New Normalなリモートワークのセキュリティユースケースはこれだ！（その１）

COVID-19の影響で、テレワーク・リモートワークの導入が一気に加速しています。そして、スマートフォンやタブレットの普及、BYODの採用、クラウド利用の増加で、業務に利用されるデバイスやアクセス経路の多様化によるハイブリッド型ワークスタイル環境の導入も進んでいます。それに対するセキュリティ対策が重要かつ急務となっていることから、数年前から言われているゼロトラストが今注目を浴びています。

ゼロトラストは、複数のリサーチ会社やセキュリティベンダー、研究機関が各々の定義で語っているので少々分かりにくい状況になっていると思いますが、まずは何から実施していけばいいのか、ユースケースを交えて説明します。

最優先で対処すべき課題

VPNで社内ネットワークにアクセスする時やSaaSの業務アプリケーションに直接インターネットからアクセスする時に初めにすることはクレデンシャル情報（ID・パスワード）を用いて認証しログインすることですが、そのクレデンシャル情報が漏洩し、悪用されたらどうなるか、想像してみてください。

重要資産の盗難・漏洩・破壊など、その被害の規模と影響範囲は計りしれず、社会的信用の失墜、財務的損害など事業継続に大きな影響を与え、ITやセキュリティ担当者は、その対応に追われる姿が想像できることでしょう。

米国ベライゾンの調査では、｢ハッキングによるデータ漏洩/侵害の80%以上で、ブルートフォースや紛失または窃取された認証情報が使用されている｣と報告されています（出典：2020年度データ漏洩/侵害調査報告書）。

クレデンシャル情報は、社外でのリモートワーク時に、のぞき見・盗聴・悪意のフリーWi-Fi・詐欺（偽）サイトなどで、容易に窃取されてしまうということを改めて認識することが重要です。

多要素認証で解決！

上述のように、ID・パスワードが窃取されることも想定し、それに備えて認証を強化することがとても重要になります。では、どうすればよいのでしょうか？　答えは、多要素認証を導入してセカンダリ認証を設けることで不正アクセスを防ぐことです。

多要素認証は、ID・パスワードといった「知識要素」に、「所有要素」・「生体要素」など2つ以上の要素で本人確認を確かなものにします。

今回紹介するCisco Systems社のCisco Duoは、様々な認証方法と多くのアプリケーション連携をサポートし、デバイスの状態に応じたポリシー設定でアプリケーション毎のアクセス制御を提供します。

特にプッシュ通知は、数秒でセカンダリ認証の通知がスマートフォンに届き、ワンタップで承認できるとても使い勝手のよいものになっています。