【de:code 2020】 Microsoft 365 E5 を活用したセキュア リモート ワーク環境の構築
3 likes714 views
出社しないことが前提であり、リモート ワークが当たり前のように求められている昨今、リモート ワークにおける各種セキュリティ リスクに対して必要十分な対策とその実現方法について現実解を示し、Microsoft 365 E5 を活用することで、どのようにしてセキュアなリモート ワークが実現できるか紹介します。
【de:code 2020】 Microsoft 365 E5 を活用したセキュア リモート ワーク環境の構築
- 1. *本資料の内容 (添付文書、リンク先などを含む) は de:code 2020 における公開日時点のものであり、予告なく変更される場合があります。 #decode20 # Microsoft 365 E5 を活用した セキュア リモート ワーク環境の構築 S01 一瀬 幹泰 日本マイクロソフト株式会社 情報処理安全確保支援士 No.527 / CISSP No. 596997
- 2. 本セッションについて 対象者 課題 ゴール • Office 365 を利用してセキュアなリモート ワーク環境を構築もしくは 既存環境を刷新しようとしている IT 担当者および IT 意思決定者 • リモート ワークにおける各種セキュリティ リスクに対して必要十分な対策と その実現方法について現実解が見い出せていない • Microsoft 365 E5 を活用することで生産的かつセキュアな リモート ワーク環境が構築できることを理解いただく
- 3. セッション アジェンダ 1. 外部からの ID に対する攻撃への対策 2. 個人スマホも家庭 PC もセキュアにフル活用 3. コミュニケーション・コラボレーション環境の整備 4. クラウド ネイティブ ネットワークでの社給 PC の管理
- 4. 1. 外部からの ID に対する 攻撃への対策
- 5. 外部からの ID に対する攻撃の激化 96 億 2020 年 5 月時点での漏えいが 確認されている ID の総数 480 万件 2019 年 1 月に漏えいした 日本のファイル共有サービスでの ID/パスワード Password Spray 既知のユーザーリストに対して 一般的なパスワードを試す Breach Replay 他のサイトから盗んだ パスワードを試す Phishing ユーザーを騙して パスワードを入手する 53 万件 2020 年 4 月に漏えいした Web 会議システムでの ID/パスワード
- 6. 少なくとも 攻撃だけを止めるリスク ベース認証* 可能な限り • Office 365 ATP でのフィッシング対策* リモート ワークに ID 攻撃への対策は必須 *Microsoft 365 E5 機能 https://docs.microsoft.com/ja-jp/azure/active-directory/fundamentals/concept-fundamentals-security-defaults
- 7. ID の乗っ取りは多様素認証で 99.9% 防げる 通話応答 SMS への パスコード モバイルアプリ (iPhone, Android) 承認します か? 1 4 5 6 7 6 Windows Hello for Business FIDO2 セキュリティ キー
- 8. 2. 個人スマホも家庭 PC も セキュアにフル活用
- 9. 社給・個人に限らずスマホは積極活用 8 Microsoft Intune 対応アプリを隔離・ 暗号化しワイプ可能に 対応アプリのみ アクセス許可 MAM 対応アプリ その他アプリ 保存・コピー・ 共有を禁止 • ユーザーによる情報漏えいや端末紛失時のリスクを MAM で未然にブロック • デバイス管理 (MDM) の利用有無によらず利用可能 • 個人のスマホ (iOS/Android) にも適用可能でアプリ一覧や電話番号なども収集しない • MDATP モバイル版でマルウェアのスキャン・Web アクセスのチェック機能も提供予定* モバイル アプリケーション 管理機能(MAM) 条件付きアクセス *Microsoft 365 E5 機能 アプリ起動時 PIN を強制 Word/Excel/PowerPoint OneDrive/Outlook/Teams など
- 10. 家庭 PC へも制限の上サービスを提供 会社管理の PC 制限のなし Office 365 を制限なく利用 デバイスの管理状態に応じて Office 365 セッションを制御 Azure Active Directory 条件付きアクセス 管理されていない家庭の PC Office 365 を制限下で利用 制限されたセッション ・ブラウザからアクセスのみを許可 ・ファイルのダウンロード禁止もしくは暗号化強制 ・コピー・ペースト & 印刷を禁止 Microsoft Cloud App Security* ユーザー個人デバイスに対して ファイルのダウンロード等制限 *Microsoft 365 E5 機能 なお MCAS のセッション制限下でブラウザから Teams Web 会議に 参加した場合に UDP はプロキシを経由しないため品質の劣化なし
- 12. VPN やリバース プロキシ不要の社内 Web アプリの公開 https://app1/ アプリケーション プロキシ Azure AD での認証、アクセス制御、SSO や MCAS* によるダウンロード制御も可能 https://app1-contoso. msappproxy.net/ *Microsoft 365 E5 機能 常時稼働の社内サーバーにコネクタを構成するだけ DMZ へのサーバー配置やサーバー証明書不要
- 13. 家庭 PC 上の企業データを Windows Information Protection で保護 WIP 対応アプリ 企業管理のデータは EFS で暗号化 Windows 10 Home Edition にも WIP MAM のポリシーは有効 条件付きアクセスでデバイス毎の 利用規約の同意を要求 Microsoft Intune デバイス毎の利用規約の同意でデバイスの Azure AD 登録が必須となり登録と共に、 WIP MAM のポリシーが適用される 企業領域からダウンロードしたファイルは、 企業管理として扱われる 管理外の クラウド 企業管理のファイルは、WIP 対応アプリでのみ アクセスでき管理外への保存はブロックされる 保存・コピー・ 共有を禁止 Teams クライアントも 2020 年 5 月初週の 1.3.00.12058 ビルドで WIP に対応
- 21. Windows Information Protection の注意事項 MCAS* *Microsoft 365 E5 機能
- 23. Teams で高品質テレワーク環境をクイックに提供 ファイル共有 バーチャル オフィス プレゼンス（在籍確認） ビデオ会議 & 音声通話 ワークフロー テレワークには複合的なツールが必要 平成 30 年度総務省『情報通信白書』より https://www.soumu.go.jp/johotsusintokei/whitepaper/h30.html
- 24. Teams 会議の電話での代替 Teams Web 会議 Web会議 電話番号で招待* 会議用電話番号 日本：03-XXXX-YYYY アメリカ等：XXX-YYYY-XXXX ダイヤル イン* ダイヤル アウト* 国内・海外の外線電話ユーザー 電話から会議に参加* 音声だけ外線併用も可 ダイヤル イン* *Microsoft 365 E5 機能
- 25. Teams に電話発着信を統合しコミュニケーションの可用性を確保 固定 電話 会社 携帯 個人 携帯 複数デバイスで共通の電話番号* *Microsoft 365 E5 機能+電話回線 会社 家 出先 場所に依存せず最適なデバイスで通話* 複数コミュニケーションを一つのツールで* 電話 チャット Web 会議 物理会議電話会議
- 26. VPN 環境での Teams 音声品質の改善 VPN 接続 持ち出し 社給 PC Teams 少なくとも Teams の UDP 通信を スプリット トンネル 参考 Office 365 の URL と IP アドレスの範囲 13.107.64.0/18, 52.112.0.0/14, 52.120.0.0/14 との UDP 3478 ～ 3481 の In/Out が リアルタイム コミュニケーションの最適化に必須 他クラウド プロキシ スプリット トンネル実装 (VPN に依存) 方法 1. Teams の IP アドレス/URL を VPN 対象から除外 方法 2. 社内の IP レンジのみを VPN 対象に設定
- 27. 所在に依存しない情報の保護 所在によらず 自動で暗号化* × 機密情報・個人情報の 所在を明確にした上で、 不正利用時は失効* ファイル埋め込みの対策で *Microsoft 365 E5 機能
- 28. Office 365 でのファイル暗号化と生産性の両立 Office や Office for the web でファイル 保存時にラベルを 適用もしくは推奨可能* ラベルで暗号化された ファイルも Office for the web で共同編集 *Microsoft 365 E5 機能 ルールに応じてOffice 365 内のファイルを自動で分類しラベルを適用し保護可能*
- 29. 4. クラウド ネイティブ ネットワークでの社給 PC の管理
- 30. 社内ネットワークに依存しない クラウド ネイティブ ネットワーク クラウド ＋ ＝企業システム エンドポイント 社内ネットワークはもはや不要
- 31. ご参考: 日本マイクロソフト社内環境 クラウド 社内でも Auto-VPN プリンタやレガシー システム 利用時だけ VPN を利用 インターネット直結 の高速 Wi-Fi 社給モバイル ルーター＋社給 SIM 03 から始まる個人直通電話も 発着信可能 フリー アドレス
- 32. 端末組み込みでネットワーク制御 Microsoft Defender ATP* Microsoft Cloud App Security* インターネット アクセスを直接監視・制御 *Microsoft 365 E5 機能
- 33. 内部不正を監視する内部リスクの管理* Office 365 でのデータ損失防止のポリシー違反、PC 上での操作、別途 CSV で取り込む退職日・最終出社日などの 人事情報を元に、ファイル共有や、PC 側の印刷・USB の書き出しなどで情報漏えいが疑われる操作を記録し、 リスクに応じて優先順位を付けてダッシュボードで管理 https://docs.microsoft.com/ja-jp/microsoft-365/compliance/insider-risk-management *Microsoft 365 E5 機能 端末側の印刷、USB への 書き込みなど含めて 機密情報・個人情報等 の扱いに関する疑わしい 操作を記録・警告
- 44. セキュリティをシンプルにする効果 Microsoft 365 E5 で、1 ユーザーにつき年間 $106 のセキュリティ製品の 置き換え、および $426 のセキュリティ維持・対応コストの削減が可能 Forrester Total Economic Impact™ Of The Microsoft 365 E5 Solutions (2018 年 10 月) 物事を複雑にする投資より、物事をシンプルにするための投資は、 はるかに副次効果が高く、常に考慮されるべきである by ヨシヒロ イチノセ クラウドエンドポイント ＋ ＝ 企業システム
- 45. まとめ
- 46. M365 E5 で実現出来る安全なリモートワーク 45 New Intune MAM Policy MCAS Session Control
- 47. Microsoft Learn おすすめコンテンツ セキュア リモート ワーク窓口 https://www.microsoft.com/ja-jp/biz/security/remote-work.aspx セキュア リモート ワーク セットアップ ガイド https://www.microsoft.com/cms/api/am/binary/RE4qL00
- 48. © 2018 Microsoft Corporation. All rights reserved. 本情報の内容（添付文書、リンク先などを含む）は、作成日時点でのものであり、予告なく変更される場合があります。 © 2020 Microsoft Corporation. All rights reserved. 本情報の内容 (添付文書、リンク先などを含む) は、公開日時点のものであり、予告なく変更される場合があります。 本コンテンツの著作権、および本コンテンツ中に出てくる商標権、団体名、ロゴ、製品、サービスなどはそれぞれ、各権利保有者に帰属します。