3年という長きコロナ禍を経て定着したオフィス勤務や在宅勤務などを柔軟に組み合わせるハイブリッドワークは、さまざまな要因により今後も続くと考えられています。というのは「柔軟な働き方」という新しい文化が、ウェルビーイングの向上やイノベーションの新たな機会を生み出しているからです。そこで2回にわたり、日本でも定着しつつあるハイブリッドワーク環境を今一度見直し、対応すべきセキュリティの在り方について、グローバルの知見と調査をもとに考察していきます。

寄稿：岡戸 伸樹

本記事は2023年7月3日にZDNet Japanにて掲載されたものです

エンドポイントにある自由との「引き換え」リスク

Gartnerの発表によると2023年末時点の予測で、世界のナレッジワーカーの39%は ハイブリッド、9％は完全リモートで働いているとされます。日本は他国と比較しても、社員がフルタイムでオフィスに戻ることに重点を置く傾向にありますが、それでも2023年末の時点で完全リモートとハイブリッドワーカーを合計した数は29％と、社員全体の約3割に上ると予想されています。 また、HPの調査「HP Hybrid Global Survey」（2022年8月）では、日本の回答者1024人中、オフィスで働く人の76%が「ハイブリッドワークは従業員の幸福とワークライフバランスを改善する」と回答しています。

しかし、この新しい自由と引き換えに、ITおよびセキュリティチームには新たな優先事項が生まれています。仕事をする場所の境界が曖昧になったことで、企業のセキュリティ確保はより複雑になりました。そのために、PCやプリンターなどのエンドポイント、つまり攻撃の起点となるポイントのセキュリティ対策に注力する必要が高まっているのです。

HP パーソナルシステムズセキュリティ部門グローバル責任者のIan Prattは、「ハイブリッドワークは、企業文化を変えるだけでなく、企業のリスクプロファイルも変えている」と述べています。つまり、こうした脅威を防止、検知、封じ込めるための新しいサイバーセキュリティ戦略が必要になっているのです。さらには、デバイスの紛失や盗難に関連するリスクを軽減するために、リモートPCの管理を強化する必要が生じています。

ハイブリッド時代のセキュリティギャップ

HPが米国、英国、フランス、ドイツ、日本の5か国の、オフィスで働く従業員、リモートで働く従業員、あるいはオフィスとリモートで働く従業員が混在するハイブリッド組織のITおよびセキュリティリーダー1492人以上を対象に、2022年7～8月に実施したハイブリッドセキュリティ調査（英語）によると、調査に回答したITおよびセキュリティリーダーの82%、日本の回答者（290人）の79％が、「組織のセキュリティ体制にギャップがある」と感じています。

その理由は簡単で、上述のとおり“エンドポイントがハイブリッドワークの世界の中心”にあるからです。つまり、さまざまな場所で柔軟に働く従業員が使用するノートPCやタブレット、スマートフォン、プリンターなどのエンドポイントのデバイスは、攻撃者にとって格好の侵入経路なのです。

そして上述の調査によると、回答者の84%、日本の回答者の82％は、「エンドポイントがほとんどのセキュリティ脅威の発生源であり、ビジネスに損害を与えるサイバー脅威が最も発生する場所である」と回答しています。

エンドポイントは、うっかりクリックなど過ちを犯すユーザーと、脆弱（ぜいじゃく）なテクノロジーが交差する場所であるからこそ狙われやすくなっています。加えてハイブリッドワークでは、デバイスが企業の提供する境界防御の保護を受けられないことが多いため、この問題は深刻化します。特にリモートワーカーのデバイスは、企業がこれまで管理してきた脆弱性を修正するパッチなどが適用されず、適切な保護がないまま放置されることがあります。このようなデバイスが接続される企業ネットワークもまた、設定ミスなどのリスクも含め、危険にさらされる可能性があるのです。

また、オフィス以外の場所で働く従業員は、同僚から見られていない、いわばリラックスした環境で、危険なリンクをクリックしたり、マルウェアを含む添付ファイルを開いたりしてしまうというリスクもあります。上述の調査によると、回答者の66%、日本の回答者の61％は、「組織におけるサイバーセキュリティの最大の弱点は、ハイブリッドワーカーが侵害される可能性である」と回答し、フィッシング、ランサムウェア、安全でないホームネットワーク経由の攻撃などを最大のリスクとして挙げています。また、従業員は在宅勤務だけでなく、カフェや移動中に仕事をすることもあり、現実のリスクはさらに高いといえるでしょう。