人が傍にいない状況では、社員ひとりひとりの安全習慣と罠を見抜く力、サイバー被害・事故など好ましくない出来事（インシデント）発生時の迅速な行動が、今まで以上に重要となってきます。最高峰のセキュリティサービスと、ITトータルソリューションを提供します。サイバー攻撃者は世界中のサーバやネットワーク機器の製品名や制御ソフトのバージョン情報を簡単に入手することができます。そして、公開された脆弱性情報をもとにネットに接続された未修正の機器やサーバを探し出し、容易に攻撃を成功させます。脆弱性が深刻な場合、アップデートの見落としやパッチ適用のわずかなタイムラグの間に、深刻な被害に遭う可能性が極めて高くなってきているということです。たとえ使用する機器に脆弱性が見つかっていなかったとしても、ネットワーク機器は常に脆弱性を内包し、ある日突然公表されるものだと考えるべきでしょう。しかし、電子メールはサイバー攻撃者にとって偽装が簡単でコストもかからないため、彼らにとって都合の良いツールでもあります。不特定多数を狙ったバラ撒き型マルウェアメールや、特定の組織や人物をターゲットとした標的型攻撃マルウェアメール、ビジネス上の偽情報によって詐欺を行うビジネスメール詐欺などによる被害は後を絶ちません。続く詳細分析では「専門知識・スキルが不足している」が大部分を占め、サプライチェーンにおけるセキュリティレベルの確保に苦労している実態が明らかになりました。さらに、在宅テレワークの常態化は、オフィスにおける連帯的な注意が効きにくい状況も生んでいます。オフィスなら不審なメールを受信したとき、隣にいる同僚や上司への相談も容易でしたが、孤立した環境下ではサイバー被害につながる添付ファイルや攻撃リンクを開いてしまうリスクが高まることが考えられます。緊密な管理を自社で行うことが困難な場合、インターネットからの通信を24時間365日監視するセキュリティ監視サービスの利用をお勧めします。ネットワーク機器やサーバを常時監視しサイバー攻撃の兆候を探し出すとともに、機器のアップデートがリリースされた際の検証や適用も代行して実施してくれます。長年蓄積されたサイバー攻撃のデータと経験を重ねたアナリストの目と腕によるセキュリティ監視サービスは、サイバー攻撃の直接的な防御だけでなく、ネットワーク機器の健全な運用にも効果を発揮します。製品やシステムの機能として全体に組み込まれると、脆弱性の発見が難しくなる場合が多いため、開発工程においても受け入れ検査でのセキュリティ検査の実施を推奨します。BYODを推進する場合は、可能な限りシステム的な操作制限と、エンドポイント端末を保護するセキュリティ対策ソフトによるリスク低減策の導入が必須と言えます。さらに、IoT機器が持つ脆弱性や侵入された際のリスクの検証では、IoTデバイスの脆弱性を専門的に調査するIoT機器へのデバイスペネトレーションテストの利用が有効です。攻撃者と同じ手法でIoT機器のハッキングを実施し、通常の利用方法では想定されない動作から脆弱性の有無や悪用された場合のリスクを分析します。これらは、様々なクラウドサービスとの機能連携により、その設定や使用状況に問題がないかを確認します。クラウドサービスの利用をネットワーク経由で常時確認しつづけ、データの持ち出しや機密データへの不正なアクセスを発見、自動対処を可能にします。さらに、情報システム担当者を悩ませているのが、従業員が無断で許可されていないデバイスやクラウドサービスを利用するシャドーITです。「野良クラウド」ともいわれるシャドーITは、企業や組織が管理する領域にとどめておくべき個人情報や機密データが、オンラインストレージやチャットサービスを介して簡単に外部に持ちだされてしまう恐れがあります。IT資産管理のルールとして、導入されている機器のメーカー・機種名の把握はもちろん、機器の脆弱性情報を常に確認し、アップデートがある場合、適切かつ速やかに適用を行う必要があります。特に、インターネットに直結しているネットワーク機器は常にサイバー攻撃にさらされているため注意が必要です。Withコロナ時代、そして働き方改革やデジタルトランスフォーメーションにおいて、社会の仕組みや人の動きに大きな変化が出ている現在、サイバー攻撃の手口の変化にあわせ、これまでの安全に対する認識を改めなくてはならない時期がきています。コロナ禍で社会におけるニューノーマルな行動習慣が求められるように、サイバーセキュリティにおいてもニューノーマルな行動をとっていきましょう。定期的なセキュリティ監査では、セキュリティベンダーの専門家による海外拠点・現地法人でのセキュリティアセスメントの実施を推奨します。セキュリティベンダーに依頼することと自主的な実施との違いは、以下が可能なことです。標的型攻撃では、サイバー攻撃者が標的とする企業の海外拠点・現地法人への侵入とともに、標的企業に納品する企業や関連会社など委託先を対象として情報収集や踏み台にする事例が確認されています。さらには、情報モラルの低い従業員による個人情報の持ち出しなど、内部不正なども問題なっています。現代では、ビジネスやマーケットのグローバル化が進み、海外拠点をもつ企業も多くなりましたが、新型コロナウイルス感染の拡大はグローバル展開をする企業のビジネスにも大きな影響をもたらしています。また、セキュリティ監査スコアの達成をマネジメントのインセンティブに加えることで、現地ビジネスの推進とセキュリティレベルの向上が保たれる場合もあります。在宅テレワークを前提にした働き方が求められる中、今私たちはサイバーセキュリティにおいても新型コロナウイルス感染症対策と同様に「ニューノーマル」な行動様式を取り入れる時が来ているのではないでしょうか？今回ラックは、コロナ禍によって生じた急激なIT利用環境の変化やそれを狙ったサイバー攻撃など、予測不能なリスクが顕在化する時代に向け、改めて注意すべきサイバーリスクを分析し「Withコロナ時代の7つのサイバーリスク」として提言します。そして本提言が、新たな時代のサイバーリスクに打ち勝つ経営のヒントになることを願っています。例えば、現地法人で強い権限を持ったトップマネジメントが支配的リーダーシップを発揮している場合、従業員もそのマネジメントに従順になる傾向があります。日本国内から統制を行おうとしても、現地トップマネジメントが介入し、自分たちの拠点の事業運用に都合の良いルールの解釈や独善的な対応が行われるケースがあります。これらの状況は、現地の特性を生かした自主的なビジネスオペレーションでは有益に機能する場合がありますが、情報システムやセキュリティルールの統制が取れない場合、セキュリティレベルの低下につながります。2019年2月から開始された、国の研究機関NICT、総務省、およびインターネットプロバイダが連携して実施しているIoT機器のセキュリティ対策状況を調査するプロジェクト「NOTICE」によると、日本国内の1.1億IPアドレスに対しID・パスワードが入力可能だったものが約10万件、攻撃に利用されやすいID・パスワードで管理画面にログインできたものが2200件以上と報告されています。Withコロナ時代の7つのサイバーリスク～いま経営者が考えるべき、テレワークとサイバーセキュリティとは～また、コロナ禍による緊急事態宣言の発令当初は、テレワークの急増によってネットワーク帯域ひっ迫に伴うパフォーマンスの低下が続出し、情報システム部門による機器の入れ替えや頻繁な設定変更が見られました。充分なテストが行われないまま設置されたネットワーク機器の設定不備や未修正の脆弱性を突いた、社内システムへの不正侵入のリスクも考えられます。また、サプライチェーンに対してのセキュリティレベルの向上については、委託先への基本取引契約書への遵守すべきセキュリティレベルの提示や、ISMS、プライバシーマークなどのセキュリティ認証取得の要件化を推奨します。ラックの実施する標的型攻撃メール訓練では、実に15％を超える利用者が攻撃メールに記載されたリンクや添付ファイルを開封するという結果が出ています。人と人との距離を取る、ソーシャルディスタンスが様々な場面で求められるニューノーマルなビジネスシーンでは、様々なセンサーとクラウド、そしてAIを組み合わせたサービスの積極的な活用がビジネスチャンスを拡大します。そしてインターネットにつながれて通信機能を持ったIoT機器は、社会インフラを大きく変化させる技術として大きな注目を集めています。このようなリスクに対しては、テレワーク時のデータ取り扱い方法や業務ルールの制定にクラウドサービス利用方針の制定が必要です。企業や組織が許可したクラウドサービス（Sanctioned IT＝認可されたIT）のみを利用するよう義務付け、私的なアカウントの利用や、許可されていないクラウドサービスの利用を抑止する必要があります。サイバー攻撃で使用されるメールの文面も年々狡猾化しており、自然な日本語や実在する企業名や組織名を騙った偽メールを一見して判別することは非常に困難です。スマートフォンから操作できるスマート家電や住宅設備、ヘルスケア機器。オフィスにあるプリンター複合機や監視カメラ、ネットワークのハブとなるルーターやネットワークスイッチなどの機器も、IoTデバイスの一種といえます。そして、このようなネット接続機器対してもサイバー攻撃が増加しています。企業や官公庁を狙ったサイバー攻撃による被害が止まりません。特になりすましメールやパソコンなどのクライアント端末のウイルス感染は大きく増加傾向にあります。また、新型コロナウイルス感染症対策に追われ、テレワーク、在宅勤務を急拡大したことによって、これまでとは異なる観点でのサイバーリスクも生じてきています。通常、脆弱性の発表時には製品のアップデートも同時にリリースされますが、利用者側にアップデートが適用されるまでのわずかな時間差を突いた「ゼロデイ攻撃」と呼ばれるサイバー攻撃が増加しています。特に影響の大きい脆弱性の場合、公表された直後に広い範囲で類似の攻撃が大量に観測された事例もあります。海外拠点・現地法人の定期的かつ定量的なセキュリティ監査は、日本法人が制定したセキュリティルールや基準が、どの程度遵守されているかの定量的な測定と評価により可視化と是正を可能にします。文化が異なる地域では、セキュリティ対策による情報統制はコストアップやビジネスの阻害要因と考えるトップマネジメントも存在するため、定量的な評価を定期的に行うことで事業KPIの一環として位置づけられます。それに加え、EDR（Endpoint Detection and Response）ソリューションなどのエンドポイント端末（利用者端末）で発生するインシデントを記録、検知するソリューションを導入すれば、誤ってマルウェア付きメールを開封した際の検知および封じ込めと同時に、インシデント発生原因の究明とリカバリー時間を短縮することができます。また、従業員のクラウドサービスの適切な利用状況をシステム的に確認するためには、CASB（Cloud Access Security Broker：キャスビー）やSASE（Secure Access Service Edge：サシー）などクラウドの動きを統制する仕組みの導入が有効です。また、企業や組織でIoT機器を使ったシステムを導入する場合、物理的な設置場所にも注意が必要です。人の手が届く場所にIoT機器を設置した場合、サイバー攻撃者が直接機器にアクセスするリスクがあります。使用されているIoT機器の回路構造やチップに内蔵されているプログラムをあらかじめ解析しておき、機器が自由に操られる可能性もあります。