MINAMOTO-C-blog_Writer 情報システムの活用は企業活動を行う上で当たり前になっており、業務効率の向上、売上向上などにも寄与しています。しかし、サイバー攻撃も行われており、年々その手口も巧妙化しています。
企業が被害者となる例も少なくなく、いつどの企業が攻撃を受けてもおかしくはありません。そこでこの記事では、特に注視すべき10の脅威について紹介した上で、その脅威から自社を守るために導入しておきたいセキュリティシステムについて解説していきます。
目次
企業にとっての情報セキュリティ10大脅威
IPAが公表する「情報セキュリティ10大脅威 2022」は、2021年に発生した事案であって特に社会的影響が大きいと評価された脅威を選考したものです。
昨今の情報セキュリティ事情、どのような攻撃に注意すべきかがここから読み取ることができます。
その10の脅威と簡単な説明を下表にまとめました。
参照：IPA「情報セキュリティ10大脅威 2022」
（https://www.ipa.go.jp/security/vuln/10threats2022.html）
| 脅威 | 内容 | |
| 1位 | ランサムウェア | ウイルスの1種 パソコン等の感染によりデータや端末がロックされ、復旧と引き換えに金銭の要求を受けるというもの |
| 2位 | 標的型攻撃 | 特定の企業等を狙い撃ちし、機密情報等の窃取、業務妨害等を行うこと |
| 3位 | サプライチェーンを悪用した攻撃 | 脆弱性を有する企業を踏み台に、サプライチェーン（商流に関わる組織群）に属する別の企業を攻撃すること |
| 4位 | テレワーク等を狙った攻撃 | テレワークなど、ニューノーマルな働き方の導入に対し、管理体制が十分に整っていないことを悪用した攻撃 |
| 5位 | 内部不正による情報漏洩 | 従業員や元従業員による機密情報の持ち出し・悪用などによる情報漏洩のこと |
| 6位 | 脆弱性対策情報公開を悪用した攻撃 | 脆弱性対策情報はユーザーにセキュリティ対策を呼び掛けるために公開するものだが、その情報をキャッチした攻撃者が、当該脆弱性対策を施していないユーザーに攻撃をすること |
| 7位 | ゼロデイ攻撃 | システムの脆弱性発見後、修正プログラムが公開される前にサイバー攻撃を行うこと |
| 8位 | ビジネスメール詐欺 | 企業向けに巧妙に作成された偽のメールを送り付け、金銭の詐取等を行うこと |
| 9位 | IT基盤の障害による業務停止 | 業務で利用しているネットワークやクラウドシステム等が、IT基板の障害により停止してしまい、自社サービスの提供ができなくなること |
| 10位 | 不注意による情報漏洩 | 従業員の情報リテラシー不足・ミス・不注意などにより情報が漏洩してしまうこと |
導入しておきたいセキュリティシステムの例
セキュリティシステムを導入しても安全が保障されるわけではありません。
しかしながら基本的な対策を取っておくだけでも多くの脅威から企業を守ることができます。
まずは以下に挙げるセキュリティ対策を検討してみてはいかがでしょうか。
ファイアウォール
「ファイアウォール」とは、まさにネットワーク上での“防護壁”として機能する技術であり、外部からの不正アクセスを遮断するために役立ちます。
社内LANに使用するものから、端末レベルで保護を行うパーソナルファイアウォールなどもあります。
VPN・リモートデスクトップ
10大脅威にランクインしているように、テレワークを狙った攻撃も起こっています。
社内環境が高いセキュリティ水準を保っていても、テレワークをしておりインターネットを介して社内システム等にアクセスしている場合には攻撃を受けてしまう可能性があります。
ここで役立つのは「VPN（Virtual Private Network）」や「リモートデスクトップ」の活用です。
VPNは社外からの通信の安全性を高める技術、リモートデスクトップは遠隔で社内の端末にアクセスして操作する技術のことです。
IDS/IPS
「IDS」は、不審な侵入があったことを検知、そして管理者に通知するシステムです。
これに対し「IPS」は侵入の検知などに加え、防御も実行するシステムです。ファイアウォールも異常の検知と遮断という防御を実行するものですが、IPSなどの場合、異常の内容を検査することができるという特徴を持ちます。
Dos攻撃やDDos攻撃など、ファイアウォールでは防ぐことが難しい攻撃にも対応できるとされています。
SSL
「SSL」とはWebサイトとの通信を暗号化する技術のことです。
今や当たり前のように使われており、企業のみならず個人レベルでも導入されています。
ブラウザ上でも対応・非対応の表示が出るため、自社HP等がSSLに対応していないとユーザーはアクセス時に不安を感じることもあります。
安全性を高めるためにも、機会損失等を生まないためにも、SSLには対応しておきましょう。
DMZ
「DMZ」とは、インターネットのように開いた（危険な）エリアと社内ネットワークのような比較的安全性の高いエリアの間に設ける「緩衝地帯」のことを指します。
サイバー攻撃を受けた際に内部ネットワークに侵入されるリスクを下げるためなどに設けられます。
UTM
「UTM」とは、複数のセキュリティ機能を集約して統合管理するためのものです。
上記のような様々なセキュリティシステムを導入していくと管理をするのも大変になりますし、コストも割合多くかかってしまいます。
そこで複数の機能を取りまとめたUTMが役に立ちます。運用負荷を軽減しつつ、効果的にネットワーク上の脅威が管理できるようになるでしょう。
人的・物理的セキュリティ対策も重要
セキュリティシステムの導入による技術面での対策はとても重要なことです。
しかし注視すべき脅威として挙げられているものには、人的ミスや物理的な事象に由来するものも含まれています。
例えば、いくら技術面がしっかりしていても従業員のメール誤送信による情報漏洩は起こってしまいます。
そこで「情報セキュリティポリシー」を策定し、その内容を従業員に周知、実施するのは最低限必要なことです。必要に応じて情報セキュリティに関する教育も実施しましょう。
物理面でのセキュリティ対策としては、防犯カメラや電子錠を設置することも有効です。