企業におけるセキュリティ対策を見直そう｜必須事項やポイントを紹介

情報セキュリティに関する事故のニュースが後を絶ちません。病院や公共機関を狙ったランサムウェア攻撃により多くの被害がでており、その状況に肝を冷やした企業のセキュリティ担当者もいらっしゃることでしょう。まさに、サイバー攻撃による被害は他人事ではない時代が来てしまったのです。業務に利用するITデバイスやソフトウェアは増加の一途を辿っており、それに伴いサイバー攻撃の手法や対象も増加が進んでいます。そのすべてに正しくセキュリティ対策を行うのは至難の業というべきなのかもしれません。 本記事では、情報セキュリティ対策の概要おさらいから、重要性、対策の必須項目や総合的なセキュリティ対策サービスなどをご紹介します。 情報セキュリティ対策とは 情報セキュリティ対策とは、企業や組織におけるIT資産を守る施策を意味します。IT資産といった場合には幅広く、機密情報や顧客の個人情報を含むデータ、PCやスマートフォンなどのITデバイス、サーバーやネットワーク、クラウド環境の利用を含めたITインフラ、OSやソフトウェア、ITシステムまでを含みます。なお、情報セキュリティ対策にはITの仕組みの導入のような技術的なものと、組織体制やルール作り、従業員のITリテラシー教育などの人間系の作業も含まれます。 企業がセキュリティ対策に取り組む重要性 企業や組織の持つ情報の価値は高まり続けています。ビッグデータなどの事業上の活用方法が生まれてきており、今後の企業の方向性を左右しかねない存在となっています。 一方、社会的にも個人情報や機密情報の重要性の浸透は進んでいます。企業の扱うデータにはこれらが含まれるため、流出や漏洩などの被害が発生した場合には、大きなトラブルとなることが予測されます。企業のもつリスクが肥大化しているとも言えるでしょう。経営上のリスクとして扱われるケースさえ少なくありません。このようなリスクが顕在化することがないよう、情報セキュリティ事故の発生を避けるべく情報セキュリティ対策の実施が必要となっているのです。 例えば、顧客の情報が流出してしまった場合にはどのような問題が発生するのでしょうか。企業の信頼性が失われるのはもちろんのこと、顧客離れに繋がり、企業経営の悪化までもが想定されます。また、個人情報が流出した場合には損害賠償を実施することもあり、実際の金銭的な損失が起こるケースも多々あります。さらに、原因の追究と対策の実施、その周知、関係者への謝罪などには多大なる人手が必要で、実業務が行えなくなってしまうようなケースも存在します。 企業としての情報セキュリティ対策の必須項目 企業として情報セキュリティ対策を行う上で、下記の3つがその柱となります。 ①セキュリティ対策の仕組みの導入 クラウドやテレワークの普及によりIT技術のトレンドは激しく変化しているといえます。この変化に対応すべく、IT技術によるセキュリティ対策は、幅広く用意されており、そのなかから必要な対応を選定し、実施する必要があります。 端末向け エンドポイント保護 末端を意味するエンドポイントは、企業の環境においてはPCやスマートフォン、タブレットといったIT機器がその対象です。その保護を行うことを目的としたセキュリティソフトウェアの導入は基本的なセキュリティ対策となります。アンチウイルスソフト（AV）、次世代アンチウイルスソフト（NGAV）などのEPP（Endpoint Protection Platform）が代表的な対策例です。 検知対応 情報セキュリティにおいて、何も信用しないことを基準としてセキュリティ確保を行うゼロトラストの考え方が近年では重要視されるようになってきています。脅威が侵入してくるかもしれないという前提の元、端末上でその振る舞いを検知し被害を食い止めるためのソフトウェアがEDR（Endpoint Detection and Response）と呼ばれる製品群です。先に挙げたエンドポイント保護と組み合わせて利用するのが一般的です。 ネットワーク上のセキュリティ FWやGWなどの機器 ネットワークを構築する場合、ネットワークの末端に設置するGW（ゲートウェイ）や防護壁を意味するFW（ファイアウォール）といった機器を設置します。外部からの侵入を防ぐ設定が可能です。 CASB、WAFなどのソフトウェアによる対策 CASB（Cloud Access Security Broker）はクラウドサービスとの通信において、不正の監視やコンプライアンスを守った利用の確認を行うソフトウェアです。ユーザー端末とクラウドサービスの間に設置するセキュリティ対策となります。 WAF（Web Application Firewall）はWebサイトに対する攻撃を防ぐソフトウェアです。企業や組織の持つWebサイトを保護する仕組みの一つです。 ②セキュリティに関する体制づくり 企業や組織においては、情報セキュリティ上での問題が発生した際の対応やセキュリティ管理のための組織体制、運用ルールを整えておくことも重要な対策です。ISMSなどの標準規格に沿った情報セキュリティ管理体制を構築します。 ③セキュリティについての教育 ITを業務上で利用する全ての従業員や職員の行動はセキュリティトラブルの発端となり得ます。このため、全従業員、職員を対象に情報セキュリティに対する啓蒙、教育が必要となります。ITリテラシーの向上もセキュリティ教育に含まれます。 情報セキュリティ被害の実例 IPAの情報セキュリティ10大脅威 2022などをもとに、近年発生した情報セキュリティ被害の実例について紹介します。 病院へのランサムウェア攻撃 2021年から2022年は病院や公共機関を狙ったランサムウェア攻撃が目立ちました。ランサムウェアはマルウェアの一種で、感染した端末やシステム上のデータを全て暗号化して利用不可能な状態にし、解放のためには身代金を請求するというサイバー攻撃です。この攻撃を受けた病院では、電子カルテの運用などに影響がでたため、医療の提供においても一部が停止する等大きな影響がでました。復旧にも時間がかかり、旧来のセキュリティへの対策状況の見直しをも迫る問題です。 あらゆる企業や組織は、他人事ではなく今一度セキュリティ対策を見直す機会とするべきでしょう。 情報共有ツールへの不正アクセスによる情報漏えい 2021年に発覚した、大手IT企業の提供する情報共有ツールにおいて、セキュリティ脆弱性が存在し、その脆弱性を突いた不正アクセスにより情報の流出が発生した問題も大きなニュースとなりました。被害の大きさや大手企業の提供するサービスでもセキュリティ上の脆弱性が生まれ得ること、多要素認証などのセキュリティ保護策の重要性があらためて認識される機会となりました。 官公庁による個人情報委託事業でのずさんな管理による情報流出 2022年、関西の地方都市における官公庁からの個人情報委託事業において、委託先の従業員がデータを格納したUSBメモリを紛失するという大きな問題が発生しました。USBメモリでの情報持ち出しに許可を得ていなかったこと、再委託の実施、運用管理のずさんさ、記者会見での対応の問題など多くの問題点が噴出し、ニュースで繰り返し報道されたことは記憶に新しいでしょう。様々な問題を抱えていたものの、根本的な問題として業務委託元の官公庁と委託先事業者の間で情報セキュリティに関する運用について認識の共有、すり合わせができていなかったことが根本にはあるようです。IT上の仕組みだけではなく、組織的な運用ルールなども重要なポイントであることを教えてくれる事例といえるでしょう。 情報セキュリティ対策に取り組む際のポイント 情報セキュリティ対策に取り組む際のポイントとして、公的団体などによって公開されている基本的な対策や方針を紹介します。 情報セキュリティ5か条 独立行政法人情報処理推進機構（IPA）の中小企業の情報セキュリティ対策ガイドラインにおける情報セキュリティ5か条は下記となっています。 サイバーセキュリティ初心者のための3原則 総務省によるサイバーセキュリティ初心者のための三原則は下記です。 サイバーセキュリティ経営ガイドライン 経済産業省によりサイバーセキュリティ運営ガイドラインとツールが提供されています。こちらも企業にとって必要なセキュリティ対策の確認やポイントを抑えるための情報がまとめてあり、有用です。 情報セキュリティ対策サービス2選 情報セキュリティ対策サービスとして、おすすめのサービスを紹介します。独立行政法人情報処理推進機構（IPA）が公表している「情報セキュリティサービス基準適合サービスリスト」なども参考にしてサービスを選定するとよいでしょう。 SKYSEA Client View SKYSEA Client ViewSKY社の提供するIT資産管理を中心としたサービスです。各種のセキュリティ対策とも連携しており、総合的なセキュリティ対策サービスとして利用できます。 LANSCOPE Cyber Protection LANSCOPE Cyber Protectionエムオーテックス株式会社の提供するセキュリティソフトウェアで、AIを活用した次世代型のアンチウイルス製品CylancePROTECTと幅広いOSやファイル形式に対応した製品Deep Instinctを選択して利用することができます。 まとめ 情報セキュリティ対策は多岐に渡り、導入や運用に向けて専門的な知識もある程度必要となります。そのような場合には、情報セキュリティに関する総合的なサービス展開を行う事業者を利用することも一つの方法となります。弊社SMSデータテックではセキュリティサービスの提供とともに、導入支援、コンサルティングなども提供していますので、是非お気軽にご相談ください。