今日のハイブリッド・ワークプレイスにおけるセキュリティーとは

COVID-19以前、「オフィス」と「自宅」を組み合わせて働くハイブリッド・ワークプレイスはグローバルの大企業が導入を検討し、ごく少数の従業員に対して実施している働き方でした。そして、文化的、技術的な障壁により、業界全体がハイブリッドモデルに移行することは難しいと考えられていました。

しかし、パンデミックの発生から時間が経過した今、間接費の削減、従業員の生産性やモラルの向上など、ハイブリッドな働き方が利益につながるような成果を生み出し始めています。これまで強制的に実施していた安全管理の緊急措置が、業界を超えて、様々な理由からビジネス上の意味を持ち始めています。恒久的なハイブリッド・ワークプレイスの採用を検討しているグローバル企業が増えている中、他の企業がその流れを追随するのもそう遠くはないでしょう。

日本も含めアジア太平洋地域におけるハイブリッド・ワークプレイス

Deloitte社の調査によると、「ASEAN6カ国（インドネシア、マレーシア、シンガポール、フィリピン、タイ、ベトナム）では、数年後に最大4,780万人がリモートワークに移行する可能性がある」（※1）と報告しています。

ハイブリッド／リモートワークの導入は、従業員の業務内容によって可否が決まります。例えば、建設業や農業といった産業は、ハイブリッド／リモートワークの可能性が最も低いと言われています。そのため、ASEANの中でもシンガポールとマレーシアは、リモートワークへの構造的な移行をリードすると予想されています。理由は、サービス業に携わる人口が多いため、「潜在的なリモートワーク人口はそれぞれ最大45％と26％になる」と見込まれているからです（※2）。

また、タイ、インドネシア、フィリピン、ベトナムでは、通勤時間の短縮による生産性向上への期待から、リモートワーク人口は、それぞれ15％、16％、22％、13％に昇ると見込まれています（※3）。

業務内容だけでなく、文化やテクノロジーへのアクセスもリモートワークの実現を左右する大きな要因となります。世界人口の約60％を擁するAPAC地域は、最も多様な文化や技術を取り入れている地域であり、これがハイブリッド・ワークプレイスを受け入れるにあたって重要な要素となっているのです。例えば、日本の労働者には「プレゼンティズム」という文化があり、「雇用主がリモートワークでの成果を正しく、公正に評価するかどうか」という懸念から、従業員の多くがリモートワークに消極的であるという研究結果もあります（※4）。

しかしながら、パンデミック後も何らかの形でハイブリッドな働き方が定着することは明らかです。このモデルには大きなメリットがあり、企業がそのメリットを享受するには、従業員が生産性を高め、安全にコラボレーションできるよう、適切なテクノロジーに投資することが必要です。

進化するセキュリティーの脅威

シスコが実施した調査によると、調査対象となった10社のうち6社で、サイバー・セキュリティーの脅威や警告が25％以上増加していることが明らかになりました。さらに、調査対象となった企業の62％が、安全なアクセスの確保をサイバー・セキュリティー上の最重要課題としており、85％の企業がサイバー・セキュリティーを最優先事項としています。

攻撃の機会を狙っているハッカーたちは、リモートワークへの急激なシフトを利用し、十分なセキュリティーとクラウドインフラを持たない企業の脆弱性を突いてきます。APACにおけるドメインネーム・システム（DNS）へのサイバー攻撃は、パンデミックの発生以来急激に増加しており、Efficient iP社がスポンサーを務めるIDC InfoBriefによると、「被害額の増加率が最も高かったのはマレーシアで78%となっており、DNS攻撃1件あたりの平均コストは2019年の442,820ドルから昨年の787,200ドルへと拡大している」と報告しています。また、APAC地域ではフィッシング攻撃も急激に増加しており、シンガポールにおけるフィッシング攻撃の割合は46％とアジアで2番目に高く、次いでマレーシアが43％となっています（※5）。

ハッカーは、リモートアクセス型トロイの木馬や情報収集型ハッキングツールといったマルウェアを使って、企業の機密データや金銭を盗み出しています。企業のデータを保護するためには、脅威や脆弱性を常に評価し、緩和するソフトウェア・セキュリティー対策を導入する必要があります。Microsoft社がAMDと協力して推進しているSecured-core PCは、堅牢なセキュリティー機能によりファームウェアの脆弱性や不正アクセスからの保護を可能にします。

ハードウェア・セキュリティーの基盤：ハードウェアのルートオブトラストとメモリー暗号化

従業員用のハードウェアを購入・アップグレードする際には、適切なPCを選ぶことで、総合的かつ多層的なセキュリティー・アプローチを採用することができます。PCやOSのセキュリティー機能に加えて、オンチップのセキュリティー機能を搭載したPCは、複数の保護レイヤーを追加することで起動から運用までの安全性を強化します。

「ハードウェアのルートオブトラスト（信頼の基点）」は、コンピューティング運用における階層型セキュリティー機能の基盤であり、安全な起動を可能にする暗号キーに依存しています。これが重要な役割を果たすため、AMDのCPUアーキテクチャーには、AMD Secure Processor（ASP）（※6）と呼ばれる専用のハードウェア・セキュリティー・プロセッサーが搭載されています。 ASPはハードウェアのルートオブトラストとして機能し、プラットフォームにロードされた初期ファームウェアを認証することで、プラットフォームの整合性を提供します（※7）。エラーや変更が検出された場合は、自動的にアクセスが拒否されるので、安全な起動を確保し、悪意のあるファームウェアからの保護を可能にします。

様々な場所で働く人が増えるにつれ、ノートPCが盗難に遭い、機密情報が盗まれるリスクが高まっています。ノートPCが盗難に遭った場合、ユーザーデータの保護における第一の防御手段は、一般的にソフトウェアベースのフルディスク暗号化（FDE）とされています。しかし、FDEには限界があり、最終的にはハッカーにデータを盗まれてしまいます。ドライブの暗号化／復号化に使用されるものも含め、すべての暗号キーがクリアテキストで表示されていれば、ハッカーが暗号キーを解読してしまう可能性があります。これを防ぐには、システムメモリーを暗号化するのが効果的です（※8）。 これにより、ノートPCが犯罪者の手に渡ったとしても、メモリーに保存されているキーにアクセスしてFDEを回避することはできません。これこそが、PROテクノロジーを搭載したすべてのAMDプロセッサーが、AMD Memory Guardで利用可能な暗号化保護レイヤーを含むマルチレイヤー・セキュリティーを備えている理由です。

全社にわたるサイバー・セキュリティー対策

サイバー・セキュリティーのトレーニング

サイバー脅威に対する最も効果的な対策の1つは、企業が従業員向けに適切なサイバー・セキュリティーのトレーニングを行い、脅威が進化し続ける中で定期的にトレーニングを実施することによって、従業員のオンライン行動を変化させることです。従業員が潜在的なリスクを常に把握し、悪意のあるオンライン活動を特定し、それを積極的に修正できるように教育することこそ重要なのです。従業員は潜在的なサイバーリスクについて知識を持つことで、長期的なリモート勤務に自信を持つことができます。

仮想プライベートネットワーク（VPN）

職場で提供されているサイバー・セキュリティーと同様の対策をリモートで働く従業員も受けられるように、すべてのノートパソコンに最初にインストールするもの、それが仮想プライベートネットワーク（VPN）です。VPNは、ノートパソコン、タブレット、スマートフォンなど、様々なデバイスで利用できる手頃な価格のサービスで、従業員のデータ、会話、インターネット利用を暗号化して安全に保つための予防策です。VPNは効果的な対策ではあるものの、一定の範囲内でしか有効ではありません。インターネット上の悪意のある行為を検知した後、ウイルス対策ソフトを即座にインストールしても、従業員が悪意のあるコードを検知・識別する方法を知っていなければ意味がありません。また検知・識別する方法を知っていたとしても、発見できないような極めて巧妙な手口があることを念頭に置かなければなりません。

クラウド・セキュリティー

クラウド・セキュリティーとは従業員の安全なコラボレーションを支援するために、企業が取り組まなければならないもう1つの重要な分野です。パンデミック時にビデオ会議ツールが重宝されたことはよく知られています。業務でのコラボレーションだけでなく、物理的な交流が制限されている期間に友人や同僚とのつながりを保つためにも、ビデオ会議は非常に効果的な手段です。このようなビデオ会議ツールは一定のセキュリティー機能を備えていますが、悪意のある人物がプライベートなビデオ会議にアクセスするといった事例も報告されています。企業は従業員に対して、会議のリンクを意識的にチェックするよう注意を促し、会議参加者全員の身元を確認するために多要素認証（MFA）を導入する必要があります。

リモートワークへの移行にあたって、万能なセキュリティー対策はありません。企業の規模に関わらず、ハイブリッド／リモートワークのメリットを活用することが推奨されていますが、それにはリスクを伴います。企業は、従業員がどこにいても安全に仕事ができるよう、利用可能なリソースに対して包括的な評価を行い、適切な技術投資を行う必要があるのです。

※1：Indranil Roy, Duleesha Kulasooriya, Clarissa Turner, Vicnan Pannirselvam, Deloitte Consulting Pte. Ltd.,"Remote work, A temporary 'bug' becomes a permanent 'feature'", 2020, p5
※2：Indranil Roy, Duleesha Kulasooriya, Clarissa Turner and Vicnan Pannirselvam, Deloitte Consulting Pte. Ltd.,"Remote work, A temporary 'bug' becomes a permanent 'feature'", 2020, p5
※3：Indranil Roy, Duleesha Kulasooriya, Clarissa Turner and Vicnan Pannirselvam, Deloitte Consulting Pte. Ltd,"Remote work, A temporary 'bug' becomes a permanent 'feature'", 2020, p5
※4：Nippon.com, Implementation of Telework in Japan Continues to Lag, May 2021
※5：IDC InfoBrief, sponsored by Efficient iP, 2020 Global DNS Threat Report, doc #EUR146302820, June 2020
※6：Advanced Micro Devices, “AMD PRO Security”, 2021
※7：Akash Malhotra, Advanced Micro Devices, “Full-stack, Multilayered Security Features for a Changing World”, 2020
※8：Akash Malhotra, Advanced Micro Devices, “Full-stack, Multilayered Security Features for a Changing World”, 2020

[PR]提供：日本AMD株式会社