DIME MAGAZINE
数年前のズーム爆弾などの事件を受け、いまだにWeb会議中に不安になる上司・マネージャー層も一定数、存在するのではないだろうか。
直近では、Web会議の情報漏洩やサイバー攻撃のリスクはどうなっているのか。基本的な対策とともに、専門家のもと、Zoomのセキュリティ対策を紹介する。
Web会議サービス利用時のセキュリティ対策の基本
Web会議サービスを利用する際には、基本的にセキュリティ対策が必要となる。盗聴や情報漏洩、サイバー攻撃などのリスクがあるためだ。
独立行政法人情報処理推進機構（IPA）は、テレワーク及びWeb会議サービスの利用が急速に進んだ2020年当時に、基本的なセキュリティ施策を公開している。
米国国家安全保障局（NSA）やCISAが公表している政府職員向けのWeb会議サービス使用時の注意事項を参考にしているという。
特にWeb会議サービスを安全に開催するためには、次のポイントを押さえておく必要がある。
●会議の準備
1.会議の機密性の確認
セミナー・講演会なのか、経営情報・顧客情報等の機密情報を扱う会議なのかによって機密性は異なる。どのくらいの機密性が求められているのか確認しよう。
2.会議の機密性に応じたWeb会議開催方法の決定
会議の機密性に応じて考慮し、会議開催方法を決定しよう。
・基本的に暗号化された会議を実施したいが、利用できない場合、サーバで万が一復号されるリスクは許容可能かを確認する。
・意図しない参加者を避けるため、会議パスワードを設定し、待機室機能を有効にする。
・会議の機密性、会議参加者の人数に応じ、会議案内メールと別経路での会議パスワードの送付、参加者の二要素認証、参加者の事前登録機能等を適切に使用する。
など
3.Web 会議開催案内
・会議 URL、会議パスワード等を記載した会議開催案内の送付経路は安全かを確認。
・非公開会議の場合、ソーシャルメディア経由の案内は避ける。
など
●会議の実施
1.参加者の確認
・組織外参加者がいる会議では特に、意図しない第三者が会議に参加しないよう、参加者確認業務の担当者を明確に。
2.会議終了後のデータ削除
・会議録音・録画データ、共有資料、チャット等の会議データがクラウド上に存在する場合には、クライアント端末への移動・暗号化、クラウド上からの削除を実施。
出典：独立行政法人情報処理推進機構 セキュリティセンター「Web会議サービスを使用する際のセキュリティ上の注意事項」（2020年7月14日）
Zoomのセキュリティの現状は？
2020年に「Zoom Bombing」、いわゆるズーム爆弾の事件が勃発したことでZoomのリスクについて注目された。
その後、Zoom利用中のサイバー攻撃は生じているのだろうか？
Webセキュリティに詳しい株式会社EGセキュアソリューションズ 取締役CTOの徳丸浩氏によれば、「直近では、Zoomが原因となるようなサイバー攻撃の情報は公開されていません。Zoom自体が改善され、安全なZoom利用が広がった結果と考えられます」という。
そもそもZoom Bombingはどんなものなのか。
「Zoom Bombingとは、Zoom会議への参加に必要なURLを推測したり、公開されているURLを悪用してZoom会議に乱入し、会議を妨害する迷惑行為です。ただし、URLの推測は現実には難しく、被害の多くはイベント用のURLを参加者が勝手にSNS等に投稿してしまったなど、URLの不適切な取り扱いが原因と考えられます」
当時、Zoom社はZoom Bombing対策のためにパスコードまたは待機室利用を必須にした。待機室とは、Zoom会議に参加する前に、参加者待機室に入室してもらい、会議主催者が正規の参加者であるかを確認できる機能だ。
またZoom自体の脆弱性を解消し、脆弱性情報の報奨金制度などセキュリティ対応を強化した。さらにZoomを安全に利用するための記事や動画コンテンツを公開する対応も行った。
Zoomのサイバーセキュリティ対策
安全性が高まったとはいえ、安心はできない。Zoomを安全に利用するための施策を徳丸氏に聞いた。
1.Zoom招待のURLを安全な方法で配布する
案内メールと別経路でパスワードを送付するなどの工夫が必要。
2.ZoomのURLをSNS等に公開せず、また公開しないように参加者に注意喚起する。
3.Zoomはセキュリティアップデートを起動時に自動的に行うため、利用前にZoomを起動して、アプデートしておく。
4.Zoomのインストールの際には、正規のサイトであることを確認してダウンロードする。
今後も、Zoom利用の機会は引き続き多いビジネスパーソンは多いと思われる。予防策をしっかりと実施しよう。
【取材協力】
徳丸 浩氏
株式会社EGセキュアソリューションズ 取締役CTO
ウェブアプリケーションセキュリティの第一人者。脆弱性診断やコンサルティング業務のかたわら、ブログや勉強会などを通じてセキュリティの啓蒙活動を行う。著書「体系的に学ぶ 安全なWebアプリケーションの作り方 第2版」は、”徳丸本”と呼ばれ広くウェブ従事者に支持されている。
https://www.eg-secure.co.jp/
取材・文／石原亜香利
最新号
