【テレワークのトラブル】情報漏えい事例と対策

対策例

このようなトラブルは、「ルール」「人」「技術」それぞれに関わる問題点を認識した上での対策が必要です。モバイル環境でのテレワークにおいては、周囲に様々な人がいる環境で仕事することもあります。このため、部外者の立入のない執務室では考えにくい端末画面の盗み見等による情報漏えいのリスクについて考慮する必要があります。

具体的な対策としては、まず「ルール」として、経営者が示す方針のもとでシステム管理者においてあらかじめ情報のレベル分けを行い、それぞれの取扱方法を定めます。さらに「技術」的対策として重要情報については社外からのアクセスを不可となるように設定することが考えられます。

ただし、テレワーク端末からアクセスする必要がある情報については、この方法は使えません。そこで「人」に関する対策として、重要情報を扱うときに画面を放置することの危険性を伝えるなど、テレワーク勤務者の意識を高めることで未然防止を図ることが求められます。

対策例

ウェブサイトの中には閲覧するだけで、マルウェアや悪意あるソフトウェアをインストールしようとするものが存在します。もし画面上に何かの表示が出た場合は、すぐにクリックしないようにしましょう。その他、以下のような複数の対策をとることで安心・安全なテレワーク環境の構築につながります。

＜テレワーク勤務者における対策＞

• ＰＣ等のテレワーク端末へのウイルス・マルウェアの対策ソフトウェアの導入
• OSやアプリケーションのアップデート
• 危険なウェブサイト等へのアクセスを禁止するフィルタリングソフトの導入

＜システム管理者における対策＞

• サーバ用ウイルス対策ソフトの導入　等

対策例

• テレワークで用いる端末への新たなアプリケーションのインストール禁止
• プリインストールされたアプリケーション以外は利用できないようにする。もしくは、事前に安全性が認められたアプリケーションのみリストアップし、社内で共有する。
• テレワーク実施者は、リストにあげられたアプリケーションであればインストール可とする。

上記の場合、いずれもシステム管理者側でルールを定めた後、社内での周知も徹底が必要です。せっかく、安全なアプリケーションをリストにまとめても、その在り処をテレワーク勤務者が認知していなければ意味がありません。
また、システム管理者はテレワーク勤務者が端末にどのようなアプリケーションをインストールしているか把握できるようにしましょう。テレワーク利用端末へのＩＣＴ資産管理ソフトウェアの導入も検討するとよいでしょう。

対策例

テレワーク勤務者において、たまにしか利用しないPCを起動した直後は脆弱な状態になっています。業務着手に先立ちOSやアプリケーションのアップデートを行う必要があります。
こうしたアップデート作業には長い時間がかかることもあるため、効率的な作業の実施のためには定期的にPCのアップデートを行いいましょう。また、仮想デスクトップ方式においては、こうした更新作業が不要なディスクレスの端末を用いることもできるので、こうした方法を採用することも検討すべきです。

対策例

不審な電子メールを「迷惑メール」として通常の受信ボックスとは別の場所に保存したり、削除したりしてしまうことができます。これには次の３種類の方法があります。

＜テレワーク勤務者による対策＞

• 電子メールアプリケーションの迷惑メール対策機能を使う

システム管理者による対策

• テレワーク端末におけるマルウェア検知や異常な挙動等の脅威を一括で把握できるようなセキュリティ対策ツールの導入
• 勤務先等に設置されたメールサーバ上で一定の条件（日本語以外、実行形式の添付ファイル付、等）を満たす電子メールを分離
• インターネットサービスプロバイダが提供する迷惑メール対策機能を使う

対策例

持ち運ぶ機会が多く、盗難や紛失の恐れがある端末については、システム管理者において端末内に情報を保持しない端末を用意し、テレワーク勤務者に使ってもらうことが最も適切な対策となります（テレワークの方式における「リモートデスクトップ方式」「仮想デスクトップ方式」「クラウド型アプリ方式」に相当）。

ただし、そのような端末は携帯電話等の電波が届かない場所では利用できないため、それでは困る場合、端末内のハードディスクやSSD内の業務情報を暗号化しておき、その復号のための鍵（解除用のパスワード）を端末内に保存しないようにします。

携帯端末などでリモートワイプ（遠隔で端末内の情報を消去できる機能）があるものについては、テレワーク勤務者において日頃から有効にしておくことが望まれます。ただし意図的に情報を盗むことを目的として盗難にあった場合、電波の届かない場所で起動された場合にはリモートワイプは機能しないことも認識しておく必要があります。

対策例

次項でも説明するように、パスワードの設定されていない公衆無線LANや、ホテルに設置されたインターネット回線等においては、同時に利用している他者に通信内容を傍受される恐れがあります。
また、パスワードが設定されていてもそのパスワードが不特定対象に公開されている場合は、なりすましの偽アクセスポイントを設置されることで同様に通信内容を傍受される可能性があります。

こうした環境でテレワーク勤務者が秘密情報を送受する必要がある場合、あらかじめ秘密情報を格納したファイルを暗号化したり、暗号化機能を備えた電子メールアプリケーションを利用したりするか、VPNのような通信経路を暗号化するサービスを利用することが適切です。
なお、暗号化に用いたパスワードを別のメールで送っても対策にはなりません。電話やショートメッセージ等で送るなどの工夫が必要です。

対策例

テレワーク勤務者が他人の視線のある環境でテレワーク作業を行う場合、端末にプライバシーフィルターを装着することで内容を把握されにくくなります。
ただし、プレゼンテーション用のスライド資料ように文字サイズが大きな文書を編集する場合、プライバシーフィルターを装着していても隣の席などから読めてしまうことがあるため、他人の視線のある環境で重要な資料を作成することは避けましょう。