HOME ≫ ＦＦＲＩセキュリティ BLOG ≫ 2025年 ≫ 2025年4月 ≫ 【情報セキュリティ10大脅威 2025】リモートワーク等の環境や仕組みを狙った攻撃に注意【組織の脅威第6位】

【情報セキュリティ10大脅威 2025】リモートワーク等の環境や仕組みを狙った攻撃に注意【組織の脅威第6位】

IPA（独立行政法人情報処理推進機構）が発表した「情報セキュリティ10大脅威 2025」の組織の脅威第6位に「リモートワーク等の環境や仕組みを狙った攻撃」がランクインしました。

リモートワークの浸透により、働き方の多様化が定着しつつある。しかし、リモートワークの実現に必要な環境や仕組みを狙ったサイバー攻撃が多発している。攻撃を受けるとマルウェア感染や情報漏えい等、様々な不正アクセスが行われ、組織の事業が停止するおそれがある。

引用：情報セキュリティ10大脅威 2025

2019年4月より政府主導のもと始まった「働き方改革」の一環として、リモートワークが推奨されるようになりました。直後の2020年には新型コロナウイルス感染症の拡大に伴い、出社せずに在宅で仕事ができるリモートワークは急速に普及しました。現在では、政府や自治体による導入支援策なども充実し、リモートワークは新たな働きかたとして定着してきています。しかしリモートワークは、その便利さの反面、必要なネットワーク環境やIT機器がランサムウェア等の感染経路として依然として狙われています。

警察庁の資料によると、2024 年におけるランサムウェア被害（有効回答100 件）の感染経路は、VPN 機器経由が約 55%（55 件）、リモートデスクトップ経由が約 31％（31 件）となっています。また、リモートワークに利用される機器等の脆弱性や強度の低い認証情報を悪用されたと考えられる割合が約 86％を占めていました。（引用：令和６年におけるサイバー空間をめぐる脅威の情勢等について）

「情報セキュリティ10大脅威2025」に記載された「リモートワーク等の環境や仕組みを狙った攻撃」の対策と対応をまとめましたので、今一度セキュリティ対策が十分であるか確認しましょう。

立場	対策/対応	詳細
個人（従業員）	被害の予防および被害に備えた対策	「情報セキュリティ対策の基本」を実施組織のリモートワークの規則を遵守（使用する端末、ネットワーク環境、作業場所等）家庭環境のネットワーク機器の設定の見直しやファームウェアの更新を行う
個人（従業員）	被害を受けた後の対応	適切な報告／連絡／相談を行う
組織（経営者層）	組織としての体制の確立	インシデント対応体制を整備し対応するリモートワーク環境ならではの状況や環境に応じた連絡方法や対応手順を策定し、社員に周知しておく必要がある。リモートワークのセキュリティポリシーの策定
組織（セキュリティ担当者、システム管理者）	被害の予防および被害に備えた対策	シンクライアント、VDI、ZTNA/SDP 等のセキュリティに強いリモートワーク環境の採用リモートワークの規程や運用規則の整備組織支給端末と私有端末の違いを考慮する。また、リモートワーク開始時の暫定的なセキュリティ対策や例外措置を見直す。情報リテラシー、モラルを向上させるサーバーや PC、ネットワークに適切なセキュリティ対策を行うサポート切れやメンテナスが行えない機器の使用を避けるネットワークレベル認証（NLA）を行う多要素認証(MFA)の設定を有効にする
	被害の早期検知	サーバーや PC、ネットワークに適切なセキュリティ対策を行う
	被害を受けた後の対応	インシデント対応体制を整備し対応する＜リモートワーク関連サイトの紹介＞ IPA では「テレワークを行う際のセキュリティ上の注意事項」のページを公開している。このページでは、リモートワークを行う際のセキュリティ上の注意事項に加え、リモートワークから職場に戻る際のセキュリティ上の注意事項も解説している。また、IPA や他機関のリモートワーク関連セキュリティ情報へのリンクも紹介しているので、参考にしていただきたい

特に近年ではDXが進展したことによって、リモートワークをはじめ、クラウド利用の拡大やIT資産の増加・散在で管理が行き届かない場合があり、サイバー攻撃されやすい状況になっています。こうしたサイバー脅威に対して自社が保有するIT資産を適切に管理し、リスクを洗い出すことが求められます。サイバー攻撃から自社のIT資産を守る手法の一つとしてASM（Attack Surface Management）があります。外部（インターネット）からの観測で得ることができる当該組織の情報を用いて、不正侵入経路となりうるポイントを把握し、事前対処につなげる管理手法です。経済産業省では、企業のセキュリティ戦略に組み込んで適切に活用してもらえるよう2023年5月にガイダンスを作成しています。※ ＦＦＲＩセキュリティでも「ASRサービス」を提供しています。経済産業省：「ASM（Attack Surface Management）導入ガイダンス」に則ったサービスで、報告書は第三者評価として利用できます。同サービスでは、FFRI yaraiで培った攻撃検知のノウハウやテクニックに優れたＦＦＲＩセキュリティの経験豊富なエンジニアがサポートします。

ASR（Attack Surface Research）

※経済産業省：「ASM（Attack Surface Management）導入ガイダンス～外部から把握出来る情報を用いて自組織のIT資産を発見し管理する～」を取りまとめました

2025-04-17