基礎知識

企業のセキュリティ対策の基本。何から始めるべきか

セキュリティ対策は、道具を導入すれば済むものではありません。この記事では、何を守り、何から始めるべきかを、費用対効果の観点で整理します。

守る対象を決める

対策を考える前に、何を守るのかを決める必要があります。ここが曖昧なまま道具を導入しても、費用がかかるだけになります。

守る対象は、大きく3つに整理できます。

• 情報／顧客情報、技術情報、財務情報。漏れたときの影響で優先順位を決める
• システムの稼働／止まると事業が止まるもの
• 信用／事故が公表されたときの取引先や顧客への影響

すべてを同じ水準で守ることはできません。予算にも人員にも限りがあります。

影響の大きさで優先順位をつけ、そこに資源を集中するのが現実的な方針です。

まず行う5つの対策

費用対効果が高く、多くの組織で有効なものを挙げます。

①更新を適用する。OSやソフトウェアの脆弱性は、修正が公開されます。適用していない状態が、被害の最大の原因です。

②多要素認証。パスワードだけの認証をやめます。不正アクセスの多くはこれで防げます。

③権限の最小化。必要な人が、必要な範囲だけ操作できる状態にします。全員が管理者権限を持つ組織は珍しくありません。

④バックアップ。取得だけでなく、戻せることを確認します。復元できないバックアップは意味がありません。

⑤資産の把握。何が動いていて、誰が管理しているか。把握できていない機器やサービスが、侵入経路になります。

ランサムウェアへの備え

近年、被害が深刻なのがランサムウェアです。データを暗号化し、復旧と引き換えに金銭を要求する攻撃です。

侵入経路は、脆弱性の放置、認証情報の窃取、メールの添付ファイルなどが典型です。

最も有効な備えはバックアップですが、条件があります。本番と切り離された場所に置くことです。同じネットワーク上にあれば、一緒に暗号化されます。

近年は、暗号化に加えてデータを盗み、公開すると脅す手口も増えています。この場合、バックアップがあっても情報漏えいは防げません。

したがって、侵入させないことと、被害を局所化することの両方が必要になります。

人の行動に関わる対策

技術だけでは防げない領域があります。

取引先を装ったメール。実在する相手を騙り、送金や情報提供を求める手口です。金額の大きい送金には、別経路での確認を義務づけるといった運用で防ぎます。

退職者の権限。退職後もアカウントが残っている例は多くあります。手続きに組み込む必要があります。

私物端末や個人のクラウド利用。禁止するだけでは隠れて使われます。業務で使える手段を用意したうえで、範囲を決めるほうが実効性があります。

教育は必要ですが、それだけに頼らない設計が重要です。人は誤ります。誤っても被害が出ない仕組みを優先します。

クラウド利用時の注意

クラウドの利用が広がり、注意点も変わりました。

設定の誤りが最大のリスクです。保管領域を誤って公開設定にし、情報が流出する事故が繰り返し起きています。

責任の分界を理解する必要があります。事業者が守る範囲と、利用者が守る範囲は分かれています。「クラウドだから安全」ではありません。

権限管理が要になります。誰がどの操作をできるか。設定が複雑なため、意図しない権限が付与されている場合があります。

アカウント情報の管理。接続用の鍵をコードに書き込んで公開してしまう事故が多発しています。

起きたときの備え

防ぐだけでなく、起きた場合の準備も必要です。

誰に連絡するかを決めておく。社内の責任者、外部の専門機関、取引先。深夜や休日を含めて決めます。

止める判断を誰がするか。被害の拡大を防ぐには、システムを止める判断が必要になる場面があります。

記録を残す。いつ何が起きたか。後の調査と、報告の根拠になります。

公表の方針。個人情報の漏えいでは、法令に基づく報告義務が生じる場合があります。

これらを平時に決めていない組織は、実際に起きたときに動けません。

何から始めるか

予算と人員が限られる場合の優先順位を示します。

第一に、資産の把握。何を守るのかが分からなければ、対策も選べません。費用はかかりません。

第二に、更新の適用と多要素認証。費用対効果が最も高い対策です。

第三に、バックアップと復元の確認。最悪の事態への備えです。

第四に、権限の見直し。不要な権限を削るだけで、被害の範囲が縮まります。

道具の導入は、この後です。基本ができていない状態で高価な製品を入れても、効果は限定的になります。

取引先経由のリスク

自社だけを守っても、防げない経路があります。

委託先や取引先を経由した侵入が、近年増えています。自社の防御が固くても、接続している相手が突破されれば、そこから入られます。

確認すべき点があります。委託先のセキュリティ体制、再委託の有無、データの扱い、事故時の連絡義務。

契約に盛り込むべき事項でもあります。何かあったときに通知を受けられるか、監査できるか。

また、自社が取引先から問われる側にもなります。大手企業との取引では、セキュリティに関する質問票への回答を求められることが一般的になっています。

対策していること自体が、取引の条件になりつつあります。

利便性との両立

対策を強化するほど、業務は不便になります。この調整が実務の難所です。

厳しすぎると、迂回されます。使いにくい仕組みを課すと、担当者は個人のサービスを使い始めます。把握できない利用が最も危険です。

現実的な方針は、代替手段を用意することです。禁止するだけでなく、業務で使える安全な手段を提供します。

また、リスクに応じて強度を変えます。すべてに最高水準を求めず、扱う情報の重要度で分けます。

そして、なぜ必要かを説明します。理由が分からない規則は守られません。

守れる規則を作ることが、守られない規則を作るより有効です。