サイバートラスト製品サービス導入事例

テレワークで活用されるコワーキングスペース ― 利用者から要望されるのは情報セキュリティ

事例企業：ホテルゆがふいんおきなわ

業種：サービス業　規模：50～300人

事例カテゴリ：サイバーセキュリティ対策ネットワークセキュリティワークスタイル・働き方改革

目的：テレワーク施設へのネットワーク診断

採用製品：脆弱性診断サービス脆弱性診断サービスウェブサイトセキュリティ調査サービスセキュリティ調査サービスウェブサイト情報セキュリティコンサルティングサービス情報セキュリティコンサルティングサービスウェブサイト

導入前の課題

実証実験時に、テレワーク施設利用者からネットワーク回線のセキュリティ面での不安という声が寄せられていた。

導入の目的・解決手段

サイバートラストの脆弱性診断でネットワーク上脆弱な箇所を洗い出し、セキュリティを確保。

導入効果

潜在セキュリティリスクに対し、対策を施せたことで、お客様に対して安心安全をアピールできるようになった。

海水浴ができる名護ビーチが目の前に広がる沖縄県名護市のシティリゾートホテルである「ホテルゆがふいんおきなわ」は、観光だけでなく、「バケーション」＋「テレワーク」＝「ワーケーション」を新しい事業の柱として旅客誘致に取り組んでいます。テレワーク利用者と地元の方が気軽に集えるコワーキングラウンジ「ハナウール」を 2019 年 11 月にオープンしました。一方で、テレワークで利用するにはネットワークのセキュリティ確保が課題です。ホテルゆがふいんおきなわでは、サイバートラストの脆弱性診断サービスを利用して、ネットワークのセキュリティリスクを洗い出し、安全なテレワーク環境の提供を実現しています。

課題：誰もが使えるコワーキングスペースのセキュリティに不安の声

「セキュリティリスクの払拭はコワーキングスペースにとって必須のニーズです」。こう語るのは、沖縄県名護市のシティリゾートホテル「ホテルゆがふいんおきなわ」のグループ企業ゆがふホールディングスで常務取締役を務める上原明寿氏です。

名護市は、年間 666 万人を超える観光客が訪れます。ホテルゆがふいんおきなわでは、観光だけでなくリラックスできる環境や気候で生産性の高い仕事をしてもらう「テレワーク」の場を提供することでホテルの価値を一段と高める取組みをすすめています。欧米で認知されている「バケーション」＋「テレワーク」＝「ワーケーション」をキーワードに旅客を沖縄で誘致することを目指し、ホテルの１Fをリノベーションし、無償で利用できるコワーキングラウンジ「ハナウール』を 2019 年 11 月にオープンさせました。

ハナウールの取り組みに先立ち 2018 年にも内閣府の沖縄における長期滞在型テレワーク実証実験に参加し、利用者からは好評の声をいただいていました。一方で「ネットワーク回線の速度の遅さやセキュリティ面での不安という声もいただきました。ハナウールの構築と提供に当たり、セキュリティリスクを抑えて安心してワーケーションを実現できる環境を提供することも重要だと再認識しました」（上原氏）。

ホテルの一角に作るコワーキングラウンジのハナウールでセキュリティがきちんと確保できているのか、評価する必要に迫られたのです。

検討：サイバートラストによるネットワークと Wi-Fi の脆弱性診断を実施

コワーキングスペースについては、セキュリティ対策について国がガイドラインを示しています。テレワークのために実施すべきセキュリティ対策をまとめた総務省の「Wi-Fi 提供者向けセキュリティ対策の手引き」において、事業者には、セキュリティ対策の有無と対策内容などの情報開示を行うことが重要視（推奨）されています。また、一般社団法人セキュア IoT プラットフォーム協議会が定めた「共同利用型オフィス等で備えたいセキュリティ対策について」において、ネットワークや Wi-Fi についてコワーキングスペースに求められるセキュリティ要件がまとめられています。

こうした状況から上原氏は、「安心してコワーキングスペースとしてのハナウールの通信環境を利用してもらえるようにするため、施設のネットワークや Wi-Fi（無線 LAN）の脆弱性診断を行ってくれる企業を探し始めました」と振り返ります。

実際、コワーキングスペースのネットワーク診断を行わないと、信頼して利用した通信環境によって利用者が不利益を被る危険性があります。それは、コワーキングスペースを提供する事業者にとってのリスクを高めることにもつながります。しかし、テレワークのためのコワーキングスペースで脆弱性診断を実施した実例はほとんど目にすることがありませんでした。

脆弱性診断を実施できる事業者を探している中で、沖縄県でシステムインテグレーションなどを手掛けるジャパンインテグレーションから、サイバートラストを紹介されました。
上原氏は、「サイバートラストは、ネットワーク診断や Wi-Fi 診断で多くの実績があることから、脆弱性診断をお任せしようということになりました」と選定経緯を語ります。豊富な経験はもちろんですが、「ただ単に診断のパッケージを売るということではなく、情報セキュリティコンサルタントの方よりコワーキングスペースに求められる情報セキュリティリスク対策のイロハやハナウールの運用・管理面において助言してもらえたことも信頼感につながりました」（上原氏）。

成果：通信の安全性を現地で評価～すぐに対策を講じて安全性を確保

2019 年 10 月、サイバートラストによる脆弱性診断が実施されました。東京からリモートで診断するのではなく、コワーキングラウンジの「ハナウール」を利用する顧客の通信の安全性が確保されているかを、現地に赴いて直接診断しました。サイバートラストが実施したのは、ネットワーク診断と Wi-Fi 診断の双方です。

ネットワーク診断では、対象ホスト上へアクセスできるサービスの洗い出しを実施し、不要なサービスが診断対象ホスト上で稼動していないかを確認したほか、社外・社内ネットワークの双方から各種管理画面など、一般利用者に公開を意図していないサービスにアクセスできないか等も含め、詳細な調査を実施しました。
詳細項目としては、「OS に含まれる脆弱性の調査」「ミドルウェアに含まれる脆弱性の調査」「ホストで稼働している各種サービスの洗い出し」「ホストで稼働している各種サービスの設定情報、バージョン情報などの調査」「インストールされているソフトウェア/パッケージのセキュリティパッチの適用状況の調査」――が挙げられます。

Wi-Fi 診断では、コワーキングスペースに設置した無線 LAN ルーターやアクセスポイントなどの Wi-Fi 機器の設定、暗号・電波状態、構成などの脆弱性をチェックしました。
具体的には、「SSID をブロードキャストしているアクセスポイント（AP）の検出」「脆弱な設定の AP の検出（open,WEP）」「管理、非管理の AP（適合、不適合の AP）」がチェック項目です。

診断員(右)による Wi-Fi 診断の様子をご覧になる上原様

脆弱性診断の結果、リスクのある項目がいくつか見つかりました。その 1 つが、ネットワーク機器に推測可能なパスワード設定がされており、ネットワーク管理画面に容易にログインが可能な状態だったことです。悪意ある第三者による不正利用、情報漏えい、ウイルス感染などの脅威へのリスクになります。

サイバートラストの脆弱性診断では、毎日昼と夕方に、診断進捗の報告と検出されたリスクへの対応を確認してもらう簡易報告を実施しました。診断と同時にリスク対応をその場で行い、再診断して是正できたことを確認し、報告するという方法です。実際に、上記のネットワーク管理画面にログインが可能だった問題に対しても、当該管理画面にアクセス制御と認証機能を付与することで是正対応を行い、安全化を完了しました。

上原氏は、「今回の診断で、思ったよりも多くの事項が指摘されました。指摘のあった点にはすぐに対策を施してもらいました。これまでわからなかったセキュリティリスクを指摘されて対策を施せたことで、お客様に対して十分に安心安全をアピールできるようになったのは大きなメリットです」と、脆弱性診断の実施の成果を語ります。

展望：ハナウールを新しい付加価値に

今回の脆弱性診断を行ったことで、安心安全に利用できるコワーキングスペースとしてハナウールのセキュリティを確保できました。上原氏は、「今後、ハナウールをホテルの新しい付加価値として、お客様により喜んで貰える施設、人々の集う施設にしていきたいと思います」と語ります。そのためにも、セキュリティ対策を強化することが必要だったのです。

脆弱性診断を実施したサイバートラストでは「コワーキングスペースは首都圏をはじめとして数多くありますが、ネットワークの脆弱性診断まで実施してサービス提供している例はほとんど見かけません。今回の事例は、セキュリティを意識した先進的なケースだと思います」と取り組みを評価します。
セキュリティが担保されたコワーキングスペースがこれから増えていけば、多様な働き方で労働力を確保するといった社会課題に対する解としてテレワークが現実的になります。テレワークの多様化は、沖縄で進められているワーケーションの推進にもつながります。コワーキングスペースの脆弱性診断は、社会課題解決の一つの答になる可能性を秘めているのです。

また、ホテルゆがふいんおきなわでは、コワーキングスペース以外のホテル全体のセキュリティ面の強化にも目を向けていきたいとの展望もあります。「宿泊客向けの Wi-Fi 設備などでも、ハナウールで指摘されたようなリスクがあるかもしれません。今後の対応を検討しているところです」（上原氏）。
さらに、従業員のオフィスエリアや社内ネットワークについても脆弱性診断の必要性を感じたため今後検討を行うとのこと。「これからは、宿泊を含めたテレワークが可能な施設、ワーケーションに適した施設としてのビジネスプランの展開も考えています」という上原氏。情報セキュリティの強化が、リゾートホテルの価値を高め、新しいビジネスへの広がりの第一歩になる手応えを感じているようです。

上原明寿様