リモートデスクトップを社外から安全に使うには？RDPを直接公開しない基本対策

在宅や外出先から、会社に置いたPC（会計用PCや業務ソフト専用PCなど）の画面を、手元の端末でそのまま操作できる「リモートデスクトップ（RDP）」。とても便利な一方、設定を誤ると不正アクセスの入口として悪用されることがあります。とくに危ないのは、社内PCのRDP接続口を、ルーターのポート転送などでインターネットに直接見せている構成です。警察庁「ランサムウェア被害防止対策」でも、リモートデスクトップやVPN機器のぜい弱性が悪用される事例が多数確認されていると説明されています。

この記事では、RDPの「危ない使い方」をしていないかの見分け方と、社外からリスクを下げて使うための基本を、専門用語ぬきで整理します。

この記事でわかること

• RDPを「危ない使い方」していないかの見分け方（セルフチェック）
• RDPを社外から使うときの基本対策
• 中小企業に現実的な選択肢（比較表つき）

リモートデスクトップ（RDP）とは

リモートデスクトップは、離れた場所から社内のPCの画面をそのまま操作できる仕組みです。Windowsに標準で備わる「リモートデスクトップ接続」が代表例で、会計ソフトや業務専用ソフトが入った社内PCを、在宅や外出先から使いたいときに重宝します。用語の整理は用語集でも行っています。

Microsoftの公式ドキュメント「Enable Remote Desktop on your PC」でも、リモートデスクトップを有効にするとPCの接続口（ポート）が開くため、信頼できるネットワークでのみ有効にし、接続できるアカウントには強固で使い回さないパスワードを設定するよう案内されています。問題は「便利さ」ではなく、この接続口をインターネットに直接さらす使い方にあります。

なぜ「RDPの直接公開」がランサムウェア被害につながりやすいのか

RDPの接続口（標準では3389番ポート）をインターネットに直接開けて使うと、次のリスクが高まります。

1. 公開ポートが世界中から見つかる

ポート転送などで外向きに開いた3389番ポートは、攻撃者の自動スキャンですぐに見つかります。「社内だから誰も知らないはず」は通用せず、公開した時点で世界中から接続を試される前提になります。

2. 総当たり・流出済みパスワードで突破される

公開された接続口には、パスワードを機械的に次々試す「総当たり」が仕掛けられます。弱いパスワードや、他サービスから流出して出回っているパスワードを使い回していると、なりすまし侵入を許しかねません。

3. 入られると、その先まで到達される

1台に入られると、そのPCを踏み台に社内ネットワークを横移動され、ファイル共有や他のPCへと被害が広がります。本来その担当者に必要のないサーバーまで届いてしまう構成は、被害拡大の温床です。

RDPの危ない使い方セルフチェック

まずは自社の使い方を点検してみてください。

3つ以上当てはまる場合は、目安として、RDPを止めるかどうかより先に、接続経路・認証・到達範囲の見直しを検討してください。

RDPを社外から使うときの基本対策

1. インターネットに直接公開しない

RDPの接続口を外に直接出さず、外部からRDP接続口を直接見せない経路の内側に入ってからRDP接続するのが基本です。具体的には、VPNやリモートアクセス製品など、認証された利用者だけが通れる経路の内側でRDPを使います。IPA「テレワークを行う際のセキュリティ上の注意事項」でも、社外からの接続では信頼できる経路を使うことや、基本的なセキュリティ対策の徹底が促されています。

2. NLA（ネットワークレベル認証）を有効にする

NLAは、リモート画面を表示する前の段階で利用者を確認する仕組みです。Microsoftの公式ドキュメントでも、ほとんどの環境でNLAを有効にしておくことが推奨されています。古い端末の都合でNLAを使えない場合も、恒久運用にはせず、対象端末・期間・接続元を限定するのが安全です。

3. 接続元を制限し、ロックアウトを設定する

「どこからでも接続できる」状態をやめ、接続元を必要な範囲に絞ります。あわせて、ログインの失敗が続いたら一定時間ロックする「アカウントロックアウト」を設定すると、総当たりの成功率を下げられます。

4. 認証を強くし、共有IDをやめる

パスワードだけに頼らず、アカウントは利用者ごとに分けます。共有IDは、誰が接続したか分からなくなり、退職・交代時の停止も漏れやすくなります。必要に応じて多要素認証（MFA）の利用も検討します。

5. 接続先・権限・ログを絞って確認する

「この担当者は会計PCだけ」のように、接続できるPCや範囲を必要最小限に限定し、接続ログを定期的に確認します。なお、VPNの内側に置くだけで十分とは限りません。接続後に社内LAN全体へ到達できる構成では、1台の侵害から被害範囲が広がる可能性があります。

中小企業に現実的な選択肢

RDPの使い方を見直す方法は一つではありません。自社の体制に合わせて選びます。

方式ごとの違いは比較ページでも整理しています。まずは「設定の見直しで足りるか、経路ごと変えるべきか」を切り分けるのがおすすめです。

たとえばForceLinkも、RDPを直接公開せず、許可した利用者だけが指定したPCへ接続する構成の一例です。専用アプリで暗号化トンネルを張った内側からRDP接続でき、利用者ごとに「会計PCのRDPだけ許可」といった限定もできます（社内LAN全体は開放しません）。具体的な利用イメージは、ユースケースの図解でも確認できます。なお、ForceLinkは現時点で多要素認証（MFA）に未対応のため、MFAを必須要件とする場合は、要件に合う構成を別途ご確認ください。

RDP利用が向くケース・別方式を検討したいケース

• RDP利用が向く：社内PC上の会計ソフトなどをそのまま使いたい／接続先PCを少数に絞れる／利用者が限定されている（→ セキュリティの考え方）
• 別方式を検討したい：複数端末・複数拠点で常時利用する／Mac・スマホが主端末／MFAや端末管理を必須条件にしたい／公開事例や導入社数を重視して選定したい

「接続口を直接インターネットに公開しない」という考え方は、防犯カメラにも共通します。社外からの映像視聴についてはネットワークカメラの記事で解説しています。

まとめ：まず確認すべき3点

1. RDPの接続口（3389番ポート）を、インターネットに直接公開していないか
2. NLA・接続元制限・ロックアウトを設定し、パスワードだけ・共有IDに頼っていないか
3. 接続先・到達範囲を必要最小限に絞れているか

ここに不安があれば、まず使い方の見直しから始めるのが近道です。IPA「中小企業の情報セキュリティ対策ガイドライン」でも、まず基本の対策を一つずつ積み上げることが勧められています。「直接公開しない」考え方はNAS・ファイルサーバーを社外から安全に使う記事とも共通で、ランサムウェア対策の全体像は中小企業のランサムウェア対策で整理しています。業種別では、工場PC・業務端末を遠隔利用する中小製造業のテレワーク、院内端末への接続に注意が要る医療機関のリモートアクセス対策でも扱っています。自社での進め方は、比較ページで方式を確認しつつ、あわせて料金ページとFAQで確認してください。

参考・出典

• 警察庁「ランサムウェア被害防止対策」
• IPA「テレワークを行う際のセキュリティ上の注意事項」
• IPA「中小企業の情報セキュリティ対策ガイドライン」（第4.0版）
• Microsoft「Enable Remote Desktop on your PC」（Microsoft Learn）