ほとんどの企業は、リモートアクセスが安全だと想定しています。誰かがそれを証明するよう求めるまで、できません。VPNにアクセスできる人、退職した社員がまだアクセスできるか、またはベンダーがネットワークで実際に何をしているかを監査したことがない場合、あなたは一人ではありませんが、リスクにさらされています。良い知らせは、問題を認識することが修正への第一歩だということです。
リモートアクセスは安全ですか？安全でない5つの兆候
偏執的である必要はありませんが、懸念を持つ理由はあります。ほとんどのリモートアクセスセットアップは有機的に成長します：誰かが自宅で作業する必要があり、ベンダーがシステムをサポートする必要があり、ディレクターが空港からメールをチェックしたいと考えます。時間が経つにつれて、これらの一時的な対策は永続的になり、文書化されず、IT部門から見えなくなります。
- 現在VPNにアクセスできる人がわからないか、退職した人がまだネットワークにアクセスできると疑っている
- ベンダーが共有パスワードでログインしているか、実際にどのくらいの頻度で接続するかわからない
- 同僚が「誰がネットワークに入っていますか？」と聞いて、答えが推測である
- 監査証跡について尋ねられたことがなく、それを提供できるか確信がない
- リモートアクセスは全員で同じように機能します：ディレクター、請負業者、期間限定スタッフ、ベンダー
これらのいずれかに心当たりがあれば、真剣に考える価値があります。リモートアクセスは攻撃者が最初に探す場所です。見落とされることが多く、監視されず、ほとんどの他のセキュリティレイヤーをバイパスできます。
リモートアクセスが弱いドアになる理由
ネットワークファイアウォールは周囲を保護します。しかし、リモートアクセスは意図的にその周囲に穴があいています。外部からアクセスする必要があります。問題は、その「誰か」が誰であるか、どのデバイスにいるか、入った後実際に何ができるかを知ることです。
時間が経つにつれて、管理が変わり、ベンダーが出入りし、スタッフが部門を異動します。しかしアクセスは必ずしも同じようには変わりません。退職した財務マネージャーがまだVPN認証情報を持っているかもしれません。請負業者のトンネルは契約終了から数ヶ月存続する可能性があります。ベンダーの管理アカウントは、特定の仕事に必要な特権よりもはるかに多くの特権を持っているかもしれません。
個々の例外は小さく、個別には無害です。全体的には、開いたドアです。
適切なセットアップの見た目
セキュリティの専門家になる必要はありません。3つのことが必要です：誰が接続しているのか、なぜかについての明確性；誰もが必要以上のアクセス権を持つのを防ぐコントロール；そして単純な質問に答えるログ。
- アイデンティティが最初に重要です：アクセス決定は、あなたが誰であり、どのデバイスにいるかから始まります。ディレクターとインターンは、同じシステムへのアクセスであっても、同じアクセス権を持つべきではありません。ゼロトラストから始めます：誰も必要以上にアクセスできません。
- すべてのセッションでMFA：多要素認証はオプションではなく、最小要件です。ディレクターを含みます。攻撃者も組織図を読みます。
- 有効期限付きのベンダーアクセス：第三者は、サポートする特定システムへの時間制限付きでログされたアクセスを得ます。メンテナンスウィンドウが閉じると、ドアも閉じます。常時アクセスはありません。
- 意味のある監査証跡：「誰が、いつ、何に接続しましたか？」と尋ねられたら、レポートで回答します。肩をすくめません。
これが必要でない場合
ビジネスが非常に小さい場合（たとえば、あなたと別の人だけがロックされたオフィスから作業していて、リモートワークがなく、ベンダーアクセスもない場合）、正式なセキュアなリモートアクセスセットアップは必要ないかもしれません。単一のVPNパスワードで十分かもしれません。しかし、2番目の場所を追加したり、定期的に誰かが自宅から作業したり、外部サポート（会計士、ソフトウェアベンダー、ITコントラクター）をもたらしたりしたら、ラインを越えました。間違える費用は、正しくする費用よりも高くなりました。
モンスーン、停電、そしてこれがマレーシアで重要な理由
マレーシアの企業は実際の混乱に直面しています：モンスーン洪水はオフィスを数日間閉鎖でき、TNB停電は予測不可能に発生し、多くのチームは今ショップハウス、倉庫、衛星オフィスの間に分かれています。リモートアクセスは特典ではなく、必要です。しかし、制御のない必要性は、まさにあなたを攻撃者にとって魅力的にする問題です。
セキュアなリモートアクセスセットアップにより、チームはセキュリティリスクにならずにどこからでも作業できます。ビジネス継続性がリスクなしで得られます。
ここから始めます
監査から始めてください。IT部門（またはプロバイダー）にこれらの質問をしてください：現在VPNアクセスできるのは誰ですか？リストはありますか？退職した人からアカウントを無効にできますか？ベンダーアクセスについてはどうですか？ログされていますか？誰が接続したか、いつ、どこからかについてのレポートを取得できますか？躊躇する答えが返ってきた場合、それは有用な情報です。
適切なリモートアクセス設定は複雑ではありませんが、慎重な検討が必要です。Ryzenのセキュアなリモートアクセスサービスは、以下の点を正確に確認することから始まります。アクセス権を持つべきでないユーザー、忘れられたアカウント、不足している監査ログです。そこから、チームに対抗するのではなく、チームのために機能する管理体制を構築します。
現状を知りたいですか？無料コンサルテーションのためにお問い合わせください。設定内容を確認し、不足している部分を特定し、ビジネスにとって最も重要な事項を説明いたします。
よくある質問
退職した社員がまだVPNで接続できるかどうか、どうやって確認しますか？
IT部門にアクティブなVPNアカウントのリストを求め、現在の給与台帳と照合してください。アカウントは自動的にはクリーンアップされません。リストを取得できない場合、それが答えです。
ベンダーは本当に与えたアクセスレベルが必要ですか？
通常は不要です。ほとんどは便利さのためにすべてへの常時アクセスを得ています。適切なセットアップでは、ベンダーは彼らがサポートする特定システムへの時間制限付きでログされたアクセスを得ます。仕事が完了すると、ドアは閉じます。
リモートアクセスに本当にMFAは必要ですか？
はい。これは攻撃者にとって最大の障壁です。パスワードだけでは、どんなに強力でも、盗まれたり推測されたり、フィッシングされたりします。第2要素はほとんどの攻撃を完全に防ぎます。
リモートアクセスのセキュリティ監査で何を質問すべきですか？
質問してください：誰がアクセスできますか？ログされていますか？誰が、いつ、どこから接続したか証明できますか？全員がMFAを使用していますか？ベンダーアカウントは期限切れになりますか？これらに答えられない場合、ギャップが見つかります。
リモートアクセスセキュリティはチームを遅くしますか？
適切に実装すれば、いいえ。MFAはセッションごとに数秒追加します。ゼロトラストで適切にセットアップすると、例外を求めるやり取りがないため、人々はより速くアクセスを得られます。