ホーム ／ セキュリティ
SECURITYVPN運用の不安を、
設計から見直しました。
「VPNは狙われる」とニュースで聞いたことがあるかもしれません。実は、それにははっきりした理由があります。ForceLink は、その“狙われる理由”を、設計の段階で小さくしています。
“狙われる理由”は、4つ。
弱点① 装置がインターネットに丸見え
古いVPN機器の重大な弱点が狙われ、事故が多発しています。
ForceLink：管理画面はインターネットに出しません。外に公開するのは必要最小限の入口だけ。狙われる面を小さく設計しています。
弱点② 会社をまたいで巻き込まれる／アクセスが広すぎる
1台が侵害されると、横移動で被害が広がります。
ForceLink：企業ごとにネットワークを分離。他社とネットワークが混ざらないので、巻き込み事故が起きにくい設計です。
弱点③ パスワードで入れてしまう
認証情報が盗まれると、侵入されてしまいます。
ForceLink：パスワードでトンネルは開きません。あなたの“鍵”はPCの中だけで作られ、外に出ません（標準のWindows専用アプリの場合）。
弱点④ VPN接続後、社内LAN全体が見えてしまう
古いVPNは「つながれば社内ぜんぶに到達」になりがちで、1台の侵害が横移動で広がります。
ForceLink：めざすのは“つながった後のゼロトラスト”。社内リソース・ルート制御（Secure Route Control）で、VPN接続後も社内LAN全体を開放せず、ユーザーごとに必要な社内PC・サーバー・NAS だけを ForceLink BOX 側で許可します（宛先IP・ポート・プロトコル単位）。万一1台が侵害されても、横移動で社内全体へ広がるリスクを小さくします。
なぜ、古いVPNは狙われやすいのか。
テレワークの普及にともない、社外から社内ネットワークへ安全につなぐVPNは急速に広がりました。一方で、VPN機器を入口にした不正アクセスやランサムウェア（身代金型ウイルス）の被害が報じられる機会も増えています。便利なはずのVPNが、なぜ「危ない」と言われるのか。理由は大きく3つあります。
1. 装置がインターネットに露出している
多くのVPNは、社外からの接続を受けるために、VPN機器（ルーターやゲートウェイ）をインターネット側に公開します。公開されている以上、世界中から接続を試みられます。機器の脆弱性が修正されないまま放置されると、そこが侵入口になりかねません。実際、既知の脆弱性が悪用された事例が国内外で報告されています。
2. パスワードだけで入れてしまう
ID・パスワードだけで接続できる設定では、認証情報が漏れたり使い回されたりすると、正規の利用者になりすまして侵入されてしまいます。フィッシングや過去の情報漏えいで流出したパスワードが悪用されるケースは、決して珍しくありません。
3. つながると、社内ぜんぶに到達できてしまう
従来のVPNは「接続できれば社内LAN全体が見える」状態になりがちです。1台の端末やアカウントが乗っ取られると、そこを起点に社内を横移動（ラテラルムーブメント）され、被害が一気に広がります。本来その人に必要のないサーバーまで到達できてしまうことが、被害拡大の温床になります。
ForceLink は、これらの“狙われる理由”を、機能をやみくもに足すのではなく設計の段階で小さくすることを目指したリモートアクセスです。管理画面を外に出さない・接続を鍵ベースにする・企業ごとに分離する・ユーザーごとに必要な社内リソースだけを許可する、という考え方で組み立てています。（なお「絶対安全」とは申しません。守れる範囲と、これからのことを正直にお伝えします。）
あなたの鍵は、PCの外に出ない。
標準の Windows 専用アプリでは、鍵はPC内で生成。公開用の鍵だけがクラウドへ渡り、秘密の鍵は端末に残ります。
社員のPC（端末の中）
クラウド
だから、クラウドが万一のぞかれても、あなたの鍵は奪えません。
※ Mac／iPhone／Android の個別対応は、管理者が安全に設定を発行する別方式です（設定は一度だけ表示し、保存しません）。鍵の主張は標準の Windows 専用アプリの方式の特長です。
ユーザーごとに、使える社内リソースを限定。
管理者は「誰が、どの社内リソース（サーバーやポート）を使えるか」を ForceLink BOX 側で設定できます。たとえば「経理担当は会計サーバーだけ」のように、必要な人に、必要な分だけ。設定は装置側で強制するので、社員が勝手に変えることはできません。機密情報を扱う士業・医療などに特に有効です。
宛先IP・ポート・プロトコル単位の制御で、アプリ名や業務システムを自動識別するものではありません。ポリシーを設定したユーザーは“許可した先だけ”に限定され、未設定のユーザーは従来どおり社内LAN全体にアクセスできます（管理者が順次ポリシーを設定）。
＊実際のアプリの例です。
“ちょうどいい安心”を、表で。
「本製品がSASEより上」とは申しません。古いVPNの弱点を外しつつ、フルSASEほどの重さ・コストなしに、という“ちょうど良さ”です。
| 昔ながらのVPN | ForceLink | 大がかりなSASE | |
|---|---|---|---|
| 装置のネット露出 | ある（狙われる） | 管理画面は非公開 | なし |
| 入るときの本人確認 | パスワード中心 | 鍵ベース（標準Windowsは端末内生成） | ID＋多要素など |
| 導入の手間・規模 | 重い | 置くだけ＋コード配布 | 大がかり |
| アクセス制御の粒度 | ネットワーク全体 | ユーザー別・宛先別（IP・ポート・プロトコル） | アプリ単位（最も細かい） |
| 現場での運用しやすさ | △ | ◎ | コスト大 |
大規模なSASEのすべては、カバーしません。
ForceLink は「現代的に設計し直したVPN」です。最新の暗号技術を使い、古いVPNで問題になりやすい弱点を設計で抑えています。大規模なSASE製品が持つすべての機能（Webフィルタリング等）まではカバーしませんが、社内へ安全につなぐための“安心”を、手軽にお届けします。
安全性について、よくいただく質問。
VPNは結局、危ないのですか？
VPNそのものが危険なわけではありません。問題は、装置をインターネットに露出したまま脆弱性を放置したり、パスワードだけで接続できたり、接続後に社内LAN全体へ到達できてしまう、といった“古い設計や運用”にあります。ForceLink は、管理画面を非公開にし、接続を鍵ベースにし、ユーザーごとに必要な社内リソースだけを許可するなど、その弱点を設計で抑えています。
鍵ベース接続とは何ですか？パスワード方式と何が違いますか？
パスワード方式は「合言葉を知っていれば入れる」仕組みで、合言葉が漏れると第三者でも接続できてしまいます。鍵ベースは、端末ごとに固有の“鍵”で本人確認する方式です。標準のWindows専用アプリでは、秘密の鍵は端末の中だけで作られ外に出ず、クラウドへ渡すのは公開用の鍵だけです。そのため、合言葉の漏えいによるなりすましが起きにくくなります。
「社内LAN全体を開放しない」とはどういう意味ですか？
従来のVPNは、接続できると社内ネットワーク全体に到達できることが多く、1台の侵害が横移動（ラテラルムーブメント）で広がる原因になります。ForceLink の「社内リソース・ルート制御」では、ユーザーごとに接続できる社内PC・サーバー・NAS を ForceLink BOX 側で限定でき、必要のないリソースには到達しません（宛先IP・ポート・プロトコル単位）。
通信は暗号化されますか？どの区間ですか？
社員のPCから社内の ForceLink BOX までのVPN区間を、最新の暗号技術で暗号化します。インターネットの経路上で通信の中身を読み取られないようにするのが、ForceLink の役割です。社内LAN内の通信は各システムの方式に依存します。
多要素認証（MFA）には対応していますか？
VPN接続は鍵ベースで行います。多要素認証（MFA）は現時点では提供しておらず、今後の対応を検討しています。ID連携（IdP/IDaaS）や全社的なゼロトラスト基盤が必須の場合は、大規模なZTNA/SASEの検討をおすすめします。
ForceLink は「ゼロトラスト」ですか？
「完全なゼロトラストを実現する」とは申しません。ただし、ユーザーごとに必要な社内リソースだけを許可する「社内リソース・ルート制御」など、必要最小限アクセスの考え方を無理なく取り入れられるように設計しています。「絶対安全」とも申しません。できること・これからのことを正直にお伝えします。