セキュリティ案内人「竹中さん」が行く!!(2) 攻撃による被害を最小限に抑えるため、組織とシステムの両面から見直しを - セキュリティ体制づくり

“セキュリティの要はユーザーの心構えにあり”をモットーに、企業のIT環境の安心・安全のためならいつも全力全開、苦労も手間も厭わない「竹中さん」。セキュリティベンダー「クオリティソフト」のエバンジェリストとして、日夜企業のセキュリティ対策をさまざまなかたちで支援している。今日も彼は日本のオフィスのどこかで、ユーザーがついやってしまいがちな危険な操作や、情シスが見落としがちな管理の落とし穴、はたまたハッカーがしかける怪しい動向に目を光らせる。

今回「竹中さん」が注目するのは、いつ起こるかわからない悪質なサイバー攻撃に対して、迅速かつ柔軟に対応して被害を最小限に抑えるための「セキュリティ体制づくり」だ。

100％攻撃を防ぐのはもはや不可能だと知ろう

大規模な個人情報が漏えいしてしまった大手旅行代理店への標的型攻撃や、猛威をふるい続けるランサムウェアによる被害など、2016年も日本企業にまつわるセキュリティ侵害事件は後を絶たなかった。このような事件を引き起こすサイバー攻撃は、残念ながら今後も減ることはないだろう。また、攻撃手口が巧妙化されているために100％防ぐことは難しい。そこで企業が考えるべき事は、事業を脅かす可能性を秘め常に存在し続けるネットワーク上の脅威に対し、いかにひるむことなく「戦う」ことのできる体制を構築するかどうかではないだろうか。

ここで大事なのは、サイバー攻撃によるセキュリティ侵害など「絶対に起こさない」ことにばかり目を向けるのではなく、「攻撃を100％防ぐことは不可能だ」とまずは理解し、そのうえで、たとえ攻撃を受けたとしても「深刻な被害を出さない」ことに重きを置く必要がある。

まずはエンドポイントに着目、怪しい行動を見地できるように

攻撃者というのは、常に丹念な情報収集や準備期間を設けているので、その攻撃を回避することは非常に難しいというのが現実です。しかし、企業にとって機密情報というのは事業存続にも関わるほど大切なものですよね。なので、まずはこれまで同様に情報漏えいリスクを減らすよう努めるのはもちろん、そのうえで万が一、情報が漏えいしてしまった場合でも、被害を最小限にとどめることのできるような対応を考えることも大事なんです。まさに“サイバーセキュリティは経営課題でもある”ということを、しっかりと理解してくださいね。

情報漏えいを引き起こす最大の要因となるのは、攻撃者が送り込んでくるマルウェアへの感染です。では、マルウェアへの感染リスクを最小限にするためには何をすればいいのでしょうか？

まず行うべきなのが、組織体制の構築です。その基本となるのは、守るべき情報の洗い出し、責任者の明確化、管理体制の構築、そして社員への教育ですね。日頃からのセキュリティ対策はもちろん、緊急時の対応や報告手段なども整えておけば、万が一の場合でも円滑に対処することができます。

次に、攻撃から防御するためのシステム構築も必要となります。企業内のさまざまなシステムの中でも最も狙われやすいのが、多くの機密情報を保有しているエンドポイントです。そのため、まずはエンドポイントを守ることに注力するようにしましょう。

実際にどのようにエンドポイントで対策を行うかと言うと、1つ目は、OSやソフトウェアのバージョンを常に最新の状態にすることです。たとえば、クオリティソフトのエンドポイントセキュリティ管理ツール「ISM CloudOne」では、セキュリティ辞書を利用した自動脆弱性診断によりセキュリティ状態をレポート化してくれるので、脆弱性がある端末を洗い出して対処をすることが可能です。こうしたツールを最大限に活用するようにしましょう。

2つ目は、従来のウイルス対策ソフトでは検知できない、未知のマルウェアに対処するために有効な、ふるまい検知の実装です。昨年、大規模なセキュリティ侵害事件で話題となった大手旅行会社も、ウイルス対策ソフトを導入していたにもかかわらず、標的型攻撃にあってしまいました。このように、最近のマルウェアは従来型のウイルス対策ソフトではすり抜けてしまう可能性が高いのが現状です。一方、「ISM CloudOne」はマルウェアの怪しいふるまいや特徴を常に見張っていて、未知のマルウェアであっても検知が可能です。従来型のアンチウイルスソフトが見つけることができるのは、顔が知られている指名手配犯であって、ふるまい検知型のセキュリティ対策ツールの場合は、犯人の行動に着目して見張っているので、たとえ顔がわからなくても犯人を想定できる、と言えばわかりやすいのではないでしょうか。

これらの他にも、不正なWEBサイトにアクセスさせないようにしたり、感染時の原因を特定するための操作ログの収集など、システムと組織が一体となった日々の運用が、企業を守るための体制づくりとして必要なんです。経産省や国土交通省などからもガイドラインが出ているので、ぜひ参考にしてくださいね。