入れたままの VPN 機器、裏口になっていませんか？5つの確認

在宅勤務を始めたときや、拠点どうしをつないだときに入れた VPN の機器。その後、どなたか触りましたか。外から社内に入るための VPN 機器は、入れたあとに更新と点検を続けないと、外から社内へ入れる裏口になります。つながっている限り誰も困らないので、気づかれないまま放置されやすい機器です。

何が起きているのか

VPN は、インターネットを通して離れた場所から社内のネットワークに入るための扉です。在宅勤務や拠点間の接続のために、ルーターや UTM（ネットワークの出入口でまとめて守る機器）の機能として使われていることが多くあります。

この扉の機器の弱点を突いて社内に入り込み、データを使えなくして身代金を求める被害（ランサムウェア）について、公的機関が繰り返し注意を呼びかけています。警察庁の集計では、被害は中小企業が中心です。小さな会社だから狙われない、ということはありません。

なぜ放置されやすいのか

VPN 機器が見落とされやすいのには、仕組みの上の理由があります。

• 正常に動いているので、誰も困らない。 古くなっても、つながっている限り不具合として表に出ません
• 機器の中のソフトは、自動では新しくならないことが多い。 弱点が見つかってメーカーが直しても、誰かが更新しない限り、機器は古いまま動き続けます
• メーカーのサポートが終わると、直す手段がなくなる。 弱点が見つかっても、修正が出ません
• 入れた人がいなくなると、触れなくなる。 設定した業者や担当者と連絡が取れず、管理画面のパスワードも設定の中身も分からない、という状態になりがちです。当社がご相談を受けた現場でも、設定した業者と連絡がつかず、パスワードを誰も知らなかったことがあります
• 鍵（アカウント）が残り続ける。 退職した人や、もう取引の無い相手のアカウントが消されないまま残ります

扉（機器）と鍵（アカウント）の両方が、入れたときのまま古くなっていくのが、この機器の難しいところです。

いまのうちに確認しておきたいこと

まずは、次のことが社内で分かるかどうかを確かめてみてください。

「分からない項目がある」こと自体が、いちばん大事な気づきです。 分からないままでは、守れているかどうかも判断できないからです。

ここから先は専門家に

機器のソフトの更新は、手順を誤ると社内の通信が止まります。古い機器の入れ替えや、設定の引き継ぎ、外から社内に入る方法そのものの見直しは、業務を止めずに進める段取りが必要です。また、VPN 機器を使わずに社内の情報へ入る方法（ゼロトラスト）もあり、会社の使い方によっては、そちらが向いていることもあります。

どれが合うかは、拠点の数、外から入る人数、社内にある機器や仕組みによって変わります。

今の構成のままでよい場合もあります

機器の更新とアカウントの整理が続いていて、上の5つにすべて答えられるなら、今の構成を続けるのがいちばんです。ご相談いただいた場合も、問題が見当たらなければ、そのままでよいとお伝えします。