orangeitems’s diary

クラウドで働くインフラエンジニアの日々の感想です(ほぼ毎日更新)。

テレワークは古い社内システムの考え方だと危険な件

f:id:orangeitems:20200611124501j:plain

 

ホンダにサイバー攻撃

ホンダの社内ネットワークがサイバー攻撃を受けた件、これ、もっと企業は危機感を持った方がいいと思いますので書きます。

 

www.bbc.com

ホンダは9日、社内ネットワークがサイバー攻撃を受けたと発表した。世界各地の工場などが影響を受けたという。

声明によると、コンピューターサーバーへのアクセスに加え、社内システムや電子メールなどの利用に障害が起きたという。

また、海外の生産システムに影響が出ているとし、被害を最小限に抑えながら製造や販売、開発活動の復旧に全力を尽くしていると説明している。

攻撃ついては、ホンダの内部サーバーの一部に外部から侵入された形跡があり、「ウイルスが拡散された」としているが、詳細は明かしていない。

 

このニュース、前提があって、ホンダはテレワークを4月から拡大しているという事実です。

 

www.jiji.com

ホンダが4月から在宅勤務制度を大幅に拡充することが20日、分かった。これまでは間接部門を中心とする中堅以上に限定していたが、若手社員らにも広げる。対象は現在の約1万9000人から約3万3000人に増える。働き方改革の一環で、社員の意欲を高めるのが狙いだ。

 

考察

私も長い間企業の社内システムを見てきているので、特に歴史の長い企業は現状のテレワークブームは厳しいだろうなと考えています。

旧来の社内システムはお城のようなものでした。外堀を厳重に警備し、外から悪意のあるものを中に入らせないことに投資します。入口の数も制限しそこに警備を置きます。今も警察署の前には入口に見張りがいらっしゃると思いますがその名残です。データセンターの入り口も有人だと思います。入口を固める。

そこに入れるためには資格が必要で、入館証でも顔認証でも生体認証でも構いませんが、事前にその人のチェックが承認されていることが必要です。

逆に言えば、一度承認されてしまえば、後からその人が悪意を持ったとしても入口戦略では攻撃を防げないということになります。派生した事件が今までいくつもありました。とにかく中に入ってしまえば、中のセキュリティーは甘々だ。なぜなら、「中に入れる人は善良な人だ」という前提があるので、そこまで人を疑うようなセキュリティーは整備されていないし、過度なセキュリティーは生産性を下げてしまうと真顔で言う人も多かったです。

過去、ハードディスクや、個人データが盗難された件って、そうやって発生してきましたよね?。

で、それじゃまずい、ということで企業の中で使う端末やサーバーなどに、監査用のソフトウェアを導入し、集中管理しようというのが去年までのトレンドでした。SKYSEAなど、CMがバンバン流れているのでご存知かと思いますが、とにかく端末が多機能化・高機能化していて、人力では守り切れないため、専用のソフトウェアを入れて何とかしようということです。入口だけ守ってもダメなので、お城の中の活動も一つ一つ見つけていく必要がある。しかも生産性を落とさない形で。

しかし、ここにテレワークの嵐が、しかも災害対策的な意味合いを持って突然登場したわけです。経営者は企業存続もかかっています。ですから、テレワークが現状の社内システムにフィットしているかどうかについて検討するのではなく、テレワークができることを前提に社内システムに対応しなさい、という命令を社内情報システム部門に命じます。

本来必要な、「テレワークが社内システムのセキュリティーと矛盾しないか」という視点をすっ飛ばして導入を先に進めたものですから、これは盲点がたくさんあります。今までは、全ての検証が終わらないと導入できないとして、できなかったことがどんどん進んでいきます。その結果、「できた」となります。経営者は「ほらできるだろ」と自信を深め、全社へ利用拡大させます。

ところが、これはやはり矛盾を抱えているのです。お城に例えましたが、お城の中にある機器について保護すればこれまでは良かったのです。しかし、お城の中にリモート端末がつながってくるようになりました。リモート端末は自宅のインターネットにも属しています。リモート端末のセキュリティーをガチガチに縛ってしまえば安全ですが、それでは作業効率が落ちます。どこかで妥協をしながら、社内システムにつながせます。

特にVPNを使ってしまうと、リモート端末をお城の中に持ち込んだのと同じ意味を持ちます。しかも、そのリモート端末は外部ネットワーク(自宅のLANのような)につながってしまっています。明らかに、お城の入口戦略は崩壊し、リモート端末がリモートで、お城の中に侵入できてしまう結果となります。

もととも社内システムのサーバーは、「安全な端末」「安全な人」が接続してくる前提の物が多いので、これではセキュリティーは崩壊してしまう、という筋書きです。

ホンダに限らずいろいろ起こっている問題は、そんなバックグラウンドがあるのではないかと推察しています。

 

ゼロトラスト

こういった議論で連想するのが、ゼロトラストの概念です。

日経の教材を貼っておきます。

 

xtech.nikkei.com

 

ゼロトラストの概念は上記に任せるとして、本当にゼロトラストで社内システムを作り上げるって、全とっかえ的な発想です。ZoomやGoogle Meetなど社内会議システムは単にコミュニケーションだけの話で、実際は社内システムありきで仕事が進みます。社内システムをいきなりゼロトラスト対応にするなんて、できません。テレワークどころか仕事のやりかた自体が変わってしまう話ですから。

そもそもゼロトラストを推奨している企業なども、サイバー攻撃を喰らっているので話は簡単ではなりません。

だから、今後、テレワークを長期にやっていく覚悟があるのなら、企業の社内システムを全とっかえして、つながってくる人を徹底的に疑うようにしなければいけません。ゼロトラスト(信頼なし)です。

かなり矛盾した状況の中、テレワークでつながる話だけが先行してしまったことで、実際に攻撃が成功してしまうケースが急増してしまっています。

無駄につながりやすくなっている、これは今後のキーワードとなるのではないかと思います。