セキュリティ対策の種類と必要な取り組み
セキュリティ
重要なデータの窃取や悪用などを主な目的とした悪意ある「脅威」に対し、企業は適切な手段を用いて対抗しなければなりません。現在、認識しておくべき脅威と、セキュリティ対策の種類、企業が取り組むべき課題について解説します。
情報セキュリティの10大脅威
IPA(情報処理推進機構)は、2018年に発生した情報セキュリティにおける事案から「情報セキュリティ10大脅威 2019」を「個人」部門と「組織」部門に分けて選出し発表しました。組織における10大脅威は次のとおりです。
1位 標的型攻撃による被害
2位 ビジネスメール詐欺による被害
3位 ランサムウェアによる被害
4位 サプライチェーンの弱点を悪用した攻撃の高まり
5位 内部不正による情報漏えい
6位 サービス妨害攻撃によるサービスの停止
7位 インターネットサービスからの個人情報の窃取
8位 IoT機器の脆弱性の顕在化
9位 脆弱性対策情報の公開に伴う悪用増加
10位 不注意による情報漏えい
「標的型攻撃による被害」は、前年から引き続いての1位となっています。標的型攻撃とは重要データの窃取などの目的を持って、特定の企業や組織にターゲットを絞って行われるサイバー攻撃です。典型的なパターンとしては添付ファイルやURLリンク付きの差出人を偽装した標的型メールなどを送り付け、マルウェアに感染させてシステムに侵入しようとします。
また、2019年版では新たに「サプライチェーンの弱点を悪用した攻撃の高まり」がランクインしました。サプライチェーン攻撃はセキュリティ対策が強固なターゲットとなる大企業ではなく、まずそのサプライチェーンとなるグループ会社や業務委託先、発注・仕入先といった中小の企業を攻撃してマルウェアなどを感染させ、それを踏み台にしてターゲット企業に侵入しようとします。あるいは企業がよく使用しているソフトウェアの更新プログラム、IT機器などハードウェアのファームウェアなどに不正なプログラムを仕掛けて被害を拡大させるタイプのサイバー攻撃もサプライチェーン攻撃の一種とされます。
セキュリティ対策の3つの種類
セキュリティ対策は物理的対策、人的対策、技術的対策の3つの種類に分類できます。それぞれの概要を見てみましょう。
物理的セキュリティ対策
フィジカル世界におけるセキュリティ対策です。ビルやオフィスの防犯対策や入退室管理に始まり、ハードウェアの管理・保護、システムの冗長化、データのバックアップ、緊急時の機器の準備、古い記憶媒体のデータ消去と適切な処分などが該当します。
また、オフィスやデスクにパスワードが書かれたメモなどを残しておいたり、モニター上に表示させてしまっていたりということもセキュリティリスクを増大させてしまいます。悪意ある者が清掃員などを装ってオフィスに入り込み、ごみ箱などから情報を盗むような事例もあるので、これらに対する物理的な対策も必要です。
人的セキュリティ対策
誤り、知識不足、セキュリティリテラシーの欠如、不正行為などの人間が原因で発生する事故や事故を防ぐためのセキュリティ対策です。セキュリティに関する教育を実施し、社員の意識やモラル、リテラシーを向上させることがまず必要です。同時に、誤操作をできるだけ防ぎ、サイバー攻撃から情報を守るための知識やスキルを身につけさせることも効果があります。
情報セキュリティに関するポリシーや社内規定の策定、マニュアルの作成とその周知活動も求められます。セキュリティ違反に対しては適切な懲戒手続を取る必要もあるでしょう。また、とくにIDとパスワードの管理は人的努力に頼るところが大きいといえます。
技術的セキュリティ対策
コンピュータ、サーバー、システム、ネットワーク、アプリケーションソフト、データなどに対するセキュリティ対策です。企業の情報システムを構成するさまざまな要素を対象とした対策なので、その種類は次のように多岐にわたります。
- ウイルスやマルウェアなど不正プログラム対策
- OSやアプリケーションの脆弱性対策
- 不正アクセス対策
- アクセス制御、権限管理
- ネットワーク監視、侵入検知
- DMZの設置
- データの暗号化
- 複数の目的や種類の異なるセキュリティソフトの導入
セキュリティ対策として必要な取り組み
物理的セキュリティ対策においては、設備や機器の安全性が保たれているかを定期的に確認しましょう。防犯や障害対策のほかに、災害時を想定した対策も用意しておくべきです。
人的セキュリティ対策では新入社員に対する研修だけでなく、定期的なセキュリティ研修も実施する必要があります。スマートフォンやSNSの普及・利用拡大など、時代に合わせて新たな教育を行っていくことも重要です。
技術的セキュリティ対策においても、多様化し巧妙化していくサイバー攻撃や、新しいテクノロジーの普及に伴う変化に対応し、常にセキュリティ対策をアップデートしていく運用が強く求められます。既知の脅威に対する対処法はもちろんですが、新しい脅威に対しても注意を払い、未知の攻撃を受けたとしても防御が可能なセキュリティ環境を構築していきましょう。
あなたの会社のセキュリティ対策は万全に保たれているでしょうか。常に状況を確認しながら、こちらの記事を参考に、定期的な見直しを実施してください。
AppGuardで感染対策を！
