VPNの課題は認証後の到達範囲にある

VPNの主な課題は、利用者を認証した後に社内ネットワークへ広く接続させる構成になりやすい点です。端末がマルウェアに感染していた場合、攻撃者が別のサーバーへ移動するラテラルムーブメントを許す可能性があるため、接続可否だけでは防御が足りません。

安全性は暗号化の有無だけで決まりません。VPN機器の脆弱性、認証情報の窃取、同時接続時の帯域逼迫、ログの確認漏れが重なると、障害と侵害の影響が大きくなります。社内LANを一律に公開する前提を見直し、アプリケーション単位で守る必要があります。

• 接続後にアクセスできる宛先を最小化する
• 端末の更新状況とEDR検知を接続条件にする
• 認証・操作・通信のログを一元的に確認する

ゼロトラストは毎回の条件確認で被害範囲を絞る

ゼロトラストの答えは、利用者や端末を一度認証しただけで恒久的に信用しないことです。NIST SP 800-207が示す考え方に沿い、「誰が、どの端末で、どのアプリへ、どの場所から」接続するかを評価し、最小権限のセッションだけを許可します。

実装ではIdP、MFA、EDR、CASB、SIEMを連携させます。たとえばOAuth 2.0による認可とJWT（JSON Web Token）の扱いを整え、端末のリスクが上がれば再認証や遮断を実行します。アクセス制御をネットワーク境界から業務資産単位へ移すことが要点です。

• IDとロールに応じて利用可能なアプリを限定する
• 端末状態・時刻・利用場所を条件に加える
• 異常な挙動を検知したセッションを即時に無効化する

クラウド業務中心ならZTNAまたはSASEが有力

クラウドSaaSとWeb業務が中心なら、ZTNAまたはSASEが有力です。ZTNAは指定アプリへの接続を細かく制御し、SASEはアクセス制御に加えてWebフィルタリングや通信最適化を統合します。複数拠点や海外利用者が多い組織では、拠点VPNの集中負荷も抑えやすくなります。

一方、独自プロトコルを使うレガシー業務や大容量データを扱う場合は、接続方式の事前検証が不可欠です。HPE Aruba Networking SSEやCato SASE Cloudのような選択肢もありますが、製品名だけで決めず、既存アプリの認証方式、遅延、ログ連携を確認してください。

• SaaS中心ならZTNA・SASEを優先して検討する
• 拠点間通信はSD-WANや閉域網との役割分担を決める
• 特殊な業務アプリは接続試験で互換性を確かめる

端末を信頼しにくい場合はセキュアブラウザやVDIを使う

私物端末や委託先端末を許可する場合は、セキュアブラウザやVDIが有効です。セキュアブラウザは、業務データを端末へ残しにくく、社内ネットワークに参加させずにWeb業務を提供できます。導入対象を限定すれば、端末管理の負荷を抑えながら情報持ち出しを減らせます。

VDIはアプリとデータをデータセンター側で処理し、画面情報のみを端末へ配信する方式です。ただし、動画会議や設計データの操作では回線品質と遅延を評価する必要があります。RDPを公開するだけではなく、RDPゲートウェイ、MFA、端末制御を組み合わせることが前提です。

• BYODにはダウンロード・コピー制御を設定する
• 高機密データはVDIで処理場所を固定する
• RDPをインターネットへ直接公開しない

在宅VPNは社内資産が必要な業務で今も有効

在宅VPNは、社内ファイルサーバー、オンプレミス業務システム、会社貸与PCへ到達する必要がある場合に有効です。IPSecやSSL/TLSによる暗号化トンネルを用意し、社内ポリシーを適用できます。ただし、利用目的とアクセス先を定義せず、全通信を社内へ流す設計は避けるべきです。

経営層もリモートアクセスの継続性を重視しています。取締役会の73%という示唆を踏まえても、接続できることだけでなく、障害時に代替業務へ切り替えられる設計が重要です。認証基盤、VPN装置、回線のいずれかが停止した場合の連絡手順も文書化してください。

• 社内資産へのアクセスが必要な利用者を特定する
• VPN装置と認証基盤の更新・監視責任を決める
• 障害時の代替アクセスと緊急連絡網を整える

自宅のネットワークと端末設定も接続条件にする

安全な在宅VPN運用では、家庭内Wi-Fiと端末の状態も確認対象です。ルーターの初期パスワードを変更し、ファームウェアを更新し、業務端末を家族と共有しないことが基本になります。TLS 1.3を利用した通信保護に加え、MFAと端末暗号化を必須条件にしましょう。

通信品質への不満も放置できません。43.4%という数値が示す利用環境のばらつきを前提に、業務開始前後で遅延、パケット損失、会議品質を測定します。フルトンネルかスプリットトンネルかは、SaaS利用、DNS保護、私用通信の扱いを踏まえ、情報システム部門が明確に決めます。

• 公衆Wi-Fiでは原則として業務接続を避ける
• VPN接続中の通信経路とログ範囲を利用者へ説明する
• OS更新後の接続試験と証明書更新を定期運用に組み込む

端末管理を併せて設計する

端末の紛失・盗難やOS更新漏れへの対策には、MDMによる資産把握、画面ロック、リモートワイプが役立ちます。設定項目や導入時の注意点は、テレワークの端末管理を体系化するMDM在宅勤務ガイドで確認してください。

移行は対象業務を絞った並行稼働から始める

安全な移行の答えは、全員の接続を一斉に切り替えないことです。まずはSaaS利用者や特定部門を対象に、既存接続と新方式を並行稼働させます。利用アプリ、必要な権限、端末種別、認証方法を棚卸しし、アクセスできない業務を早い段階で洗い出します。

検証時は成功率だけでなく、ログイン時間、ファイル操作、会議接続、障害問い合わせを記録します。利用者が困ったときの自己解決手順と、旧経路へ戻すロールバック条件を事前に定義することで、業務停止を避けながら段階的に範囲を広げられます。

• 利用者・端末・アプリ・権限を一覧化する
• 少人数のパイロットで通信品質と操作性を検証する
• 切替基準とロールバック判断者を明文化する

インシデント対応は遮断から証跡確認まで決める

端末侵害を疑った場合は、最初に該当端末のアクセスを遮断し、認証トークンとセッションを無効化します。その後、IdP、EDR、プロキシ、アプリケーションのログを時系列で確認します。誰が何にアクセスしたかを追えることが、影響範囲の判断と復旧の速さを左右します。

運用ルールの根拠には、NIST SP 800-207、RFC 8996、CISAの利用者向けセキュリティ情報を参照できます。技術導入と同時に、画面放置、印刷、パスワード保存に関する教育も繰り返してください。

• 遮断・認証無効化・ログ保全の順序を定める
• 端末隔離の権限者と連絡先を明確にする
• 教育内容を短いチェックリストにして定着させる