情報セキュリティの脅威とは？企業が講じるべき対策を解説

ランサムウェアによる被害

企業が注意すべき情報セキュリティの脅威として、近年特に深刻化しているのがランサムウェアによる被害です。現在のランサムウェアは、単なるデータの暗号化にとどまらず、情報の公開を示唆して金銭を要求する二重恐喝が主流となっています。

「バックアップがあるから大丈夫」と過信するのは危険です。最近はバックアップサーバー自体を先に破壊または暗号化するケースが増えており、ネットワークから切り離したバックアップがない限り、復旧の主導権は攻撃者に握られてしまいます。

企業がランサムウェアによる被害から復旧できないパターンの多くは、バックアップからの復旧手順を一度もテストしていないケースです。いざ被害に遭った際、復旧に数週間を要することもあり、その結果、高額な身代金の支払いや事業をストップするかの選択を迫られてしまいます。

ランサムウェア対策の成否は、オフラインバックアップの有無とVPNやサーバーの脆弱性管理で決まります。

サプライチェーンの弱点を突いた攻撃

サプライチェーン攻撃とは、自社のセキュリティ対策が堅牢（けんろう）であっても、対策が不十分な取引先や保守ベンダーを経由してシステムに侵入される攻撃手法です。
直接大企業を狙うよりも侵入のハードルが低めの企業を狙うため、近年急増しています。

代表的な手法の一つにアイランドホッピングと呼ばれる攻撃があります。基幹システムにリモート接続している保守業者の端末や、共用しているクラウドストレージが侵入を広げるものです。

サプライチェーン攻撃からの被害を防ぐためには、自社の防御だけでなく取引先を含めたエコシステム全体の統制が不可欠です。たとえば、取引先にIPAのセキュリティ・アクションの自己宣言を求めたり、定期的なセキュリティチェックを義務付けたりする運用が必要です。

標的型攻撃・フィッシング詐欺

標的型攻撃・フィッシング詐欺は、特定の組織をねらい撃ちして取引先や上司を装った精巧なメールでウイルスに感染させる手法です。最近のフィッシングメールは、実際の取引の返信スレッドに割り込む形で以下のような文面で送られてきます。

「昨日の請求書の件ですが、こちらのリンクから修正版を確認ください」

標的型攻撃に対して、怪しいメールは開かない対策だけでは限界があります。そのため、対策を万全にするためには、怪しいメールが開かれることを前提としたEDR（Endpoint Detection and Response）の導入と多要素認証が必要です。

内部不正や不注意による情報漏えい

内部不正や不注意による情報漏えいも企業が注意すべきセキュリティ上の脅威です。外部からの攻撃に注目が集まりがちですが、退職者による情報の持ち出しや、クラウドの設定ミスなど内部に起因する情報漏えいもすくなくありません。

具体的には、クラウドストレージの設定を公開にしたまま放置した結果、外部から検索エンジン経由でアクセスできてしまう事例などが挙げられます。このような被害は外部からの意図的な攻撃というよりは、担当者の不注意が原因です。

内部不正や不注意による情報漏えいを防ぐ効果的なのは、従業員に「ログを見ている」とアナウンスする方法です。「誰が・いつ・どのファイルにアクセスしたか」を即座に追跡できる環境を整えれば、内部不正や不注意による情報漏えいを未然に防げます。

脆弱性・バグなどの技術的要因

技術的要因による脅威とは、OSやソフトウェアのプログラム上の不具合（脆弱性）やサーバーの不適切な設定を突いた攻撃を指します。

特に注意したいのが、VPN機器やルーターといったネットワーク境界機器の脆弱性です。これらが一度侵入を許すと、社内ネットワーク全体が攻撃者にさらされる恐れがあり、PC単体の対策だけでは防ぎきれません。

ゼロデイ攻撃のように修正プログラムが公開される前の対応は困難です。ただし実際の大規模な情報漏えいの多くは既知の脆弱性を数ヵ月放置した結果発生しています。システム・ネットワークの脆弱性が確認された時点で、すぐに対策を実施しましょう。

ミス・リテラシー不足などの人的要因

人的要因によるセキュリティ脅威とは、従業員の情報リテラシー不足による操作ミスやソーシャルエンジニアリングによる事故を指します。
具体的な被害例としては、次のようなケースが挙げられます。

• クラウドストレージを公開設定にしたままで放置した結果、個人情報が流出する
• 経営層や取引先を装ったメールを信じ込み、指定された口座へ多額の送金を行ってしまう

人的要因によるセキュリティ被害を回避するためには、従業員の教育に頼るのではなく、システムによる強制力での対策が必要です。たとえば、クラウドストレージの公開設定に関しては、管理者がアカウント全体で公開を禁止するなどの方法があります。

紛失・盗難・災害などの物理的要因

紛失・盗難・災害などの物理的要因とは、デバイスそのものの紛失や盗難、あるいはデータセンターの被災によって情報が失われるリスクを指します。

特に、企業で盲点となりやすいのが退職者のID削除漏れや廃棄PCからのデータ復元です。PCを廃棄する際は単なる初期化ではなく、物理破壊または専門業者によるデータ消去を行う必要があります。

また、地震や水害によって自社サーバーが全損した場合、クラウドへの同期がなければ業務継続は困難です。災害によるデータの消失を防ぐためには、クラウドなど物理的な場所に依存しないデータ管理への移行がセキュリティ対策における重要なポイントといえます。

OS・ソフトウェアのアップデート

OSやソフトウェアのアップデートは、サイバー攻撃の侵入口となる脆弱性を塞ぐ重要かつ低コストな対策です。OSやソフトウェアをアップデートすれば、サイバー攻撃者の侵入口となる既知の脆弱性をメーカー提供の修正プログラムで即座に解消できます。セキュリティインシデントを未然に防ぐためにも、更新プログラムが公開されたら遅くとも1週間以内に適用を完了させてください。

なお、「業務ソフトが動かなくなるかもしれない」などの理由でアップデートを数ヵ月放置する企業があります。しかし、これはサイバー攻撃者に対して「どうぞ自社のシステムへ自由にアクセスしてください」と宣言しているのと同じです。OSだけでなくブラウザやAdobeAcrobat、Zoomなどインターネットに接触するソフトの更新は、随時行っておきましょう。

ウイルス対策ソフトの導入と定義ファイルの最新化

ウイルス対策ソフトの導入と定義ファイルの最新化は、必ず行っておきましょう。現場でよくある失敗は、ウイルス対策ソフトを導入しただけで満足して運用が形骸化してしまうケースです。特に、定義ファイルが古いままでは最新のウイルスを識別できず、導入している意味が事実上なくなります。

単にソフトを稼働させるだけでなく、以下の3つの運用ルールを徹底してください。

• 従業員の裁量に任せず、管理者がクラウドなどで一括して強制更新する仕組みを構築
• 定義ファイルにない新種のウイルスを防ぐため、プログラムの不審な動きを察知する機能をもつ製品を選定
• ライセンス切れや長期間電源を入れていない端末はサイバー攻撃の的になるため、管理画面で全端末の状態を常に監視

近年、セキュリティソフトをすり抜けるファイルレス攻撃が増加しています。ソフトによる防御に加え、万が一の侵入後に被害を食い止めるEDR（端末ログ監視）を組み合わせましょう。

ID・パスワードの適切な管理と多要素認証の導入

不正アクセスによる情報漏えいを防ぐ確実な方法は、パスワードの長文化と多要素認証の導入です。従来の英数字8桁程度のパスワードは、現在の不正アクセス技術ではすぐに突破されるリスクがあります。

また、複数のサイトで同一パスワードを使い回すと、1つのサービスから漏れた情報で芋づる式にログインされるリスクもあります。ID・パスワードに関しては、セキュリティ面だけでなく効率性も考慮して以下3つの運用管理がおすすめです。

• パスワードは12文字以上で、英大文字・小文字・数字・記号を混ぜて推測しづらい文字列に設定
• シングルサインオンを導入し、従業員が覚えるパスワードを1つに絞りつつセキュリティ性能を高める
• 社内のソフトウェアに対して、スマホアプリやSMSによる認証を導入する

これらの対策を組み合わせれば、万が一パスワードが流出した際でも第三者による不正ログインを実質的に封じ込められます。

重要なデータへのアクセス権限設定とバックアップ

データの消失や漏えいを防ぐにはアクセス権限は必要最小限に抑え、バックアップも徹底しましょう。誰でもすべてのフォルダを見られる状態は、一人のPCがランサムウェアに感染した際、全社のデータが暗号化されるリスクを招きます。

まず、部署や役職に基づいて共有フォルダの閲覧・編集権限を必要最小限の人物に制限しましょう。そして、以下のような流れでデータをバックアップする体制を構築します。

• データは原本+コピー2つの合計3つを持つ
• サーバーとクラウドなど2種類の異なるメディアにデータを保存
• 1つは物理的に離れた拠点やクラウドに保管

また、「バックアップは取っていたが、復元できなかった」などの失敗が多いため、だいたい半年に一度程度は実際にデータを戻せるかテストを行ってください。

従業員へのセキュリティ教育と社内ルールの周知徹底

企業のセキュリティ対策として、従業員へのセキュリティ教育と社内ルールの周知徹底も実施しましょう。どれだけ高価な防御システムを導入しても、従業員がフィッシングメールのURLをクリックしてしまえば、攻撃者の侵入を許してしまいます。「自分も狙われている」と当事者意識を組織全体に浸透させるのが、セキュリティ事故防止の近道です。

従業員へのセキュリティ教育を効果的に実施するポイントとして、以下が挙げられます。

• 実際に怪しいメールを模擬送信するなど、座学よりも体験を重視して従業員の不審なメールに対する警戒心を高める
• SNSでは業務情報の書き込みだけでなく、社内風景の写真投稿が情報の断片となり、攻撃の糸口になるリスクを周知させる
• ミスを報告したら怒られる環境では被害が隠蔽されて致命的な事態に発展するため、即報告を称賛する文化を築く

また、セキュリティルールを厳しくしすぎると、従業員は勝手に個人用クラウドやチャットツールを使い始めて、いわゆるシャドーIT（システム部門の許可や管理下にないIT機器、ソフトウェア、クラウドサービスを利用する行為）が発生してしまいます。セキュリティと業務における利便性のバランスを考慮したIT環境を提供し、シャドーITも未然に防ぎましょう。