テレワークや外出先から社内ネットワークへ接続するために、VPNを利用する中小企業が増えています。
VPNを使えば、インターネット上の通信を暗号化し、安全性を高めながら社内ネットワークへアクセスできます。
しかし、
「VPNを導入すればセキュリティ対策は十分」
というわけではありません。
VPNを利用していても、パスワードの管理が不十分だったり、端末がマルウェアに感染していたりすれば、情報漏えいや不正アクセスにつながる可能性があります。
特にIT担当者がいない中小企業では、VPNを導入したあとに設定やアップデートが適切に管理されているか確認することが重要です。
この記事では、VPNで安全性を高められる理由から、VPNでも防げないリスク、中小企業が行いたい具体的なセキュリティ対策まで分かりやすく解説します。
VPNとは？なぜセキュリティ対策になるのか
VPNは「Virtual Private Network」の略で、インターネットなどのネットワーク上に、仮想的な専用通信経路を作る仕組みです。
外出先や自宅からインターネット経由で会社のネットワークへ接続するとき、そのまま通信するのではなくVPNを経由します。
VPNでは通信を暗号化することで、第三者による通信内容の盗み見などのリスクを抑えます。
たとえば社員が自宅から会社のファイルサーバーやNASへアクセスする場合も、VPNを利用する方法があります。
ただし、VPNにも複数の方式やサービスがあります。
自社の利用目的や社員数、管理体制などに合わせて選ぶことが重要です。
VPNで守れるものと守れないもの
VPNのセキュリティを考えるうえで重要なのが、
「VPNを導入すればすべての脅威を防げるわけではない」
という点です。
VPNで安全性を高められること
VPNを利用する主な目的の一つが通信の保護です。
適切なVPNを利用することで、
- インターネット経由の通信を暗号化する
- 外部から社内ネットワークへ安全に接続する
- 通信内容を第三者から盗み見されるリスクを低減する
- 社内サーバーやNASへリモートアクセスする
といったことができます。
VPNだけでは防げないこと
一方、VPNを利用していても、すべてのサイバー攻撃を防げるわけではありません。
たとえば、
- フィッシングメール
- マルウェア感染
- 弱いパスワード
- ID・パスワードの流出
- VPN機器の脆弱性
- OSやソフトウェアの脆弱性
- 社員による誤操作
などは別の対策が必要です。
つまりVPNはセキュリティ対策の一部として考える必要があります。
中小企業が注意したいVPNのセキュリティリスク
1．パスワードの使い回し
VPNの認証に使用するパスワードを、他のサービスでも使い回している場合は注意が必要です。
別のサービスからIDとパスワードが流出すると、その情報を使ってVPNへのログインを試される可能性があります。
VPN専用の強いパスワードを設定し、可能であれば多要素認証なども検討しましょう。
2．退職者のアカウントが残っている
社員が退職したあともVPNアカウントが利用できる状態になっていると、不正アクセスのリスクになります。
社員の入退社時には、
- VPNアカウント
- メール
- クラウドサービス
- 社内システム
などのアカウントをまとめて確認する運用が必要です。
3．VPN機器やソフトウェアを更新していない
VPN機器やソフトウェアに脆弱性が発見されることがあります。
導入したときの状態のまま何年も使用するのではなく、メーカーなどから提供されるセキュリティ情報を確認し、必要なアップデートを行うことが重要です。
特にIT担当者がいない会社では、
「誰がアップデートを確認するのか」
が曖昧になりやすいため注意しましょう。
4．社員のパソコンが安全ではない
VPNの通信が保護されていても、接続するパソコン自体がマルウェアに感染していれば問題が発生する可能性があります。
VPNとあわせて、
- OSを最新状態にする
- セキュリティソフトを適切に利用する
- 不審なメールや添付ファイルを開かない
- 業務用端末の利用ルールを決める
などの対策が必要です。
5．誰でも社内ネットワークへ接続できる
VPNアカウントを全社員へ一律に与えるのではなく、業務上必要な社員だけが利用できるようにする方法もあります。
また、アクセスできる範囲についても検討が必要です。
「VPNへログインできたら社内のすべての情報へアクセスできる」
という状態が本当に必要なのか確認しましょう。
IT担当者がいない会社でVPN管理に不安がある方へ
VPNは導入するだけでなく、その後の設定や管理、セキュリティ対策も重要です。
専任のIT担当者を置くことが難しい中小企業では、導入や運用をサポートしてもらえる法人向けVPNサービスを選ぶ方法もあります。
VPNを安全に利用するための7つの対策
1．強いパスワードを設定する
簡単に推測できるパスワードは避けます。
会社名、社員名、誕生日などを組み合わせただけのパスワードもおすすめできません。
また、同じパスワードを複数サービスで使い回さないことも重要です。
2．多要素認証を利用する
利用するVPNが対応している場合は、多要素認証の利用を検討しましょう。
パスワードだけでなく別の認証要素を追加することで、パスワードが流出した場合のリスクを低減できます。
3．VPN機器・ソフトウェアを更新する
VPN機器やソフトウェアの脆弱性を放置しないことが重要です。
メーカーやサービス提供会社からセキュリティ更新が提供された場合は、内容を確認して対応します。
4．不要なアカウントを削除する
退職者だけでなく、
「以前テレワークをしていたが現在は使っていない」
といった社員のアカウントも確認しましょう。
利用者を定期的に棚卸しすることが重要です。
5．端末のセキュリティ対策を行う
VPNだけを強化しても、利用する端末が安全でなければ十分ではありません。
OSやソフトウェアを最新状態に保ち、会社のルールに沿ったセキュリティ対策を行います。
6．公共Wi-Fi利用時のルールを決める
カフェやホテルなどのWi-Fiを利用して仕事をする社員がいる場合は、利用ルールを決めておきます。
VPNを利用する場合でも、不審なWi-Fiへの接続や重要情報の取り扱いには注意が必要です。
7．VPN利用ルールを社員へ周知する
システムだけではなく、利用者側の対策も重要です。
最低限、
- パスワードを共有しない
- 不審なメールを開かない
- 業務端末を他人に使わせない
- 紛失した場合はすぐ会社へ連絡する
- VPN接続に異常があれば担当者へ報告する
といったルールを決めておきましょう。
NASへ外部からアクセスする場合もVPNの安全性が重要
中小企業では、社内のNASに保存したファイルへ自宅や外出先からアクセスしたいケースがあります。
その際、NASをインターネットへ直接公開する方法だけでなく、VPN経由で社内ネットワークへ接続する方法があります。
ただし、
「NASにVPNを使えば必ず安全」
という意味ではありません。
VPNの認証、NAS本体のアップデート、利用端末の管理なども含めて対策する必要があります。
NASへの外部アクセスについては、こちらの記事で詳しく解説しています。
関連記事：NASに外部からアクセスする方法
また、「NASへの外部アクセスにVPNは必要なのか」という点はこちらの記事で解説しています。
関連記事：NASの外部アクセスにVPNは必要？
無料VPNを会社で使っても大丈夫？
無料VPNだから必ず危険、有料VPNなら必ず安全、という単純な判断はできません。
重要なのは、
- 誰がサービスを提供しているか
- 通信方式
- データの取り扱い
- ログの扱い
- サポート体制
- 法人利用に対応しているか
- 管理機能があるか
などを確認することです。
特に業務では顧客情報や社内資料を扱う可能性があります。
個人利用を前提としたサービスを、価格だけで選んで会社全体で使うことは避けたほうがよいでしょう。
中小企業向けVPNを選ぶときのセキュリティチェックポイント
VPNを選ぶときは、料金だけで判断しないことが重要です。
セキュリティ機能
どのような認証や暗号化に対応しているのか確認します。
管理のしやすさ
社員が増えたときのアカウント追加や、退職時の削除などを簡単に管理できるか確認します。
サポート体制
トラブルが起きたときに、どこへ問い合わせればよいのかも重要です。
特に専任のIT担当者がいない会社では、導入後のサポートを確認しておきましょう。
導入・運用にかかる費用
VPNでは初期費用だけでなく、機器、設定、保守、月額料金などが発生する場合があります。
VPN導入費用についてはこちらの記事で詳しく解説しています。
関連記事：VPN導入にかかる費用を解説
IT担当者がいない中小企業なら「管理しやすさ」も重要
VPNのセキュリティを維持するには、導入後の運用が欠かせません。
「設定できる人がいない」「VPN機器の管理に不安がある」という会社では、価格だけでなく導入・運用サポートまで含めて比較することが重要です。
【CTA②：だれリモVPNの公式サイトを見る】
VPNとリモートデスクトップは何が違う？
社外から会社のパソコンやデータを利用する方法として、VPN以外にリモートデスクトップがあります。
VPNは社外の端末から社内ネットワークへ安全に接続するために使われる仕組みです。
一方、リモートデスクトップは離れた場所にあるパソコンを遠隔操作する仕組みです。
どちらが適しているかは、
- 何にアクセスしたいのか
- どの端末を利用するのか
- 社内のシステム構成
- セキュリティ方針
などによって異なります。
詳しい違いはこちらで解説しています。
関連記事：VPNとリモートデスクトップの違い
VPN機器を選ぶときもセキュリティを確認する
自社でVPN機器を設置する場合は、必要な性能だけでなく、管理方法やセキュリティ更新なども確認する必要があります。
特に中小企業の場合、
「高性能な機器を買えば安心」
というわけではありません。
実際に管理できる体制があるかも重要です。
VPN機器の選び方はこちらの記事で詳しく解説しています。
関連記事：中小企業向けVPN機器の選び方
IT担当者がいない中小企業ではVPNをどう管理する？
VPNを自社で構築・運用する場合、
- 初期設定
- アカウント管理
- アップデート
- 障害対応
- セキュリティ情報の確認
などが必要になることがあります。
専任のIT担当者がいる会社なら自社で対応できるケースもあります。
一方、小規模な会社では、
「VPNを導入した担当者が退職して設定が分からない」
という状態になることも考えられます。
そのためVPNを選ぶ際には、機能だけではなく、
「誰が運用するのか」
まで考えておくことが重要です。
自社で管理することが難しい場合は、導入や運用をサポートしてもらえるサービスを検討する方法があります。
VPNのセキュリティについてよくある質問
VPNを使えばウイルス感染を防げますか？
VPNは主に通信を保護する仕組みであり、ウイルスやマルウェア感染をすべて防ぐものではありません。
端末側のセキュリティ対策も必要です。
VPNを使えば情報漏えいを完全に防げますか？
完全に防げるわけではありません。
パスワード流出、端末紛失、誤送信など、VPN以外の原因でも情報漏えいは起こります。
VPNはテレワークに必要ですか？
利用するシステムによって異なります。
社内ネットワークやNASなどへ外部からアクセスする場合には、VPNが選択肢になることがあります。
VPNのパスワードは定期的に変更したほうがいいですか？
単純に頻繁な変更だけを行うより、推測されにくいパスワードを設定し、使い回しを避け、多要素認証などを組み合わせることが重要です。組織のセキュリティポリシーや利用サービスの推奨事項に従いましょう。
VPNは導入したあと何を確認すればいいですか？
アカウント、機器やソフトウェアの更新状況、利用端末、アクセス権限などを定期的に確認することが重要です。
まとめ｜VPNは導入後のセキュリティ管理が重要
VPNは、外部から社内ネットワークへ接続する際の安全性を高めるために利用される重要な仕組みです。
しかし、VPNを導入しただけでセキュリティ対策が完了するわけではありません。
中小企業では特に、
- 強いパスワード
- 多要素認証
- VPN機器・ソフトウェアの更新
- 不要アカウントの削除
- 利用端末の保護
- アクセス権限の管理
- 社員へのセキュリティ教育
などを組み合わせることが重要です。
そして忘れてはいけないのが、VPNを誰が管理するのかという点です。
導入時だけでなく、社員の入退社やセキュリティ更新にも継続的に対応する必要があります。
専任のIT担当者がいない会社では、管理負担まで考えてVPNを選びましょう。
VPNの導入・管理に不安がある中小企業の方へ
自社だけでVPN環境を構築・管理することに不安がある場合は、法人向けVPNサービスを比較してみるのも一つの方法です。
機器や料金だけでなく、導入のしやすさ・運用負担・サポート体制まで確認して選びましょう。
コメント