特集・集中企画
TeamViewerの最高情報セキュリティ責任者に聞く「セキュリティの今」
2024年4月26日 08:10
コロナ禍を経て、リモートワークやハイブリッドワークが働き方の一つとして定着した。
独TeamViewer社は、こうしたリモートワークやハイブリッドワークで使われるリモートアクセス製品を開発し販売している企業だ。その製品には、個人向け無料ライセンスもあるリモートデスクトップ製品「TeamViewer Remote」（旧名TeamViewer）や、大規模企業向け製品「TeamViewer Tensor」、産業用の「TeamViewer Frontline」などがある
TeamViewer製品の特徴の一つとして、企業のファイアウォールに関係なくアクセス先とアクセス元のデバイスを一対一で接続し、かわりにデバイス間の通信をエンドツーエンドで暗号化することがある。昨今ではクラウドを中心に、ファイアウォールに頼らず個別に保護するゼロトラストセキュリティがしばしば言われるが、TeamViewer製品はもともとゼロトラストセキュリティに親和性の高い形態となっているわけだ。
TeamViewerでは2023年に、旧TeamViewerをTeamViewer Remoteと改称し、アプリケーションを刷新するのにあわせ、アクセス側にTeamViewerアカウントを義務化するなど、セキュリティの改善を進めている。
コロナ禍をきっかけに各種リモートアクセスへの攻撃が増加した中で、TeamViewerのセキュリティへの取り組みや、ゼロトラストセキュリティの意義について、同社でCISO（最高情報セキュリティ責任者）を務めるロバート・ハイスト氏に話を聞いた。
「大きな砦」を守る考え方から、ゼロトラストセキュリティへ
最初にハイスト氏は「セキュリティはチームプレイ」と語る。TeamViewerでは現在、製品のセキュリティと社内のセキュリティの取り組みを一つにして、約50名のセキュリティチームで推進しているという。
氏は、「セキュリティは顧客にとっても弊社にとっても非常に重要であり、真剣に取り組んでいる」と述べ、ISOやHIPAAなどの外部機関の監査を受けて認証を取得していることを強調した。
こうした中で、ゼロトラストセキュリティの重要性をハイスト氏は取り上げた。ハイブリッドワークにおいては、従業員が、家やオフィス、出先などさまざまな拠点から働く。それによって、トラディショナルな「会社を大きな砦にとして守る」というセキュリティの考え方が通用しなくなって、コンポーネント単位で守ることが重要になっているというわけだ.
ハイスト氏はゼロトラストの原則として、誰であっても信頼するのではなく常に検証すること、最小特権にして拒否をデフォルトとすること、可視性と検査、管理を一元集中することの4つを説明。そして、TeamViewer製品ではこれらを取り入れていると語った。
この4つに加えて、エコシステム全体のセキュリティが大事だとハイスト氏は言う。TeamViewerを構成する機能やプラットフォーム全体にセキュリティが行き届いていることの必要性だ。
具体的にはまず、新機能を開発するときにも、その機能のセキュリティレベルを保つ。そのために、設計段階からセキュリティを前提にする「セキュリティ・バイ・デザイン」を取り入れていると氏は説明した。
また、通信については、接続元と接続先の端末の間のエンドツーエンド（端から端まで）を、RSA4096とES256で暗号化している。「これによって、われわれTeamViewerも内容を覗けない」と氏は付け加えた。
そして認証。特にエンタープライズ（大規模組織）に向けて、シングルサインオン（SSO）や多要素認証（MFA）の機能を備えている。そのほか、ゼロ知識でのアカウント回復や、デバイス認証などさまざまな手法に対応しているとハイスト氏は説明した。
認証についてはそのほか、以前はTeamViewerアカウントがなくても利用できたが、2023年にTeamViewerアカウントの必須化をグローバルで実施した。
一方で、以前は無料ユーザーでは多要素認証などいくつかのセキュリティ機能が使えなかったが、これを無料ユーザーにも利用できるようにした。「TeamViewer Remoteには無料ユーザーもたくさんいる。無料ユーザーでも、1人でも多くの人にセキュリティ機能を活用してほしい。それにより、TeamViewer製品がより安全に使ってもらえる」とハイスト氏は語った。
エンタープライズ向けの機能でゼロトラスト対応を完備
ここでハイスト氏は、改めてTeamViewer製品の接続の仕組みを解説した。
TeamViewerでは、接続先のIPアドレスなどを知らなくても接続できる。接続するときには、世界80強の地域にある1300台の「ルーター」と呼ばれるサーバーと、ドイツにあるマスターサーバーを介して相手を発見し、接続を確立する。接続自体は基本的に、ルーターやマスターサーバーを経由せずに直接つながるようになっている。
エンタープライズ向けにはさらに、自社内にルーターを設置できるようにもなっている。これによって企業は、グローバルのルーターを使わずに、接続をすべてコントロールでき、アクセスのルールをカスタマイズすることもできる。
これによって、ゼロトラストの4つの原則のうち、「信頼せず、常に検証する」「最小特権とデフォルトの拒否」を実現できる、とハイスト氏は語った。
またエンタープライズ向けには、監査可能性とイベントログの機能も備わっている。リモート接続のセッションとすべてのアクションをログに記録し、後から遡って追跡できる。
さらにエンタープライズ向けとして、Webベースのマネジメントコンソールも用意している。この1箇所のマネジメントコンソールから、ユーザー管理やデバイス管理、ログの閲覧などさまざまな管理機能を利用できる
このイベントログやマネジメントコンソールによって、ゼロトラストの4つの原則のうち、「完全か可視性と検査」「集中管理」を実現できる、とハイスト氏は語った。
セキュアな会社であってこそ、セキュアなソフトウェアを作れる
TeamViewerのセキュリティチームでは、製品とともに、TeamViewer社内のセキュリティにも取り組んでいる。「セキュアな会社であってこそセキュアなソフトウェアを作れる、というのが私の考え」とハイスト氏は語った。
前述した約50名のセキュリティチームは、開発部門にセキュリティを指導するプロダクト担当や、リリース前のセキュリティチェックの担当、TeamViewerのプラットフォームが不正利用されていないか厳重にチェックしている信用・安全対応の担当、社内セキュリティの担当に分かれているという。
「私がCISOになったときに心がけたのは、組織に対してどうセキュリティを取り入れいくかだった」とハイスト氏。その中で成功したこととして、各機能の開発チームにセキュリティのアドボケート（推進委員）を設けたことを氏は紹介した。その人を通してセキュリティの情報を提供したり重要さを伝えたりして、啓蒙に努めたという。これによって、開発の中にセキュリティを入れるのがうまくいった、と氏は語った。
古いバージョンは最新版にアップデートを
ハイスト氏に、コロナ禍以降のリモート接続への攻撃傾向と、それに対する対策について質問した。
これに対して氏は「攻撃の量が急激に増加したが、技術的には攻撃手法は変わっておらず、高度化したわけではない。また、TeamViewerのバックエンドのシステムで、よくあるタイプの攻撃は検知してブロックしている」と回答した。
そのうえでユーザーの対策として、無料ユーザーでは古いバージョンを使っていることもあるが、セキュリティの機能を追加しているので、最新のバージョンにしてほしいと語った。「基本的なことだが、軽視すると大きな被害につながる」（ハイスト氏）。
そのほかセキュリティのトレンドで注目していることについて尋ねると、ハイスト氏は、パスキーによるパスワードレス認証を挙げた。「パスワードは、盗まれたり、推測されたり、なくしたりと問題の元になるため、パスワードに代わるものが求められている。FIDO2やWebAuthn、パスキーといった技術が普及しつつあるのは歓迎すべきことだ」（ハイスト氏）。
ただし、TeamViewer製品ではまだパスキーに対応していない。それについて尋ねると、ハイスト氏は苦笑しながら「現在、対応に向けて進めている」と答えた。「TeamViewer製品は、PCやスマートフォンだけでなく、工場機器や医療機器などさまざまなデバイスで動いている。これらのデバイスで、しっかり動くようにするように研究や検証をする必要がある」（ハイスト氏）。
一方で、そうしたさまざまなデバイスで動くからこそ、デバイスごとに保護するゼロトラストセキュリティが重要になる、ともハイスト氏は説明した。
インタビューの最後にハイスト氏は、「セキュリティはTeamViewerのDNAの一部になっている。そんな会社でCISOをできて誇りに思う」と語った。