長く用いられてきたVPNの盲点

　インターネットはその仕組みの特徴から、伝達経路の情報を盗み見られる可能性がゼロではありません。そのため暗号化など様々な対策が利用者によって講じられてきました。VPN（Vitual Private Network＝仮想専用線）もその代表的なものの1つです。

　多くのユーザーが通信回線を共有するインターネットと異なり、拠点間を専用線で結ぶことで盗聴の心配が少ない環境を構築することは可能です。しかし、それではコストが掛かりすぎてしまいます。またコストを抑えるために回線帯域を下げてしまうと今度は通信速度が遅くなり生産性が下がってしまいます。

　そこで、既存のインターネット（公衆回線）を用いながら、拠点間に専用の機器を設けて通信を暗号化し、その内容の盗聴を避けることができるVPNが広く用いられてきました。この特徴を用いて、中国など国による通信内容の規制が厳しい国では企業だけではなく一般ユーザーもVPNを用いて、監視をかいくぐるといった使い方も行われています。

　ところが、今回の新型コロナウイルス問題を受けて、このVPNをリモートワークに使う動きが急に広がりました。その結果、「割り当てられる帯域が足らず、通信速度がでないため、仕事にならない」といった声も多く聞かれるようになってきたのです。ただでさえ、自宅で仕事をする人が増える中、インターネットそのものも特に都市部において通信速度が落ちています。そこに、拠点間（会社と自宅など）の専用ルーターに従来にはない量のアクセスが押し寄せた結果、処理がさばききれずこのような事態に陥ってしまった企業も少なくないようです。

そのVPNは本当に必要か？

　VPNはインターネット登場後、かなり早い時期から取り入れられてきた仕組みです。当時は、「業務をクラウドで行う」という考え方もまだ生まれておらず、またそのための技術的なインフラも未整備でした。高コストな専用線よりも手軽に導入でき、とにかく通信が暗号化されていれば通信速度は二の次であり、必要な場面でだけVPNでつないで業務を行うという運用になっている企業も多いはずです。

　しかし、現在では業務のほとんどはクラウド環境で行うことができるようになっています。わざわざ拠点間をつなぐ通信網を仮想的に構築しなければならない場面が減ってきているというのが実情です。新型コロナ問題が長期化するなか、リモートワークが「新しい生活様式（ニュー・ノーマル）」として求められています。VPNに依存しないリモートワーク環境の構築も急務だと言えるでしょう。

　一般的なオフィス業務で、リモートワークの障害となるのは個人情報の取り扱いです。筆者も実際「個人情報を取り扱う会議なのでオンライン化できない」と言われて困惑したことがあります。たしかにインターネット回線網で電子メールを用いてデータをやり取りすれば、盗聴の可能性は否定はできません。しかし、End to endでの暗号化が施されているグループウェアやオンライン会議システム、あるいはローカルPCにデータを残さない仮想デスクトップソフトウェアを用いれば、少なくともデジタル的なデータ流出の可能性は下げることができるはずです。

　プライバシー認証団体も、ぜひ早急にこの新しい働き方に対応した認証指針を示してもらいたいと思います。

　また、VPNそのものを代替するサービスとしてGoogleの「BeyondCorp Remote Access」にも注目が集まっています。これは、信頼性の低いネットワーク環境では、セキュリティの高さが求められるサービスを利用できないようにし、リスクを軽減するというものです。4月20日から、G SuiteなどのGoogle Cloudを利用する全ての組織で利用できるようになっています。「セキュリティが求められる業務は対面で」というのはもはや論外となりつつありますが、「セキュリティが求められるからVPNにつながねば」というこれまでの習慣も変えるべきタイミングが訪れているのです。