1. 「社内なら安全」が通用しなくなった
かつて、企業のセキュリティは「境界型」が基本でした。社内ネットワークの周りに壁を築き、「壁の内側（社内）は安全、外側（社外）は危険」として、その境界を守る——という考え方です。この前提のもとでは、「社内からのアクセスなら信頼してよい」とされてきました。
しかし、リモートワークの定着が、この前提を崩しました。従業員は、自宅から、カフェから、出張先から、社内システムやクラウドにアクセスします。もはや「社内」という明確な境界は存在せず、「どこからアクセスしているか」では、安全かどうかを判断できなくなったのです。「社内なら安全」という考え方は、通用しなくなりました。では、境界がなくなった世界で、何を頼りに守ればよいのか。答えは、「その人が本当に本人か」を確かめる認証だけなのです。
2. リモートワークが抱える認証のリスク
| リスク | 内容 |
|---|---|
| VPN・RDPが狙われる | 社外から社内に入る入口が、ランサムウェアの主要な侵入口になっている |
| フィッシングの増加 | 対面で確認できない環境で、巧妙なフィッシングにだまされやすい |
| 私物端末・自宅環境 | 管理の行き届かない端末やネットワークからのアクセスが増える |
| パスワード頼みの認証 | 入口がパスワードだけだと、盗まれれば「本人になりすまして」侵入される |
リモートワークでは、社外から社内へアクセスする入口——VPNやRDP——が増え、そこが攻撃者に狙われます（RDPの不正アクセス対策、VPNに多要素認証は必要？）。そして、これらの入口の多くが、いまだにパスワードだけで守られています。境界がなくなり、入口が増え、その入口が弱い——リモートワークは、認証を狙う攻撃にとって、格好の環境を生み出しているのです。だからこそ、リモートワーク時代のセキュリティは、認証の強化を最優先に据える必要があります。
リモートワークの認証、パスワード頼みになっていませんか？
境界に頼らない、本人確認を軸にした認証へ。Net Peaceが、リモートワーク時代の守りを支援します。
3. リモートワーク時代の認証の原則
境界が消えたリモートワーク時代の認証には、次の原則が求められます。
- ① 場所で信頼しない：「社内からだから信頼する」をやめ、どこからのアクセスでも、必ず本人確認を行います。
- ② 常に検証する：一度ログインしたら終わり、ではなく、状況に応じて繰り返し本人と安全性を確認します（継続的認証）。
- ③ 強い認証を使う：パスワードだけに頼らず、盗まれてもなりすませない、強い認証を使います。
- ④ 状況に応じて制御する：リスクの高いアクセス（見慣れない場所・端末）には、追加の認証や制限を課します（リスクベース認証）。
これらの原則は、まさにゼロトラスト（「何も信頼せず、常に検証する」）の考え方そのものです。リモートワーク時代の認証とは、ゼロトラストを認証の観点から実践することに他なりません。境界の内側を信頼するのではなく、アクセスしてくる「人」を、その都度、強い認証で確かめる。これが、境界なき時代の守り方です。ゼロトラストの全体像はこちらをご覧ください。
4. 頼れるのは強い認証——パスワードレスへ
リモートワーク時代に頼れるのは、強い認証だけ。そして、その最も強い形が、パスワードそのものをなくす「パスワードレス認証」です。
考えてみてください。境界がなくなり、「本人確認」だけが頼りになった今、その本人確認がパスワードで行われているなら、致命的です。フィッシングでパスワードを盗まれれば、攻撃者は世界のどこからでも「本人になりすまして」堂々とアクセスできます。境界という後ろ盾がない分、認証の突破が、そのまま侵入を意味してしまうのです。だからこそ、リモートワーク時代の認証は、盗まれてもなりすませない、フィッシングに強いものでなければなりません。それがパスワードレス認証（FIDO2/パスキー）です。
パスワードレスなら、盗めるパスワードそのものが存在しないため、フィッシングによるなりすましが原理的に成立しません。しかも、生体認証などで手軽にログインでき、複雑なパスワードを覚える負担もなくなります。どこから働いても、安全で快適——リモートワークにこそ、パスワードレスは最適なのです。米国NISTをはじめ世界のセキュリティガイドラインが最終的に求める認証も、このフィッシングに強いパスワードレスです。「社内なら安全」が通用しない世界では、場所ではなく、盗めない強い認証で「人」を守る。それが、リモートワーク時代のセキュリティの答えです。
5. まとめ
リモートワークの定着により、「社内は安全、社外は危険」という境界型セキュリティは通用しなくなりました。境界が消えた世界で頼れるのは、「その人が本当に本人か」を確かめる認証だけです。しかしリモートワークは、VPN・RDPという入口を増やし、フィッシングを招き、その入口の多くがパスワード頼みという、認証を狙う攻撃に格好の環境を生んでいます。
だからこそ、場所で信頼せず、常に検証し、強い認証を使う——ゼロトラストの原則が求められます。そして、その最も強い形が、盗まれてもなりすませない、フィッシングに強いパスワードレス認証（FIDO2/パスキー）です。世界のガイドラインが最終的に求めるのも、このパスワードレスです。どこから働いても安全で快適な、リモートワーク時代の認証を実現しましょう。まず自社の社外アクセスの入口が、パスワードだけになっていないかを確認することから始めてください。進め方でお困りなら、専門家にご相談ください。