情報処理推進機構(IPA)は6月2日、複雑化したサイバー攻撃の被害を防ぐために、企業は「多層防御」を考慮したセキュリティ対策が必要であると呼びかけた。

IPAは、サイバー攻撃による企業の情報漏えいや金銭窃取の被害の多くは、メールの開封(添付ファイルを開く、リンクのクリック)やウェブサイトの閲覧によるウイルス感染が主な原因であり、特定のセキュリティ対策製品を導入しただけでは防ぐことができない場合があると説明している。

企業においては、個人情報や機密情報を扱う業務やその他重要な業務において、ウイルス感染予防だけでなく、感染してしまうことを想定して感染後の被害の回避や被害を低減させるために、複数の対策(多層防御)を多層で行う必要があるとのことだ。

多層防御は、ウイルス感染や内部不正が発生しても、被害を回避・低減にできるシステム設計や運用ルールになっているか、ルールが徹底されているか、PDCAサイクルに沿って見直していくことが重要だという。

具体的なポイントとして、「ウイルス感染リスクの低減」「重要業務を行う端末やネットワークの分離」「重要情報が保存されているサーバーでの制限」「事後対応の準備」を挙げている。

ウイルス感染リスクの低減は、脆弱性を狙ってウイルス感染させる攻撃からPCやサーバを保護するために、ソフトウェアの更新による脆弱性の解消を習慣化させること。ソフトウェア更新の習慣化および徹底、セキュリティソフトウェアの導入、メールの添付ファイルのブロック、Webフィルタリング、教育や訓練を徹底する必要であるとしている。

重要業務を行う端末やネットワークの分離は、万一ウイルス感染があった時に被害を緩和できるよう、端末単位やネットワークで分離すること。一般の端末と重要業務システムの分離、部署など業務単位でのネットワークの分離する方法が有効だと説明している。

重要情報が保存されているサーバでの制限は、共有フォルダのアクセス権の設定重要な情報が保存されているフォルダは、その情報の機密性の格付けや閲覧範囲を決定し、その範囲の業務担当者のみが閲覧できるようにアクセス権を設定すること。共有フォルダのアクセス権の設定、データの暗号化やパスワードによる保護といった対策を求められる。

事後対応の準備は、有事の際に迅速に対応できる手順書や関係省庁や調査会社などの連絡先を準備しておくことが重要だと説明している。

なお、前日には日本年金機構が標的型攻撃を受け、個人情報125万件が流出している。