セキュリティの重要性について

最近は便利な世の中になり、パソコンをはじめとした複数端末を持つことが当たり前の時代になってきました。またインターネットも急激に普及し、どの端末も外部ネットワークに繋がりさまざまな便利ツールを使用できるようになりました。 しかし便利になる反面で、悪用されることも増えており、サイバー攻撃の件数も年々増加しています。そんな背景の中で、情報を盗まれない、悪用されないためには必ずと言っていいほどセキュリティ対策が必要になってきます。 本ページではセキュリティ対策について企業のあるべき姿を紹介し、どんな対策を行う必要があるのか弊社製品・サービスを交えて紹介します。

セキュリティインシデント対策の必要性

セキュリティ強化は、企業の社会的責務

セキュリティインシデントの急増にみられるように、もはやあらゆる企業がさまざまなリスクにさらされています。企業が失うリスクは、金銭やシステムだけでなく、業務停止や機密情報の流失による社会的信用の失墜など、かつてないほど大きな損失となっています。また、攻撃の直接被害だけでなく、取引先を標的とした攻撃の踏み台にされることもあります。犯罪者の目は、今や政府機関や大企業だけではなく、中小企業にも注がれています。 こうした背景のもと、企業にとって情報セキュリティに対するリスクマネジメントは重要な経営課題となっています。個人情報や顧客情報などの機密情報を取り扱う場合、さまざまな側面からこれらを保護することは、企業にとって社会的な責務といえます。

必要なセキュリティ対策とは

多様化するセキュリティトラブル

企業を脅かす情報セキュリティのトラブルは年々多様化しており、新しい脅威も次々と生まれています。例えば、現在企業や組織において発生する可能性のあるトラブルは、下記のようなものがあげられます。

多様化するリスクにさまざまな側面から対策を

こうした多様化するリスクに対して、被害を未然に防ぐための対策をいち早く講じる必要があります。しかし、新しい脅威が次から次へと生まれる現在、個別の対策ではすべてに対応できないのも事実です。では、どうしたらいいのでしょうか。今、企業に求められるのはセキュリティポリシーや社員の教育などの組織・人的対策から、システムの入口・出口・内部における技術的なケアまで、トータルな対策が求められています。

トータルなセキュリティ対策

組織と人のセキュリティ意識を強化

まずは、組織としてあらかじめセキュリティ対策の方針と規則を定めることが必要です。この規則と方針をセキュリティポリシーといい、すべての社員の行動指針とします。次にすべての社員がセキュリティポリシーに沿った行動ができるよう意識の向上を促していきます。そのための社員教育や情報セキュリティ研修は大切な施策です。論理的な研修はもちろん、実際の標的型攻撃などを想定した訓練を実施することで、より強い意識改革と啓発を促進することが大切です。

技術と物理的側面からのセキュリティ強化

組織と人の対策が土台となり、実際にセキュリティに強い企業を構築していくことが技術的・物理的対策となります。システムの入口・出口にはスパム対策やファイアウォール、サイバー攻撃対策。社員が使用するパソコンやサーバにはWebフィルタリングやメールフィルタリング。内部LANサーバには、ファイルサーバのバックアップ、セキュリティパッチの管理、ウイルス対策、アクセス管理などさまざまな対策を実施。こうした多層防御を構築することが大切です。

企業の大切な資産を守り、多くのステークホルダーと共に事業を成長させていくためにも、あらゆる側面からセキュリティを強化するトータルな対策が不可欠となっています。

※本ランキングは IPA 独立行政法人 情報処理推進機構 の公開している「情報セキュリティ10大脅威 2024」を使用しています
https://www.ipa.go.jp/security/10threats/10threats2024.html　※外部サイトへ移動します

第1位　ランサムウェアによる被害

• ・パソコンなどに保存されているファイルが暗号化され、使用不可にされる
• ・復旧と引き換えに金銭を要求される
• ・情報が窃取されて、公開され、さらに攻撃を受けている事をビジネスパートナーなどに公表すると脅迫されるケースもある
• ・組織の規模や業種に関係なく攻撃される

第2位　サプライチェーンの弱点を悪用した攻撃

• ・調達から販売、業務委託など一連の商流において、セキュリティ対策が甘い組織が攻撃の足がかりとして攻撃される
• ・ソフトウェア開発のライフサイクルに関与するモノや人の繋がりを足掛かりとする（ソフトウェアサプライチェーン）攻撃も存在する
• ・取引先や業務を委託している外部組織から情報漏えいする

第3位　内部不正による情報漏えいなどの被害

• ・組織の従業員や元従業員などによる機密情報の漏えい
• ・組織関係者による不正行為による、組織の社会的信用の失墜、損害賠償による経済的損失
• ・不正に取得した情報を他組織に持ち込んだ場合、その組織も損害賠償などの対象になるおそれがある

第4位　標的型攻撃による機密情報の窃取

• ・メールなどを利用し、特定組織のPCをウイルスに感染させる
• ・組織内部に潜入し、長期にわたり侵害範囲を徐々に広げる
• ・組織の機密情報窃取やシステムを破壊する

第5位　修正プログラムの公開前を狙う攻撃（ゼロデイ攻撃）

• ・脆弱性の修正プログラム（パッチ）や回避策が公開される前に脆弱性を悪用した攻撃が行われる
• ・事業やサービスの停止など、多くのシステムやユーザーに被害が及ぶ
• ・脆弱性対策情報が公開された場合は、早急な対応が求められる

第6位　不注意による情報漏えいなどの被害

• ・従業員の不注意などによって意図せず機密情報を漏えい
• ・情報漏えいすることによる社会的信用の失墜、経済的損失、漏えいした情報の悪用による二次被害

第7位　脆弱性対策情報の公開に伴う悪用増加

• ・脆弱性対策のために公開された脆弱性情報を攻撃者が悪用する
• ・広く利用されている製品の脆弱性の場合は被害が広範囲に及ぶ
• ・脆弱性情報の公開後、それらを悪用した攻撃が発生するまでの時間が近年は短くなっている傾向がある

第8位　ビジネスメール詐欺による金銭被害

• ・取引先や経営者とやりとりするようなビジネスメールを装う
• ・メールを巧妙に細工し、企業の金銭を取り扱う担当者を騙す
• ・攻撃者が用意した口座へ送金させる

第9位　テレワークなどのニューノーマルな働き方を狙った攻撃

• ・2020年以降、感染症対策の一環として政府機関がニューノーマルな働き方の1つであるテレワークを推奨している
• ・VPNなどの本格的な活用がされる中、それらを狙った攻撃が発生
• ・業務環境に脆弱性があると、Web会議をのぞき見されるリスクが高まる

第10位　犯罪のビジネス化（アンダーグラウンドサービス）

• ・サイバー犯罪に使用するサービスやツールなどの取引市場が存在する
• ・通常のブラウザでは検索できないWebサイト上に存在する
• ・専門知識は不要で容易にサイバー攻撃が可能になってきている