VPNルーターの管理を怠ると何が起こるのか
teramoto
IPA「情報セキュリティ10大脅威」から見る企業ネットワークのリスク
IPA（情報処理推進機構）から「情報セキュリティ10大脅威２０２６」が発表されました。
その中で私が注目したのが
「リモートワーク等の環境や仕組みを狙った攻撃」です。
コロナ以降、多くの企業でリモートワーク環境が整備され、社内ネットワークに接続するために
VPNルーター
UTM
リモートアクセス装置
などが導入されるようになりました。
しかし今、これらのVPN機器そのものが攻撃対象になっています。
VPN機器の管理が甘いと侵入される
企業のネットワーク機器は導入して終わりではありません。
多くの企業で見かける問題が ”ファームウェア更新が行われていない” というケースです。
メーカーは脆弱性が見つかるとファームウェア更新を公開します。
しかし更新が行われないとその脆弱性を利用して侵入される可能性があります。
実際、審査やコンサルティングで企業を訪問すると
導入してから一度も更新していない
誰が管理しているのかわからない
ベンダー任せになっている
というケースを見かけることがあります。
実際に発生したインシデント： VPN装置の脆弱性が原因のランサムウェア
2022年10月、大阪急性期・総合医療センターで大規模なサイバー攻撃が発生しました。
この攻撃ではランサムウェアにより
電子カルテ
医療情報システム
などが停止し、診療機能に大きな影響が出ました。
調査では
保守用VPN装置の脆弱性
ID・パスワード管理の不備
などが原因として指摘されています。
また攻撃者はVPN経由で侵入した後、
ネットワーク内部の探索
認証情報の取得
サーバーの暗号化
といった行動を取り、電子カルテシステムが停止しました。
この結果
救急受け入れ停止
外来診療制限
手術延期
など医療機関として重大な影響が発生しました。
サプライチェーンリスクにも発展
このインシデントの特徴は ”1つの組織の問題で終わらない” という点です。
サイバー攻撃では侵入された企業が「踏み台」として使われるケースがあります。
実際に、この事例では給食センターが攻撃を受けた後、
そこを経由して医療機関が攻撃され電子カルテシステムが停止しました。
つまり
セキュリティ対策が弱い企業が取引先への攻撃の入口になる
可能性があります。
これが ”サプライチェーンリスク” です。
国が進める「SCS評価制度」
こうした背景から、経済産業省は
サプライチェーン・サイバーセキュリティ対策評価制度（SCS制度）
の公開を進めています。
この制度は企業のサイバーセキュリティ対策を第三者が評価する仕組みで、
目的は
サプライチェーン全体のセキュリティを底上げすることです。
特に
中小企業
サプライヤー企業
に対して最低限のセキュリティ対策を求める流れが強まっています。
VPNルーター管理で最低限やるべきこと
企業ネットワークでまず確認してほしいポイントは次の４つです。
① VPNルーター・UTMのファームウェア更新
② 自動アップデートの場合、サポート切れになっていないか
③ 機器管理の担当を明確にする
④ルーター管理画面が外部から見れる状態に設定されていないか
これらは高度なセキュリティ対策ではありません。
しかし、
基本的な管理ができていないことで重大なインシデントが発生しているのが現実です。
まとめ
VPN機器はリモートワークを支える重要な設備ですが、
同時に企業ネットワークの入口でもあります。
もし管理が不十分であれば
社内ネットワーク侵入
ランサムウェア
取引先への影響
といった被害につながる可能性があります。
IPAの「情報セキュリティ10大脅威」をきっかけに
一度自社のネットワーク機器管理を確認してみてはいかがでしょうか。
セミナーのご案内： 「中小企業の情報セキュリティ これだけはやって欲しい15の対策」
今回の記事でご紹介したように、VPN機器やルーターの管理不足が原因となり、企業のネットワークが侵害される事例が増えています。
しかし実際には
何から対策すればいいのか分からない
ITの専門担当者がいない
セキュリティ対策が難しそう
と感じている企業も多いのではないでしょうか。
そこで現在、
「中小企業の情報セキュリティ これだけはやって欲しい15の対策」
というテーマでオンラインセミナーを開催予定です。
ISO27001主任審査員として多くの企業を見てきた経験から、
中小企業でまず取り組んでいただきたい最低限の情報セキュリティ対策
を15項目にまとめて解説します。
技術的な難しい話ではなく、経営者や管理者の方にも分かりやすい内容でお伝えします。
前回ご参加者様からのアンケートでは
・情報セキュリティの内容を具体的かつ網羅的に提示していただいたことが分
かりやすく非常に参考になりました
・情報セキュリティについて意識したこともなかったが、必要性が理解できた
・まずは自社の現状を一度整理しなければならないと思った
・特に情報セキュリティ事故事例については印象に残った
・従業員がサーバーの情報流出をしないよう、アクセスログを取る方法など
あれば知りたいです
こんなお話もいただきました。
是非ご参加ください。
開催日時
2026年4月24日（金）14:00～16:00
2026年5月26日（火）14:00～16:00
開催方法
オンライン開催
参加費
無料
お申込みはこちら
4月24日開催
https://alivio-event260424.peatix.com
5月26日開催
https://alivio-event260526.peatix.com
情報セキュリティは「難しい対策」よりも基本的な管理をきちんと行うことが重要です。
今回の記事をきっかけに、自社の対策を見直す機会としてぜひご参加いただければと思います。
