- VPNVirtual Private Network
- インターネットの上に、暗号化した専用の通り道を作り、社外から社内のネットワークにつなぐ仕組み。
このページの内容
意味
VPN は、公衆のネットワークの上に、暗号化などで守った仮想の専用の通り道を作る仕組みです（NIST の定義の要約）。テレワークや拠点の接続で広く使われています。VPN 機器はインターネットに公開されているため、その脆弱性は入口として悪用されやすく、JPCERT/CC や CISA がたびたび注意喚起を出しています。
| 確かめること | 理由 |
|---|---|
| 製品名とバージョン | 対象かどうかが決まる |
| 修正版の適用 | 塞いだかどうか |
| 痕跡の確認 | 修正版の前に入られていないか |
| 認証情報の変更 | 盗まれていた場合に備える |
事件のときの見方
- VPN 機器の脆弱性は、委託先の側の機器が入口になることもある。委託先が使っている VPN も照会の対象にする
- 修正版の適用だけでなく、開発元や JPCERT/CC が示す痕跡の確認をしたかも聞く
{{製品名}}の脆弱性（CVE-{{年}}-{{番号}}）について、御社のリモート接続（VPN）での使用の有無、修正版の適用の有無、開発元が示す痕跡の確認の結果をお知らせください。
secubell のレポートでの扱い
事件の要点で、この語が出てくるときは言い換えと原典へのリンクを添えています。
レポートの中身サンプルレポートで見る →
原典・参考にした資料
- 米国立標準技術研究所（NIST）「Glossary: virtual private network」
- 一般社団法人JPCERTコーディネーションセンター（JPCERT/CC）「JPCERT/CC（注意喚起・脆弱性関連情報）」
- 米国 CISA「Known Exploited Vulnerabilities Catalog」
このページは secubell が公開情報をもとにまとめた一般的な解説です。法的な判断や、個別の状況への助言ではありません。内容は原典で確かめ、自社の契約・体制に合わせてお使いください。法令上の報告・通知が要るかどうかの最終的な判断は、お客様ご自身と、弁護士などの専門家で行ってください。