クラウドセキュリティベンダーのゼットスケーラー（Zscaler）は2021年2月22日、企業の仮想プライベートネットワーク（VPN）に潜む脆弱性を調査し、脅威の軽減にはゼロトラストのセキュリティアプローチが必要だとする新たな研究結果を発表した。『2021年版VPNリスクレポート』にまとめている。これによると、標的型ソーシャルエンジニアリング、ランサムウェア、マルウェアなどの攻撃に関連し、セキュリティの脆弱性が高まっている。ゼットスケーラーは、VPNを代替するリモートアクセスの手段を提案している。
『2021年版VPNリスクレポート』では、企業の仮想プライベートネットワーク（VPN）に潜む脆弱性を調査し、結果をまとめたレポートである。サイバーセキュリティ・インサイダーズと共同で発行した。ゼットスケーラーのWebサイトからダウンロードできる。日本語版は近日中に公開する予定である。
調査は、リモートアクセス環境の現状、VPNにおける脆弱性の増大、企業アプリケーションへのアクセスにおけるゼロトラストセキュリティモデルが果たす役割について、サイバーセキュリティの専門家350人以上を対象に、グローバルで実施した。
VPNは、企業ネットワークのリソースにリモートからアクセスする手段として30年の歴史がある。しかし、ゼットスケーラーによると、リモートワークの需要が増えてクラウドへの移行が進んだ結果、VPNはゼロトラスト型のセキュリティとは相容れないものになってきている。
VPNはインターネットを介して社内LANにアクセスする必要があり、攻撃の対象領域が広がってしまう。こうしたユーザーを信頼することを前提とした従来のモデルは、攻撃者に容易に悪用されてしまう。レポートでは、企業によるVPN使用の現状に着目し、VPNを扱うIT管理者が頻繁に直面する課題をリスト化している。
ゼットスケーラーは、ネットワークやセキュリティの責任者に向けて、VPNを代替する手段を提案している。VPNの代わりに、クラウドベースのサービスを使用し、すべてのユーザーとアプリケーションの接続を仲介することが有効だとしている。
今回の調査からは、以下のようなことが分かったという。
- 調査対象となった企業のうち94％が「サイバー犯罪者がVPNを悪用してネットワーク上のリソースにアクセスする」ことを認識しているにも関わらず、93％の企業がVPNサービスを導入している
- 「特に心配な攻撃経路」としては、「ソーシャルエンジニアリング」（75％）、「ランサムウェア」（74％）、「マルウェア」（60％）が上位に挙げられている。いずれもユーザーによるVPNアクセスを悪用する手法である
- 約4分の3の企業がVPNのセキュリティに懸念を示しており、67％がリモートアクセスにおいて従来のVPNに替わる手段を検討している
- VPNにおけるセキュリティリスクの増加に伴い、「ゼロトラストセキュリティモデルの採用を重視する」企業は72％、「リモートワークの重要性が高まったことにより、取り組みを加速している」企業は59％に上った
- ゼロトラストサービスの将来的なニーズを鑑み、「リモートでもオフィスでも柔軟に働けるハイブリッド型の労働形態が増えるだろう」と回答した人は77％に上った
