ウィズコロナ/アフターコロナの
新しい働き方に潜むリスクを考える
第4回「ビデオ会議における留意点」

「ウィズコロナ/アフターコロナの新しい働き方に潜むリスクを考える」は、全6回シリーズでお届けします。

今やZoom等のビデオ会議ツールは、オンライン上のコミュニケーションに必要不可欠なものとなっており、企業では入社式、研修のみならず、株主総会までこうしたツールを活用するようになってきています。私たちのビジネスや生活はこうしたツールの普及によって便利になった反面、攻撃者もこの新しい環境を狙っており、ビデオ会議の侵害や、マルウェアの拡散、情報窃取の被害も出始めています。

今回は、ビデオ会議をはじめとする外部クラウドサービスの利用について考えてみました。

新型コロナウィルスの感染拡大に伴い、在宅勤務や遠隔授業などの幅広い用途で、Zoomを代表とするビデオ会議ツールの利用が急速に広がりました。ビデオ会議普及のけん引役と言っても過言ではないZoomは、2019年12月には1日当たりの会議参加者数が約1,000万人だったのが、2020年3月には約3億人まで拡大しました。

一方で利用者の急増に伴って、ビデオ会議中に第三者が侵入し、わいせつ画像や児童虐待ビデオを流す、あるいは人種差別発言や脅迫的なコメントによって会議を妨害する、いわゆるZoom爆弾とも呼ばれる会議の妨害行為が多発し、FBIは2020年3月と5月に注意喚起を出しています。（※1）

こうして外部から指摘された問題点の多くに、Zoomは4月末リリースのZoom5.0までで対応済で、以前に比べてセキュリティは大幅に改善されています。

※DNP調べ（Zoomリリース内容等から引用）

Zoom、WebEX、Teams等のビデオ会議ツールに限らず、どの様なWebサービスでも完全なセキュリティ上の保証はありませんので、利用者側がセキュリティリスクを理解し、リスクを減らす行動をすることが求められます。

参考まで、会議主催者として、又は利用者として注意すべき点を以下に挙げます。

※参考：ZOOMのミーティング安全利用10の方法（※2）

在宅勤務中の方はビデオ会議での「服装」にも気を付ける必要があるかも知れません。
米国では、朝のニュース番組でレポーターの男性が、上半身がスーツで下半身が下着姿で放映される事故が発生しています（※3）。　上半身しかカメラに映ってないと思って油断していると、思わぬ姿を会議でさらけ出す可能性もあるのです。

また、画面共有機能を利用してファイルを表示する場合、他社への提案資料や、社外秘の資料などを間違って表示する「ファイル選択ミス」には留意が必要です。例えば会議で使用するファイルをフォルダにまとめておくことで、こうした人為的なミスの発生確率を下げることが出来ます。

新しい働き方において、従来以上に使われる様になったのはビデオ会議ツールだけではありません。SlackやChatwork、Line等のチャットツールを活用して社内のコミュニケーションを円滑に進めている企業も増えています。

また、急遽のテレワーク移行で業務遂行のためにGoogleDriveやOneDrive等のクラウドストレージやGmailやYahoo!メール等のフリーメールを一時利用している方も多いかも知れません。

今回のコロナ禍によってテレワークの定着が進んでいますが、一方で「はんこを押すために出社」、「名刺は個人情報だから会社で確認が必要」、「書類提出のために出社」といった、テレワークを阻害するペーパーワーク等の課題も顕在化しました。こうした課題を解決するために、電子署名（契約）ツール、Sansan等の名刺管理ツール、Salesforce等の顧客管理ツール、といった外部クラウドサービス利用の検討が多くの企業で始まっています。

コロナ禍が長期化している中、企業におけるテレワークの一層の推進やDX(デジタルトランスフォーメーション)は避けて通れない状況であり、こうした外部クラウドサービスの利用が「新しい日常」として定着していくことは間違いありません。

Tripwire社の調査によると、多くの組織がクラウド環境の監視と保護が困難であることを経験しており、セキュリティの専門家の93％が、人為的ミスがクラウドデータの偶発的な漏洩につながる可能性があると回答しています。（※4）

こうした外部クラウドサービスは、企業側の管理範疇外となりますが、そのセキュリティ対策を従業員任せにしていると、思わぬ落とし穴に落ちるかも知れません。

例えばクラウドサービスの認証情報や、パスワードの使い回しが原因で保管しているデータが侵害される可能性もありますし、「とりあえず移動した」平文の重要データファイルが漏えいしてしまうことも考えられます。

こうした外部クラウドサービスで、企業の機密情報を取り扱わない様に従業員に徹底するのは当然のこととして、どうしてもデータを取り扱う必要がある場合には、多要素認証の設定、ファイルの暗号化、期間を設けて不要なファイルを削除する等、会社ルールに従って適切にクラウドサービスを利用することを、改めて従業員に啓蒙していくことが重要です。

外部クラウドサービス利用が進んでいくと、必然的に複数社のサービスを利用することとなり、リスク管理が不十分になる可能性が出てきます。企業や従業員は、こうした環境の脆弱性を突いて、攻撃者がマルウェア拡散や情報窃取などを行う機会を伺っていることを十分に理解し、適切なセキュリティ管理を維持・向上していく必要があるのです。

※1
FBI Warns of Teleconferencing and Online Classroom Hijacking During COVID-19 Pandemic（FBI, 2020/3/20）
https://www.fbi.gov/contact-us/field-offices/boston/news/press-releases/fbi-warns-of-teleconferencing-and-online-classroom-hijacking-during-covid-19-pandemic

FBI Warns of Child Sexual Abuse Material Being Displayed During Zoom Meetings (FBI, 2020/5/20)
https://www.fbi.gov/news/pressrel/press-releases/fbi-warns-of-child-sexual-abuse-material-being-displayed-during-zoom-meetings

※2
ZOOMのミーティング安全利用10の方法
https://zoom.us/docs/doc/Top%2010%20ways%20to%20Secure%20Your%20Zoom%20Meetings.pdf

※3
Let's all learn from the 'GMA' reporter who went on air without pants
https://mashable.com/article/good-morning-america-reporter-no-pants-on-air/

※4
Implementing Cloud Security Best Practices
https://www.tripwire.com/solutions/cloud-cybersecurity/cloud-security-best-practices-report/

大日本印刷株式会社
情報イノベーション事業部　PFサービスセンター
セキュリティソリューション本部 サービス企画開発部
BR&コンサルティンググループ
リーダー　佐藤 俊介

主な職務：
Visa/Mastercard等のカードブランド担当、セキュリティコンサルティング

保有資格：
PCI Internal Security Assessor (ISA）、PCI Professional (PCIP）

所属団体：
日本カード情報セキュリティ協議会（JCDSC）ユーザ部会 世話役

参考記事：
情報セキュリティの知見を広める伝道師（DNPの今とこれからを発信するメディア「Discover DNP」より）


関連コンテンツ：
ウィズコロナ、アフターコロナの新しい働き方に潜むリスクを考える
第1回　狙われるリモート接続　(2020/8/17掲載）
第2回　ワラの家ではオオカミを防げない　(2020/8/24掲載）
第3回　木の家でもオオカミを防げない（2020/8/28掲載）
第4回　ビデオ会議における留意点（2020/9/7掲載）　
第5回　シェアオフィスの落とし穴（2020/9/14掲載）
第6回　新しい働き方を「ゼロトラスト」視点で見直す（2020/9/28掲載）

• 情報セキュリティコラム一覧