テレワークとセキュリティ

一般的なテレワーク/リモートワーク/在宅勤務のセキュリティというと、偶発的盗難とか、紛失などがテーマとなっていると思うが、ここでは職業的犯罪集団や、プロの産業スパイ、敵性国家の諜報活動などに対してのセキュリティ、というものを考えてみたい

一般的なテレワークとセキュリティ

おそらく、盗難や紛失対策として、多元的認証や、シンクライアント、VPN、暗号化などが考えられているだろうが、このような技術的手段では、殺人もいとわないような犯罪集団が相手では無力だろう。

テレワーク前

会社に出社しなければ、業務(社内システムへのアクセス)ができない状態。

よって、社員や、社員の自宅を急襲したとしても、職業的犯罪集団らが取得できるものは、社員カード(入館証)やパスワード(認証情報)などであり、結局は社内システムへアクセスするにはオフィスへ侵入する必要がある。

オフィスへの物理的アクセスは、警備員、防犯カメラ、犯罪対象の社員の同僚の目などがあり、犯罪者側からは、なかなかにリスクが高いと思われる。

オフィスへの侵入は、映画やドラマでは手に汗握る一番盛り上がる場面かもしれないが、それはつまりリスクが高いということであり、現実的にはあまり選択されないだろう。

さらに社員の拉致・監禁は、(無断欠勤ということになり)数日で露呈してしまうというリスクもある。

まぁ、病欠申請をしておけば長期間の拉致・監禁は可能かもしれないが・・・

結論として、社員や、社員の自宅はターゲットになりにくいのではないか。

テレワーク後

社員、社員の自宅を急襲することで、職業的犯罪者集団らは、社内システムへアクセスすることができてしまう。

こういう場面では、ターゲットとなった社員やその家族に対する命の保証はないだろう。

テレワークが普及すれば、何日間も出社する必要がないわけで、数日間(露呈しないように平日日中だけ不正アクセスするというパターンも考えられる)にわたって不正アクセスされる危険性がある。

つまり、テレワークが普及することで、社員やその住居は、職業的犯罪集団などのプロの犯罪者集団にとって格好のターゲットになる危険性がでてくる。

想定される侵害行為

社内システムからの社内機密情報、国家機密情報などの窃取や、社内システムへのマルウェアの散布など

危険度の高い企業

おそらく多くの民間企業は、本稿のようなセキュリティを気にするほどのことはないかもしれないが、パッと思いつく以下は気を付けたほうがよいかもしれない。

仮想通貨取引所や投資会社を含む金融業界。

行政府関係の仕事をしている企業(内容によるかも、外務省/防衛省とその他0の省庁では危険度に違いがあるかも)。

軍事技術を生産している企業。

兵器へ転用可能な技術を有している企業。

超大規模な個人情報を有している企業。

総会屋対策が必要な大企業(今どき総会屋などはいないのか!?)。

社会インフラを運用管理している企業。

情報セキュリティ業界(これはターゲットにされないか!?)。

その他にもあるかもしれない。

対策

あまり効果的なものが、私には思い浮かばない。

一日一回のテレビ電話。・・・生存確認と、なりすまされてない事の確認

最近ではフェイク動画というものもあるので、特に敵性国家の諜報機関を相手にするのであれば、効果はないかもしれない。

動画の顔と口元と音声を入れ替えることができるらしい。→フェイク動画

社員の自宅をオフィスビルと同程度の物理的セキュリティ(警備会社に警備員に防犯カメラ)にする。

こんなことが現実的ではないことぐらいは分かる

リンク(蛇足)

ほとんどはサイバー攻撃関係で、サイバー犯罪with物理犯行というものの報道はないけど・・・備忘録的リンクです

・NTTコミュニケーションズから防衛省情報流出か　河野氏「企業の対策見極めたい」
・当社への不正アクセスによる情報流出の可能性について
・当社への不正アクセスによる情報流出の可能性について(第2報)
・サイバー攻撃急増 テレワークに使う企業のサーバーねらいか
・NTTコムに不正アクセス　法人の工事情報が漏えいした疑い
・NTTコムにサイバー攻撃　自衛隊の通信情報流出か
・NTTコミュニケーションズは裏口も攻められた
・BYOD端末と撤去控えたサーバーが狙われたNTTコミュニケーションズへの2つの不正アクセスをまとめてみた
・APT41≒Winntiが正規の暗号化アプリBestCryptを使ってランサムウェア攻撃した事案が、台湾の事案と類似点多し。台湾政府（法務部調査局）がWinntiおよび中国人が犯行に絡んでいると明言した点はさすが。日系でも被害あるはず。
・この図だと一番左の海外拠点の運用サーバーは (停止済) となっているので、今も稼働しているように見える Pulse Secure の SSL-VPN はこれとは違うものなんでしょうかね
・原発や軍事用に使われている中国製シリコンチップにサイバー攻撃可能な未知のバックドアが発見される
・三菱電機へのサイバー攻撃、VPN装置にハッキングか
・三菱電機、不正アクセス事件の詳細を公開、攻撃者は「ファイルレスマルウェア」で中国拠点から感染を拡大
・テレワークで使う「家庭用ルーター」が危ない！　セキュリティ対策をあなどってはいけない理由
・テレワーク 導入後26％の企業がもうやめた…定着への課題は
・ヤフーは10月からリモートワークを恒久的な制度とする。交通費は実費精算で、定期券代の支給を廃止。社員には月7千円の在宅手当てを支給する。午前10時～午後3時としていたコアタイムも廃し、週末や早朝深夜を除き
・リモートワークOKでもエンジニアに退職される企業に多い6つの特徴
・VPN との終わりなき戦い ～怒濤の全社テレワーク編～
・DLP：機密度を見極め、情報漏えいを阻止する「データの出入国審査官」
・【レポート】第26回ニフクラエンジニアミートアップ『ウィズコロナ時代のテレワークセキュリティ超入門』
・コロナ禍で高速なv6プラスも一部で大幅な速度低下
・テレワーク、VPN暗証番号流出　国内38社に不正接続
・信頼していたVPNが悪用された場合に何が起きるのか
・何かと思ったらこの件でしたか
・パッチ未適用のパルスセキュア社VPN、日本企業46社のIPアドレスがさらされる
・VPN認証情報漏洩に見る脆弱性対策を浸透させる難しさ
・平田機工、VPNのセキュリティインシデント公表--端末確認で不正侵入を阻止
・これ
・ＶＰＮ、突かれた欠陥　サイバー攻撃、９００組織の接続情報流出
・延べ900社の顧客情報流出か　多要素認証を無効化される
・VPN機器を狙ったサイバー攻撃が継続中！セキュリティ事故を防ぐ3つのポイントとは
・わかりやすさ重視、テレワークセキュリティのチェックリスト公開（総務省）
など・・・
・ビデオ会議で『任意の画像』に喋らせるMacアプリ「xpression camera」無料配信
・国内600組織にサイバー攻撃　テレワーク機器の欠陥悪用、警察庁も被害
・テレワーク戦略の弱点となるルーター
・コロナ禍で個人の情報セキュリティ意識が低下？ IBM Securityがレポート発表
・イエラエセキュリティ、テレワーク環境におけるセキュリティ対策状況をホワイトハッカーの視点で評価
・リモートワーク中に3日ほど仕事をサボってキャンプをしてても、上司は気づかないのでは？
・ディープフェイクを悪用し、存在しない人物がリモート面接を突破している　FBIが警告

以上