患者用WiFi2024.06.21

危険なWi-Fiをお客様に提供してませんか？

「Wi-Fiサービスの提供者（医療機関・ホテル・飲食店・店舗・オフィス）が行うべき、セキュリティ対策について、総務省ガイドラインに沿って解説していきます。

※総務省のガイドラインは、総務省サイト（https://www.soumu.go.jp/main_sosiki/cybersecurity/wi-fi/）をご覧ください。

セキュリティ対策が十分でないWi-Fiは、あなたのネットワークワークへの不正侵入を許し、コンピュータ―ウィルスを配布する「踏み台」として、あなたを悪用する可能性があります。また、そればかりでなくサービスを利用する、お客様や来訪者のプライバシーを侵し、クレジットカード情報など、大切な個人情報が盗まれることにもなりかねません。

「公衆Wi-Fi」を利用する３人に２人は、その利用に不案を感じているという調査もあります。あなたが提供するWi-Fiサービスを、皆さんに安心して利用してもらうために、

Wi-Fiサービスの提供者は、セキュリティ対策に関する理解を深め、十分に対策を講じることがとても大切になります。

顧客サービスの一環として始めたWi-Fiサービスが、顧客へ被害をもたらすことになっては大変です。

では、「具体的にどのような対策をとればよいのでしょうか？」

その１　「利用者のための対策」

お店や施設で「Wifiサービス」の提供は一般的になってきました。

しかし、サービス向上のために導入したWifiが利用者の個人情報やセキュリティを脅かすことは、なんとか避けたいものです。

それでは、「利用者のためのWifiセキュrティ対策」をご紹介していきます。

　利用者が安心して使うための情報提供を行いましょう

提供条件が明確でないWifiサービスは、利用者に不安を与えます。利用者にセキュリティについて理解してもらい、安心して使えるように、どのようなセキュリティ対策を実施しているか、わかりやすい方法で案内・掲示しましょう。

・サービスの提供者・利用条件・料金や利用時間帯を明示する

・セキュリティ対策の内容を明示する

・公衆Wifiの危険性を周知する

無線通信の「強度な暗号化」の実施と、パスワードの開示方法

無線通信が「暗号化されていない」あるいは「暗号の強度が低い」場合、攻撃者に通信内容を盗聴されてしまう危険性があります。通信内容を傍受されると、サイトの閲覧情報、メールアドレスやSNSのアカウント・クレジットカード情報など、個人情報が盗み取られ、非常に危険です。

時代とともに、この暗号化の方式も進化してきました。最新の暗号化方式が望ましいと言えます。（WPA2やWPA3の利用が望ましいです。）

しかし、ここで重要なのは、パスワードの伝達方法です。

例えば、「WPA2」の方式のなかの、「WPA2パーソナル方式」の場合、費用負担少なく導入は出来ますが、この方式は、アクセスポイントに接続する全員が同じパスワードを共有する事になり、万が一悪意のある第三者にこのパスワードが知られた場合、比較的容易に、通信内容が解読出来てしまします。

さらに、パスワードが分かってしまえば、同じアクセスポイント名（SSID）と同じパスワードを設定する事で、偽のアクセスポイントを設置して、すべての通信を盗むことが可能となります。

WPA2方式には、このような特徴があるため、例えば、Wifiを利用する方にだけ、パスワードを記した紙を渡す方法や、定期的にパスワードを変更してパスワードを知っている人を少なくするなどの対応が望まれます。

利用者の情報を守るため、お互いの端末同士の通信を禁止する

企業・オフィスのWi-Fiでは、データの共有のため、お互いの端末（パソコン）が相互に通信できるような状況をあえて作っていることがあります。

しかし、不特定多数の多数の人が、同じネットワークに接続する公衆Wi-Fiでは、このような情報共有・データ共有は不要です。

一般的な、Wi-Fiアクセスポイントには、利用者の端末同士の通信を禁止する機能が搭載されています。この機能の設定を適切に行う事が大切です。

偽アクセスポイント対策

悪意あるモノが、あなたのアクセスポイントと同じ名前（SSID）を設定した「偽アクセスポイント」を設置し、接続してきた利用者を「偽の画面」に誘導して、入力したID・パスワードやメールアドレスを詐取する事例が報告されています。詐取された情報が悪用され、利用者が被害を受けてしまいます。

しかし、公衆Wifiを提供する側が取れる対策は限られています。利用者側での対策が必須です。正しいアクセスポイントであるかどうかを判断できるように認証画面をhttps化し、そのURLを周知するなど、継続した周知啓発活動が不可欠です。

青少年有害情報のフィルタリング

青少年による利用（家族や子供の利用）が想定される場所では、例えば青少年有害情報の閲覧を制限するフィルタリングの実施（実施には利用者の同意が必要）や、フィルタリングを提供・販売するサイトの紹介等を行い、青少年が有害情報を閲覧する機会が少なくなるようにしましょう。

法令に準拠した個人情報保護・通信の秘密保護

公衆Wifi提供者には、利用者情報を厳格に管理する法的な責任が課せられます、例えば、公衆Wifiの提供に当たって利用者情報を登録させる場合は、登録させた個人情報等を適切に管理しなければなりません。また、公衆Wifi提供者は、利用者がいつ、どこにアクセスしたかというアクセスログは、業務上必要な場合のみに記録・保存が認められ、利用者の意に反する使い方はできません。

その２　「提供者（自身）のための対策」

Wi-Fi機器・ネットワーク機器を適切な状態に保つ

お客様にWi-Fiサービスを提供するためには、アクセスポイントやルーターなど、Wi-Fiネッワークのために機器が必要です。

Wi-Fi機器を設定・管理するためには管理者IDやパスワードの登録が必要です。

この、管理者ＩＤやパスワードが悪意のある第三者に知れると、設定を書き換えられたり、ネットワークへ不正に侵入されることになります。

初期パスワードのままだったり、簡単のものは、推測されにくい複雑なものに変更する事が対策となります。

また、ネットワーク機器を常に最新のファームウェアにアップデートしておくことも大切です。セキュリティへの脆弱性が見つかると、機器メーカーが更新プログラムを提供します。機器の状態を常に最新の状態にしておくことが対策となります。

業務用ネットワークと公衆Wi-Fiの分離する

業務で利用するネットワークを、そのまま、公衆Wi-Fi用として開放することは絶対に避けましょう。

ネッワークの分離には２つの方法があります。

１.物理的な分離（物理分離）

インターネットへのアクセス回線・ルーター・等のネットワーク自体を、「業務用」「公衆用」と、物理的に２つもつことです。

２.VLAN技術（論理分離

Virtual Local Area Network の略で、「仮想LAN」「ヴァーチャルLAN」とも呼ばれる技術です。物理的には同じネットワークを論理的に別のネットワークであるかのようにし、分離する技術です。

いずれかの手段で、業務用ネットワークと、お客様提供用のWi-Fiは、分離するようにしましょう。

Wifi利用者の情報を確認・管理する

Wifi利用の際、利用者の情報を確認や認証の仕組みを導入する事で、万が一の事件や事故が発生したとき、誰がその時、あなたの公衆Wifiを利用していたか特定する事が出来ます。

次に、具体的な仕組みをご紹介します。

利用者情報の確認を含めたメール認証方式

・利用開始時にメールアドレスを登録する

・登録したアドレスに返信される利用コードの入力や認証URLからWifiが利用可能となる。

SNSアカウントを利用した認証方式

・利用開始時に自信が利用しているSNSサービスにログインする事でWifiが利用可能となる。

※SNSサービスを利用していない人がいることに留意が必要です。

SMS連携方式

・利用開始時に電話番号を入力

・システムから利用コードがSMSで発行され、利用コードを入力する事でWifiが利用可能となる。

※携帯電話の契約プランによってはSMSが利用できないお客様がいることに留意が必要です。

Wi-Fi機器・ネットワーク機器を適切な状態に保つ

お客様にWi-Fiサービスを提供するためには、アクセスポイントやルーターなど、Wi-Fiネッワークのために機器が必要です。

Wi-Fi機器を設定・管理するためには管理者IDやパスワードの登録が必要です。

この、管理者ＩＤやパスワードが悪意のある第三者に知れると、設定を書き換えられたり、ネットワークへ不正に侵入されることになります。

初期パスワードのままだったり、簡単のものは、推測されにくい複雑なものに変更する事が対策となります。

アクセスログの記録と保存

アクセスポイントやルーター等のネットワーク機器は、アクセスログを記録する事が可能ですが、アクセスログは、どの端末が、いつ、どこにアクセスしたのかがわかる点で高いプライバシー性を有するものです。このため、アクセスログを記録する際は、ネットワーク機器にトラブルが発生したときの通信状況の把握等、目的に照らして必要最小限の範囲内での危篤にとどめましょう。また、利用者から問い合わせに答えるような場合にもアクセスログが必要になる事があります。ただし、このような業務所の必要性から保存したアクセスログであっても、利用者の同意なくマーケティング等の目的に使うことや、第三者に提供すること等のないよう、十分に注意して扱いましょう。

アクセスログを利用者の同意なく外部へ提供することは出来ません。ただし、業務上の必要性から保存しているアクセスログについて、裁判官の発付する令嬢に従う場合は、警察等に提供することができます。例えば、公衆Wifiから外部サイトへの不正アクセス行為がなされた場合は、アクセスログを含めた犯人を特定するための情報の提供を警察から求められる場合等があげられます。特に、利用者がアクセスポイントを用いて外部通信を行う際のIPアドレスが、業務用ネットワークから行われていないことを証明する大切な証拠になります。

なお、公衆Wifiの運用を他の業者に委託している場合は、アクセスログもその委託先の事業者において記録・保存されますが。その記録内容や保存期間等を把握するようにしましょう。また、問い合わせがあった場合の対応方法も、委託先事業者と確認しておく必要があります。