「VPNさえ使えば安全なテレワークが実現する」と思い込んでいないか？：VPNを適切に使う方法【前編】

　もともと企業は、従業員が出先から、あるいは在宅勤務などのテレワーク時に、企業内のデータやアプリケーションに安全にアクセスできるようにするためにVPNを利用していた。そのような出先またはテレワーク中の従業員は、従来であれば企業の従業員全体のごく一部にすぎなかった。

　新型コロナウイルス感染症（COVID-19）の大流行に伴うテレワークの急激な広がりによって、そうした前提は覆された。企業における従来のVPNは、急増したトラフィック（データ量）を処理できる仕組みを持っていなかった。結果として通常のフローやベストプラクティスを無視し、社内サーバに直接アクセスするVPNを実装したり、一般消費者向けの機器を利用したりと、安全性の低い仕組みを急いで用意した企業は少なくない。

　VPNは当初、エンドポイントのセキュリティを十分に考慮していなかった。通信の端点と端点の間で正しくネゴシエーション（パラメータの交換）を実施できれば、接続を確立するという仕組みだからだ。個人ユーザーにはこれで十分な場合もあるが、企業ではエンドポイントが常時一定のセキュリティレベルを満たさなければならない。

　そこで「EPP」（Endpoint Protection Platform）や「EDR」（Endpoint Detection and Response）といったエンドポイントセキュリティ製品の出番となる。これらはエンドポイントをマルウェアから保護するとともに、LANやWANといった社内ネットワークに接続するエンドポイントにソフトウェア更新ポリシーを設定することもできる。自宅など社外の安全ではない場所で長期間勤務するエンドユーザーにとって、こうした保護は重要だ。

　「Windows」や「Linux」でVPNゲートウェイを運用することも可能だが、これはあまり推奨できない。VPNゲートウェイをインターネットに公開する際に生じるセキュリティ問題への対処には、一般的に困難を伴うためだ。安全性を確保するためには、外部からVPN機能のみを利用できるようにして、外部からのアクセスを禁止する必要がある。

　セキュリティを確保したVPN機能を導入する際には、以下の製品が役立つ。