セキュリティ脅威を招く落とし穴（第8回）VPN自体に意外な“セキュリティリスク”も？

　セキュリティリスクに関する情報を提供しているIPAが2022年8月に発表した最新の「コンピュータウイルス・不正アクセスの届出事例」でもVPN装置に関するものが取り上げられている。

　そこには「特に、VPN装置の脆弱性は、外部から装置内部の任意のファイルを読み取ることができるというものであり、VPNに接続する際のIDやパスワードといった認証情報を搾取される恐れがある」と記載されている。使用しているVPN装置にどんな脆弱性があるかは一般企業では知る由もないだろう。

　こうしたVPNのセキュリティリスクへの対策としてはどんなことが考えられるのだろうか。基本となるのは従業員に対するセキュリティ教育だ。通信内容が盗み見られる危険性があるため、カフェやレストランなどが提供している公衆Wi-Fiを利用しないなど、VPNの認証情報を慎重に取り扱うことを徹底したい。

　VPNの接続状況をリアルタイムで監視する仕組みも必要になる。不正なアクセスが有った場合にすぐに検知することで被害の発生を防ぐことができる。接続できるデバイスをあらかじめ登録しておいて、それ以外からの接続を拒否するようにしておくことも有効な手段だ。

　不正侵入検知などのセキュリティ対策を組み合わせて外部からの脅威を未然に防ぐ統合型のセキュリティ対策ツールであるUTMの利用も考えたい。インターネットと自社システム環境の間に置くことで、外部からのさまざまな脅威を入り口でブロックできるようになる。

　また、外部からの不正な侵入を完全に防ぐことは難しいとの前提に立って、トラブルが発生した際の対応についてのガイドラインも策定しておくこともお勧めだ。同様に外部から侵入されてウイルスに感染した際にも被害が広がらないように横感染を防止する機能を持った機器を導入することも万が一の備えになる。

　そして、重要なことは「VPNを使っているから大丈夫」と考えないことだ。従業員のセキュリティリテラシーを高めつつ、不正なアクセスを防止する出入り口対策を徹底し、仮に侵入された時でも被害が広がらない仕組みを用意しておくという、セキュリティの基本に沿った総合的な対策を講じておく必要がある。