ペーパーレスとセキュリティ(1)：ネットワーク環境の変化とセキュリティに求められるポイント

在宅勤務をペーパーレスで行うと、4つの視点を保持し、業務上・システム上工夫する必要があることは、申し上げてきました。
これに加えて、在宅勤務をペーパーレスで行うと、ネットワーク的にも状況が変わりますので、対応方法を検討する必要があります。つまり、セキュリティについて十分に検討しなければなりません。

これまでは会社勤務でしたので、基本的に社内LAN内で業務を実施していたことになります。これに対して在宅勤務の場合、自宅と会社のLAN間の通信を行い、業務を実施することになります。
そして、従来のネットワーク環境では、社内のネットワーク環境はファイヤーウォール・IPS、IDS等で守られ、社内LAN内の安全な環境にある情報資産にアクセスして業務を実施しており、ネットワークの境界を守れば安全であるという考えを前提にしていました。 これに対してペーパーレス化を実施し在宅勤務を行うようになると、社内のネットワーク環境と各従業員の端末がインターネットを介して通信を行うようになります。加えて、昨今、SaaS型サービスが非常に盛んになっておりますが、このサービスを利用する場合には、社内のネットワーク環境・各従業員・SaaS型サービス等がインターネット環境で通信を行うようになります。ここでは、社内外の情報資産をどこからでも使うという前提で業務を実施することになります。

＜従来の業務環境＞

＜在宅勤務の業務環境＞

インターネット環境の通信は専用線とは違って、様々な不正アクセスがあり、また様々なマルウェアが存在し、インターネット通信には多種多様な攻撃が実施されています。
こうしたネットワーク環境においては、セキュリティを維持するために、どの様な視点が重要になるのでしょうか？

インターネットを通じて、様々な拠点と通信することになるので、各端末が、通信すべき相手方なのか、攻撃者が用意した端末なのかを識別できる必要があります。
つまり、接続するサーバが、正規のサーバなのか攻撃者が用意したサーバなのか、接続するクライアントが、正規のクライアントなのか攻撃者の用意したクライアントなのかをしっかり識別する必要があります。

では、どの様にして識別したら良いのでしょうか？
サーバやクライアントの識別は、認証によって行うことになります。従って、サーバ・クライアントの認証をどの様に行うのかということになります。

まず、ユーザIDとパスワードによる認証が考えられます。我々もよくユーザIDとパスワードを入力していると思います。この方法だとインターネット環境でユーザIDとパスワードが通信されることになり、次のような欠点があると言われております。