テレワークをサポート

ヒューストン地区日系企業の皆様

何かとご不便な状況の中で業務を遂行されておられると推察いたします。弊社Computerdojo, Inc.は当地テキサス州ヒューストンで24年間、ITコンサルティングのお仕事をさせていただいております。何かお手伝いできることや、お困りのことがございましたらお気軽にご相談くださいませ。

*セキュリティの参考情報はこちらへ
*テレワークセキュリティのチェックリストはこちらへ

お問い合わせ先

Computerdojo, Inc. 米元（よねもと）
メール telework@computerdojo.com
電話 281-224-2124

オンライン会議ツールのセキュリティを今すぐ再確認しましょう！その他、テレワークセキュリティをチェックするために、資料を五段階に分けてまとめてみました。日本国政府機関とその関連機関が無料で公表している情報を元に、このページを基点として必要かつ実用上十分な情報をご案内できるように構成しています。ご参考になれば幸いでございます。

初版 令和2年9月11日 総務省より抜粋（誤字脱字等一部訂正）

会社で許可したテレワーク端末のみをテレワークに使用しており、使用している端末とその利用者を把握している。

マルウェア感染
不正アクセス
盗難・紛失
.

テレワークで利用している機器とそのユーザーを把握できていない場合、各種セキュリティ対策が未実施の端末が存在するリスクが増加します。また、シリアルナンバー等の端末固有の情報を把握していない場合、端末の盗難や紛失時にその実態を把握することが困難であるなどのリスクが増加します。

テレワークで利用しているシステムや取り扱う重要情報※1を把握している。

※1  営業秘密など事業に必要で組織にとって価値のある情報や、顧客や従業員の個人情報など管理責任を伴う情報

.
不正アクセス
.
情報の盗聴

テレワークで実施している業務や利用しているシステム、取り扱う重要情報を把握していない場合、利用システムや重要情報の取り扱いに関する各種セキュリティ対策が、未実施のままになっている懸念が増加します。

テレワーク端末にウイルス対策ソフトをインストールし、リアルタイムスキャンが有効になる設定としている※2。またウイルス対策ソフトの定義ファイルを自動更新する設定、もしくは手動で最新に更新するルールを作成してい る。

※2  Windows製品に標準で導入されているウイルス対策ソフト（Windows Defender）を利用する場合、またiOS製品で、安全であることが確認できる方法

（公式アプリケーションストアの利用等）でインストールしたアプリのみを利用している場合は、インストール作業は不要

マルウェア感染
.
.
.

最新化されたウイルス定義ファイルであれば駆除できていたマルウェアの駆除ができないため、テレワークで利用している端末でマルウェアに感染するリスクが増加します。

不審なメールの開封や、そのメールに記載されているURLのクリック、添付ファイルを開かないように注意喚起をしている。また利用しているメール製品に不審なメールを除外する機能がある場合は有効化している。（クラウドサービス（Webメール）の利用が無い場合は対象外）

マルウェア感染
.
.
.

不審なメールに記載されているURLをアクセスすることで悪意のあるサイトに誘導され、マルウェアの感染や、重要情報にアクセスするための認証情報等が取得されるリスクが増加します。不審な添付ファイルを開くことでマルウェアに感染するリスクが増加します。

テレワーク端末（スマートデバイス）へのアプリケーションのインストールは、安全であることが確認できる方法

（公式アプリケーションストアの利用等）によるインストールに限定する。

マルウェア感染
.
.
.

公式アプリケーションストア上からアプリケーションをインストールしていない場合、正規のアプリケーションを模したマルウェアをインストールし、マルウェアに感染するリスクが増加します。

システムによるアクセス制御や重要情報そのものに対するパスワード設定等により、重要情報は許可された人のみが利用できるようにしている。

.
不正アクセス
.
.

重要情報へのアクセスを業務上必要なユーザーのみに制限するように、重要情報を保管しているシステムやツールによるアクセス制御や重要情報そのものにパスワードを設定する等の制限を実施していない場合、本来アクセス権限が必要ではないユーザーのアカウントが不正利用されたり、ユーザーの不作為（操作ミス等）により重要情報を流出するというリスクが増加します。

インターネット経由で社内システムにアクセスする際に必要なポートやIPアドレス以外からのアクセスを、社内ネットワークとインターネットの境界線に設置されているファイアウォールやルーター等にて遮断している。

.
不正アクセス
.
.

社内システムへのインターネット経由でのアクセスに必要なポート以外のポートやIPアドレスからの通信がファイアウォールやルーターで遮断されていない場合、本来不要である許可ポートを利用した悪意のある攻撃（脆弱性を突いた攻撃やアカウントのなりすまし等）により不正アクセスされるリスクが増加します。

オンライン会議の主催者はミーティングの開始時および途中参加者が出た際に、参加者の本人確認を実施している。（クラウドサービス（オンライン会議）の利用が無い場合は対象外）

.
.
.
情報の盗聴

オンライン会議の開始時や途中参加者発生時に本人確認を実施しないことにより、会議に不適切なユーザーが不正に参加していることに気付くことができずに、会議を通じた情報漏洩のリスクが増加します。また、オンライン会議においては、本人と対面しないため、参加者がシステム上に表示されている名前の本人であることを、カメラによるビデオ映像や音声等の方法によって確認する必要があります。

オンライン会議にアクセスするためのURLや会議参加のパスワードを不要なメンバーに伝えないようにしている。また会議参加のパスワード設定を強制させることが可能な場合は、パスワード設定を強制している。（クラウドサービス（オンライン会議）の利用が無い場合は対象外）

.
.
.
情報の盗聴

オンライン会議の参加のためのパスワードやURLを不要なメンバーに伝えることで、会議に不適切なユーザーが不正に参加することで会議を通じた情報漏洩のリスクが増加します。 また、パスワードの設定や強度をしない（できない）場合は、ユーザーによるパスワード未設定や容易に推測可能なパスワードを設定することにより、会議への不正参加のリスクが増加します。 また、会議の不正参加の防止については、URLやパスワードの秘匿以外に、会議開始時の本人確認の徹底などにより代替することが可能です。

オンライン会議の主催者は必要に応じて不適切な参加者を退出させるなどし、会議を適切に進行している。（クラウドサービス（オンライン会議）の利用が無い場合は対象外）

.
.
.
情報の盗聴

オンライン会議において、不適切な参加者が確認された場合に物理的な退出処理はできないため、会議主催者による強制退出が実施できないと、適切な業務の遂行が実施できないリスクが増加します。

テレワーク端末に対して覗き見防止フィルタを貼付し、離席時にはスクリーンロックをかけるようルール化している。

.
.
.
情報の盗聴

テレワークの作業環境は、オフィス環境に比べて、家族を含む不適切な人物が物理的にテレワーク端末を覗き見（ショルダーハッキング）が比較的容易な環境であることが懸念されます。そのため、覗き見防止フィルタの貼付や、離席時のスクリーンロックの実施を行わない場合、テレワーク端末越しの情報漏洩や不正利用のリスクが増加します。

テレワーク端末はメーカーサポート切れとなるバージョンのOSやアプリケーションは利用していない。

.
不正アクセス
.
.

テレワーク端末のOSやアプリケーションとしてメーカーサポート切れの製品を利用している場合、製品としてセキュリティアップデートが行わないため、製品の脆弱性に対する攻撃により不正アクセス等のリスクが増加します。

テレワーク端末のOSやアプリケーションに対して最新のセキュリティアップデートを適用している。

.
不正アクセス
.
.

テレワーク端末のOSやアプリケーションに対して最新のセキュリティアップデートを適用していない場合、製品の脆弱性に対する攻撃により不正アクセス等のリスクが増加します。

テレワークで利用する自宅のWi-FiルーターやモバイルWi-Fi等は、メーカーサポートが切れている製品を利用しておらず、最新のファームウェアを適用している。

.
不正アクセス
.
.

テレワークで利用している自宅に設置しているWi-Fiルータ等において、メーカーサポート切れや古いファームウェアの状態で利用している場合、該当ファームウェアの脆弱性に対する攻撃による不正アクセス等のリスクが増大します。

テレワーク端末から社内にリモートアクセスする際に利用するVPN機器や、会社端末のリモートデスクトップアプリケーション等について、メーカーサポート切れの製品は利用せず、最新のセキュリティアップデートを適用している。

.
不正アクセス
.
.

テレワークを実施するために社内に設置している VPN 機器は、利用目的の特性としてインターネットからの通信を許可することになります。そのため、メーカーサポート切れや古いファームウェアの状態で利用している場合、インターネット外部から該当ファームウェアの脆弱性に対して攻撃されることによる不正アクセス等のリスクが増大します。

テレワークでクラウドサービス（Webメール、チャット、オンライン会議、クラウドストレージ等）を利用する場合は、HTTPS通信でかつ、接続先のURLが正しいことを確認している。
（クラウドサービスを利用していない場合は対象外）

.
.
.
情報の盗聴

テレワーク勤務者がインターネット経由でクラウドサービスへアクセスする場合は、オフィス環境からのアクセスに比べて無線LANの利用等による通信を傍受される可能性が高いと推測されます。暗号化されていない通信のオンライン会議システムを定常的に利用する場合、悪意のある第三者による通信の傍受により情報漏洩するリスクが増加します。

クラウドサービスに接続する際や、ID・パスワード等の情報を入力するサービスに接続する際には、暗号化され ているHTTPS 通信であることを確認してから使用している。

.
.
.
情報の盗聴

テレワーク勤務者が利用する公共の無線LANが、機器の脆弱性や使用している暗号強度等、セキュリティ面で懸念があるような非暗号化通信を使用する場合、悪意のある第三者による通信の傍受により情報漏洩するリスクが増加します。

自宅のWi-Fiルーター等の機器を利用する場合は、Wi-Fiのセキュリティ方式として「WPA2」を利用して、パスワードは第三者に推測されにくいものを利用している。

.
.
.
情報の盗聴

テレワーク勤務者が利用する公共の無線LANや自宅設置のWi-Fiルータにおいて、暗号強度の弱いセキュリティ方式（WPA2以外）や推測しやすいパスワードを利用している場合、悪意のある第三者による通信の傍受により、情報漏洩するリスクが増加します。

情報セキュリティインシデント発生時に備えて、インシデントが発生した場合や懸念がある状況（不審なメールを開封した場合等）における対応方針を決定しており、関係者への各種連絡体制を定めている。

マルウェア感染
不正アクセス
盗難・紛失
情報の盗聴

情報セキュリティインシデント発生時の対応方針や、関係者への連絡体制が定められていない場合、セキュリティインシデントの発生自体の把握や被害拡大の早期防止等ができずに、セキュリティインシデント全般の発生時の被害が増大するリスクが増加します。

テレワーク端末とアクセス先の各システムの時刻が同期されるように設定している。

マルウェア感染
不正アクセス
盗難・紛失
情報の盗聴

テレワーク端末とアクセス先の各システムの時刻がずれている場合、情報セキュリティインシデント発生時の原因調査において各種システムログを利用した原因や被害状況の特定や絞り込みの難易度が高くなり、その結果、インシデントによる被害拡大防止のための適切な対応を実施することができずにセキュリティインシデント全般の発生時の被害が増大するリスクが増加します。

テレワーク端末から社内システムにアクセスする際のアクセスログを収集している。

マルウェア感染
不正アクセス
盗難・紛失
情報の盗聴

テレワーク端末から社内システムにアクセスする際のアクセスログを収集していないことで、情報セキュリティインシデント発生時の原因調査において原因や被害状況の特定や絞り込みが困難になり、その結果、インシデントによる被害拡大防止のための適切な対応を実施することができずにセキュリティインシデント全般の発生時の被害が増大するリスクが増加します。

テレワーク端末（スマートデバイス）の紛失時に端末の位置情報を検出できるようにしている。

.
.
盗難・紛失
.

テレワーク環境においては、オフィス等で業務を実施する場合に比べて、テレワーク端末の紛失による悪意のある第三者に物理的に取得される可能性が高い懸念があります。テレワーク端末の位置情報を検出するためのアプリケーションソフトウェアを導入していない場合、紛失時の早期発見が困難となることで悪意のある第三者の取得による不正なデータアクセス等の情報漏洩のリスクが増加します。

テレワーク端末（スマートデバイス） の紛失時にMDM※3等を導入し、リモートからのデータの消去、ログイン時の認証ポリシーやハードディスクの暗号化などのセキュリティ設定を強制的に適用している。
※3 Mobile Device Managementの略称で、スマートフォン等のスマートデバイスを一元的に管理・運用すること、又はその機能を提供するソフトウェア

.
.
盗難・紛失
.

テレワーク環境においては、オフィス等で業務を実施する場合に比べて、テレワーク端末の紛失による悪意のある第三者に物理的に取得される可能性が高い懸念があります。リモートからデータ削除を行う機能や、ログイン時の認証ポリシーやハードディスクの暗号化等を強制していない場合、紛失時に悪意のある第三者が取得することによる不正なデータアクセス等の情報漏洩のリスクが増加します。

テレワーク端末の盗難・紛失時に情報が漏えいしないように、ハードディスクやフラッシュメモリ※4等の内蔵された記憶媒体の暗号化を実施している※5（端末に会社のデータを保管しない場合は対象外）
※4 ハードディスクとは異なる記憶媒体の一つで、「不揮発性の半導体メモリ」をさす。電源をおとしてもデータを保持することが可能な記憶媒体
※5 iOS製品については初期状態で暗号化されているため対応不要

.
.
盗難・紛失
.

テレワーク環境においては、オフィス等で業務を実施する場合に比べて、紛失や盗難などによりテレワーク端末のハードディスクを悪意のある第三者が物理的に取得する可能性が高い懸念があります。ハードディスクの暗号化を実施していない場合、取得されたハードディスクの読み取りが可能な装置に接続することで、アカウントの認証無しにデータにアクセスされることが可能であり、保存している情報を漏えいするリスクが増加します。

テレワーク端末には原則として重要情報を保管しておらず、もし重要情報を保管しなければならない場合※6には、ファイルの暗号化（パスワード設定等）を実施している。（端末に会社のデータを保管しない場合は対象外）
※6 テレワーク端末のローカルにファイル保存するケースであり、ファイルサーバやクラウドストレージ、各種クラウドサービスのシステム内に保存するケースは対象外

.
不正アクセス
盗難・紛失
.

テレワーク環境においては、オフィス等で業務を実施する場合に比べて、紛失や盗難などによりテレワーク端末のハードディスクを悪意のある第三者が物理的に取得する可能性が高い懸念があります。 テレワーク端末に保管された重要情報に対してパスワード設定等の暗号化を実施していない場合、ハードディスクの盗難時やマルウェア等による不正アクセス時に、テレワーク端末に保存されている重要情報にアクセスされて情報漏洩するリスクが増加します。

オンライン会議を実施する際に、会議のタイトルや議題に重要情報を記載しないことや、会議の録画ファイルに対してパスワードの設定や期間指定の自動削除、等を実施している。上記のルールを強制することが可能な場合は、強制するように設定する。
（クラウドサービス（オンライン会議）の利用が無い場合は対象外）

.
.
.
情報の盗聴

オンライン会議に関する、適切なルールを作成していないことにより、本来、共有する必要が無い情報を共有してしまう懸念があります。具体的には、公開されている会議そのものの情報（会議のタイトル等）に重要情報を含めてしまう、会議中に共有する予定ではないデスクトップ画面情報やビデオ画面や音声等の不作為によって共有してしまう、会議の録画ファイルが不適切な第三者に参照される、等による情報漏洩のリスクが増加します。また、上記のルールをシステム的に強制できない場合、利用者がルールを守らないことによる情報漏洩リスクの増加が発生します。

テレワーク端末のログインアカウントや、テレワークで利用する各システムのアカウントのパスワードは破られにくい「長く」「複雑な」パスワードを 設定している。またパスワード強度を強制することが可能である場合は強制するように設定している。

.
不正アクセス
.
.

ユーザーが利用する端末のログインアカウントや、テレワークで利用するシステムのアカウントのパスワードが破られやすい容易なパスワードに設定している場合、悪意のある第三者にパスワードが把握されやすくなり、なりすましによる不正アクセスが行われるリスクが増加します。

テレワーク端末へログインするためのパスワードや、テレワークで利用する各システムのアカウントの初期パスワードは変更している。

.
不正アクセス
.
.

従業員が利用する端末のログインアカウントや、テレワークで利用するシステムのアカウントの初期パスワードを変更していない場合、悪意のある第三者にパスワードが把握されやすくなり、なりすましによる不正アクセスが行われるリスクが増加します。

テレワーク端末やテレワークで利用する各システムのアカウントが一定回数以上パスワードを誤入力した場合、パスワード入力ができなくなるように制限している。

.
不正アクセス
.
.

テレワークで利用する端末や各システムのアカウントで、一定回数以上パスワードを誤入力した後に、パスワード入力ができないように制限していない場合、悪意のある第三者によるパスワード試行が容易に実行できるため、パスワードが把握されやすくなり、なりすましによる不正アクセスが行われれるリスクが増加します。

テレワークで利用する各システムにアクセスする際に多要素認証を求めるように設定している。

.
不正アクセス
.
.

テレワークで利用する各システムへのアクセスに対して多要素認証を設定せずにID/Passwordのみで認証を行うことで、悪意のある第三者にパスワードが流出された場合に、なりすましによる不正アクセスが行われるリスクが増加します。

テレワーク端末やテレワークで利用する各システムにおいて、業務上必要な最小限の人に管理者権限を与えている。

.
不正アクセス.
.
.

テレワークで利用する端末や各システムにおいて、業務上不必要に管理者権限をユーザーに与えている場合、悪意のある第三者が不正アクセスで重要情報にアクセスできる可能性が高くなり、重要情報の漏洩のリスクの増加や、ユーザーの不作為による情報漏洩のリスクが増加します。

テレワーク端末やテレワークで利用する各システムの管理者権限のパスワードには、強力なパスワードポリシーを適用している。

.
不正アクセス
.
.

テレワークで利用する端末や各システムの管理者権限のパスワードに、強力なパスワードポリシーを適用していない場合、破られやすい容易なパスワードにユーザーが設定することで、悪意のある第三者にパスワードが把握されやすくなり、なりすましによる不正アクセスが行われるリスクが増加します。

テレワーク端末やテレワークで利用する各システムの管理者権限は、必要な作業時のみ利用している。

.
不正アクセス
.
.

管理者権限が必要な作業時以外で管理者権限を利用することで、管理者権限の利用情報などから不正アクセスの懸念を発見する等が困難になったり、ユーザーの不作為による情報漏洩のリスクが増加します。

お問い合わせ先

Computerdojo, Inc. 米元（よねもと）
メール telework@computerdojo.com
電話 281-224-2124