テレワークのルールを検討されている企業の担当者の方から、テレワークを導入する際のセキュリティ対策としてVPNを導入する必要があるかというご質問を頂くことがよくあります。この問いに対する回答としてはどうしても「会社の状況によってお奨めする・しないは変わる」となってしまいます。

この記事では、そもそもVPNとは何かから、導入するメリット・デメリット、導入する際のセキュリティ上の注意事項について説明していきます。

そもそもVPNという言葉を聞くのもはじめてで、セキュリティ対策になるらしいから何となく調べてみたという方もいるのではないでしょうか。

VPNとは、Virtual Private Networkの略で、直訳すると「仮想専用線」となります。これをイメージしてもらうには、まず仮想ではない場合をイメージすると分かりやすいかと思います。

例えば、オフィスと自宅とを、その間だけで情報のやり取りを行うための専用の通信ケーブルでつなげたとします。オフィス⇔自宅の間の情報のやり取りはこのケーブルからのみ行うとすると、それに繋がっていない場所から両者間の情報のやり取りにアクセスすることは不可能となります。つまり、その点では安全に（機密性を保って）通信ができることになります。

もっとも、物理的なケーブルで通信が発生しうる全ての拠点間をつなげることは現実的ではありません。そこで、既にあるネットワークの繋がり（例えばインターネット）を、特定の拠点間での専用線のように見立てて（仮想して）、特定の拠点間で通信を行うための仕組みがVPNとなります。

VPNには、インターネット環境を利用する「インターネットVPN」と通信事業者の閉鎖的なネットワークを利用する「IP-VPN」とがありますが、以下ではより手軽な（コストのかからない）インターネットVPNについて説明いたします。

そして、仮想専用線として特定の拠点間でVPN通信するためのツールが無料・有料問わず色々と出されています。具体的なツールの説明はここでは書きませんが、VPNを利用する際には下記のようなメリット・デメリットがありますので、その点を考慮して判断をする必要があります。

テレワークの形態としては様々ありますが、多くの担当者の方が今一番気にされていることとしては、「在宅ワーク」で従業員の自宅から会社のPC等にアクセスするケースかと思います。その場合にVPNを利用するメリットとしては、以下の点が挙げられます。

まず、在宅ワークでインターネットに接続する場合、VPNを用いない場合（自宅のネット環境から直接インターネットにアクセスする場合）、そのネットワークのセキュリティは、各従業員のネットワークの設定やセキュリティ対策に依存します。

つまり、オフィスで社内ネットワークからインターネットに接続していた場合には、会社の情シス担当者などが会社のポリシーに従ったネットワークセキュリティの保護対策を施していたのに対し、各従業員の自宅からインターネットにつなぐ場合はそのようなポリシーが適用されなくなるということになります。

これに対してVPN経由で接続する場合、社内のファイヤーウォールやマルウェア対策、アクセスログの取得やWebファクタリングなどといった、会社の適用していたポリシーもそのまま適用されることになるため、社内からPIをネット接続する際と同様の監視オペレーションが可能となります。

このように、VPNを利用すると、VPNを使用しない（かつ、その他の対策を採らない）場合と比べて、組織の監視のもとで適用すべきと判断したセキュリティポリシーを適用できるというメリットがあります。

つまり、情シス担当者など管理する側からするとその面では管理が楽になりますし、自宅などでPCを利用する従業員からすると、全ての対策を自身で行う必要がないため、自身の本来業務に勤しめます。

これに対して、VPNを利用するデメリットとしては、

ことなどが挙げられます。

運用コストとしては、

• VPNのツール自体のコスト
• 実際にVPNを用いて業務する従業員側のコスト（学習コストや在宅での利用時に発生したVPNによるトラブルへの対応など）
• 管理者側の運用コスト（調査や導入テスト、導入後のアップデートやトラブル発生時の対応など）

が考えられます。

つまり、それらの想定されるコストとこれによって対処できる情報セキュリティ上のリスクとを比べて、それでも導入すべきかということを判断する必要が出てきます。

そのような対応を疎かにして無計画にVPNを導入すると、それに起因するセキュリティ事故が発生する可能性が高まります。そしてその場合、VPNを導入しない場合よりもより大きな事故となる可能性も場合によっては起こり得ます。

以上みてきたように、VPNは在宅ワークをはじめとするテレワーク時において安全にネットワーク通信をする手段の一つではあり得ます。ただ、現状の自社での業務において本当に必要か、導入する際にセキュリティを担保して導入し得るかといったことを考慮せず、なし崩し的に導入していては却って危険なテレワーク環境を構築してしまう危険性もあります。

VPNの対策をはじめ、テレワーク導入に向けて情報システム担当者をはじめ各管理者の方が検討すべきセキュリティ課題はたくさんあります。

間違った対策をルール、本来の業務の妨げになるようなルールを構築してしまわないよう、テレワーク導入時のルール策定や運用に関してコンサルティングサービスを利用してみるのもいかがでしょうか。

ISMS取得できるのか？いつまでに取れそうか？どれくらいの費用がかかるのか？
取得される企業様の状況によって変わりますので、まずはお気軽にご相談ください。