情報(bào)セキュリティ対策とは？対策方法一覧と被害例を攻撃の種類別に紹介

近年ではどこの家庭にもインターネットが普及し、多くのことがオンラインでできるようになりました。しかし、便利になった反面、インターネットを利用した犯罪も増加の一途を辿っています。

このような犯罪から自分自身の情報(bào)を守りつつ安心してインターネットを利用するためには、情報(bào)セキュリティ対策が必須です。本記事では、情報(bào)セキュリティ対策とはそもそも何か、どのように対策をすればよいかについて解説します。

目次

?情報(bào)セキュリティ対策とは

技術(shù)的対策

物理的対策

人的対策

?【攻撃の種類別】対策方法一覧と被害例

ウイルス感染の対策方法

不正侵入の対策方法

情報(bào)漏洩の対策方法

災(zāi)害などによる障害の対策方法

?セキュリティ対策を?qū)g施するときのポイント

社員教育の徹底

ウイルス?セキュリティソフトの導(dǎo)入

テレワークへの対応

不正アクセスの早期発見

デバイスのアップデート

?まとめ

情報(bào)セキュリティ対策とは

情報(bào)セキュリティ対策とは、パソコンやネットワーク上で扱う情報(bào)の安全を守るために講じる施策です。

コンピューターウイルスやフィッシング詐欺などによる情報(bào)流出への対策はもとより、機(jī)密情報(bào)資料の放置や、紛失?盜難など情報(bào)漏洩や犯罪に繋がる行動(dòng)などに対する施策も含まれます。

このように情報(bào)セキュリティ対策の範(fàn)囲は多岐に渡りますが、情報(bào)セキュリティ対策を大きく分けると主に以下の3つに分類されます。

?      技術(shù)的対策

?      物理的対策

?      人的対策

次項(xiàng)でそれぞれについて詳しく解説します。

技術(shù)的対策

技術(shù)的対策とは、ハードウェア面もしくはソフトウェア面からセキュリティ設(shè)定を強(qiáng)化する対策を指します。例えば、ファイアウォールの設(shè)定変更、アクセス権限の制限、ウイルス対策ソフトの導(dǎo)入などです。

オフィスであっても自宅であっても、常にインターネットに繋がっている狀態(tài)が當(dāng)たり前になった昨今では、晝夜問わず犯罪グループが企業(yè)の機(jī)密情報(bào)や個(gè)人情報(bào)を狙っています。そのような犯罪からの脅威に対して、技術(shù)的対策を用いて防ぐ必要があるのです。

物理的対策

物理的対策とは、物理的な機(jī)器?設(shè)備を?qū)毪筏骏互濂辚匹澆撙扦?。例えば、入室時(shí)の指紋認(rèn)証やパスワード認(rèn)証、監(jiān)視カメラの設(shè)置、パソコンのワイヤーロックや鍵付きキャビネットの導(dǎo)入などです。社員IDを首から下げることも物理的対策と言えます。

情報(bào)はパソコンの中だけではなく、紙媒體やCDやDVDといった記憶媒體としても存在し、それらの媒體を盜まれたり、覗き見られたりすることで情報(bào)が漏洩してしまう可能性も低くはありません。そのため、部外者が容易にオフィスに入れない、入っても情報(bào)の閲覧や持ち出しを防ぐ対策が必要です。

人的対策

人的対策とは、內(nèi)部から生じる情報(bào)漏洩への対策です。この原因のほとんどが、社員や関係する業(yè)者からのミスや不正によるものだからです。

実際に、メールの誤送信で個(gè)人情報(bào)が社外へ漏れてしまった事例や、機(jī)密情報(bào)が入ったカバンを盜まれたあるいは紛失した事例、社員が機(jī)密情報(bào)や個(gè)人情報(bào)を他者へ売った事例などが多數(shù)あります。このような事例は決して他人事ではなく、明日にでも自社で起こるかもしれません。

人的要因で生じるセキュリティリスクに備える施策では、操作手順をマニュアル化してミスを防止する、社員教育で情報(bào)リテラシーを向上させるなどが挙げられます。

【攻撃の種類別】対策方法一覧と被害例

情報(bào)セキュリティにおける攻撃では、まずはウイルス感染や不正侵入が挙げられるでしょう。情報(bào)技術(shù)の進(jìn)歩が目覚ましい近年では、その技術(shù)がセキュリティ犯罪にも悪用されてしまうからです。攻撃手段や方法が多様化かつ巧妙化しているため、対策方法を知っておく必要があります。また、地震や臺(tái)風(fēng)などの自然災(zāi)害による被害を受けたときに、データの流出や紛失が発生するかもしれません。

次項(xiàng)で想定される以下のセキュリティリスクとその対策、実際の被害の例をご紹介します。

?       ウイルス感染

?       不正侵入

?       情報(bào)漏洩

?       災(zāi)害などによる障害

ウイルス感染の対策方法

コンピューターウイルスは個(gè)人や組織を標(biāo)的とし、その被害はウイルスによってさまざまです。例えば、OSやソフトウェアのシステムが破壊される、データを盜まれる、あるいは削除される、パソコンを遠(yuǎn)隔操作される、などが挙げられるでしょう。

また、人に不正な操作を促すランサムウェアや標(biāo)的型攻撃といったウイルス攻撃にも注意しなければなりません。

ランサムウェアは、見知らぬ送信元から屆いたメールに書かれたリンクをクリックすると感染するウイルスです。感染するとデータを暗號(hào)化してアクセス制限をかけ、解除する代償として金銭の支払いを要求します。また、感染者のコンピューターだけでなく、ネットワークを介して他のコンピューターにも感染していくウイルスです。

標(biāo)的型攻撃は、特定の組織をターゲットにしたウイルス攻撃です。取引先を裝い、ウイルスが仕込まれた添付ファイルを含むメールを送信します。この添付ファイルを開いた社員のパソコンはウイルスに感染してしまうのです。さらに、ウイルスはそのパソコンを踏み臺(tái)にして社內(nèi)ネットワークに侵入し、機(jī)密情報(bào)を抜き取ります。

このようなウイルス感染に対する対策としては、ウイルス対策ソフト、高度なファイアウォールソフト、EDRなどの導(dǎo)入が有効です。EDRは、各社員が操作するパソコン端末を監(jiān)視し、ウイルスによる不審な挙動(dòng)が見られたら通知する仕組みを指し、上記のような末端のパソコンで起こりえるウイルス感染の早期発見に役立ちます。

不正侵入の対策方法

インターネットへの常時(shí)接続が當(dāng)たり前といった昨今では、企業(yè)のネットワークへの不正侵入は大きな脅威です。実際に、ECサイトのサーバーへ侵入してプログラムを書き換え、個(gè)人情報(bào)を抜き取るという手口での不正侵入事例が多數(shù)報(bào)告されています。このECサイトの運(yùn)営企業(yè)は、情報(bào)が流出した顧客から損害賠償を求められていました。

また、社內(nèi)ネットワークに侵入されて、社員のコンピューターやサーバーから機(jī)密情報(bào)を抜き取られるという被害もあり、このような被害は金銭的な被害だけでなく、企業(yè)の信用を大きく失墜させてしまう恐れがあるのです。不正侵入の方法はさまざまですが、サプライチェーン攻撃、ビジネスメール詐欺、不正ログイン、脆弱性の悪用などが挙げられます。

サプライチェーン攻撃とは、まず比較的セキュリティレベルの低い會(huì)社へ不正侵入し、その會(huì)社のパソコンを踏み臺(tái)にして、より大手の取引先企業(yè)へ侵入する手法です。

ビジネスメール詐欺は、取引先や社員になりすましたメールを送信し、アカウント、機(jī)密情報(bào)、個(gè)人情報(bào)などを不正入手したり、偽の送金指示を出したりします。

不正ログインは、不正な方法でアカウント情報(bào)を入手し、第三者が本人になりすましてシステムなどにログインする手法です。アカウント情報(bào)の入手方法は、コンピューターウイルスなどによる取得だけでなく、盜み見なども含まれます。

脆弱性の悪用は、企業(yè)のネットワーク機(jī)器やサーバー、OSやソフトウェアなどの欠陥やセキュリティホールを悪用してコンピューターへ侵入する手口です。

このような不正侵入対策としては、ファイアウォール機(jī)器を社內(nèi)ネットワークに設(shè)置するのが有効です。なかでもWAFを?qū)毪工毪?、SQLインジェクションやクロスサイトスクリプティングといったWebアプリ獨(dú)自の脆弱性を狙った不正侵入を検知でき、ファイアウォールやIPSでは検知できない不正アクセスをブロックできるようになります。

情報(bào)漏洩の対策方法

これだけ情報(bào)セキュリティに対する意識(shí)が高まった今でも被害が後を絶たないのが、情報(bào)漏洩で個(gè)人情報(bào)や會(huì)社の経営上の情報(bào)など、機(jī)密性の高い情報(bào)が外部に漏れてしまう情報(bào)漏洩です。

その要因は様々ですが、テレワークによる働き方が一般的になりつつある現(xiàn)在では、テレワーク環(huán)境を狙った攻撃が増加傾向にあります。

例えば、社用パソコンではなく個(gè)人パソコンで作業(yè)している場(chǎng)合、情報(bào)セキュリティ対策が十分になされずウイルスに感染してしまう場(chǎng)合があるのです。ウイルスが個(gè)人パソコンからVPNのパスワードを盜み取り、なりすまして社內(nèi)ネットワークへ侵入して機(jī)密情報(bào)や個(gè)人情報(bào)を抜き取る恐れがあります。

また、オフィスにいないテレワーク社員には、社內(nèi)の監(jiān)視が行き屆かなくなりがちです。そのため、社員が機(jī)密情報(bào)や個(gè)人情報(bào)を不正に持ち出し、第三者に渡してしまうという內(nèi)部不正リスクが高まります。

このような情報(bào)漏洩の対策としては、テレワークに利用する個(gè)人パソコンへウイルス対策を講じるのはもちろんのこと、各社員のセキュリティリテラシーを向上させることも必須です。定期的に情報(bào)セキュリティに関する教育を行うなどの対策も必要となるでしょう。

災(zāi)害などによる障害の対策方法

最近では、技術(shù)の進(jìn)歩も相まって機(jī)器の障害は少なくなりました。しかし、それでも平常時(shí)に発生する機(jī)器の障害や、災(zāi)害によって起こる障害は避けられません。

例えば、通信障害が発生すると、サービスの提供や業(yè)務(wù)の中斷や停止をせざるを得ない場(chǎng)合、本來得られていたはずの収益を失うことになります。また、災(zāi)害の衝撃などでIT基盤などが物理的に故障する恐れもあります。NASなどのディスク障害が発生した場(chǎng)合、多くの情報(bào)資産を損失してしまいます。

このような場(chǎng)合の対策としては、ディスクのバックアップを定期的に実施するなど、バックアップ體制の強(qiáng)化が挙げられます。また、社內(nèi)データのバックアップをデータセンターなどオフィスとは別の場(chǎng)所へ定期的に保管すると、さらに安心です。

セキュリティ対策を?qū)g施するときのポイント

情報(bào)セキュリティ対策を?qū)g施するにあたり、技術(shù)的対策?物理的対策?人的対策の3つが必要です。

次項(xiàng)では、そのなかでも押さえておくべきポイントを5つ解説します。

?       社員教育の徹底

?       ウイルス?セキュリティソフトの導(dǎo)入

?       テレワークへの対応

?       不正アクセスの早期発見

?       デバイスのアップデート

社員教育の徹底

パソコンであれば適切な対策を講じることで情報(bào)セキュリティはある程度防げますが、実際にパソコンを使う社員の教育にも目を向ける必要があります。

研修や勉強(qiáng)會(huì)などを開催し、サイバー犯罪の脅威や実際の人的な情報(bào)セキュリティ被害事例などを伝え、全社員に情報(bào)セキュリティに対する意識(shí)を持たせることが重要です。また、內(nèi)部からの情報(bào)流出などの內(nèi)部不正も後を絶たないため、機(jī)密情報(bào)など會(huì)社の情報(bào)を扱う上でのモラルやリテラシーについても教育を徹底する必要があります。

社內(nèi)での教育が難しい場(chǎng)合は、外部から講師を招く、あるいは外部のセミナーや講座へ參加させる方法も効果的です。情報(bào)セキュリティマネジメント試験などの資格取得を通して、知識(shí)を習(xí)得させる方法もあります。

ウイルス?セキュリティソフトの導(dǎo)入

コンピューターウイルスや不正アクセスなどを検知およびブロックするためには、社內(nèi)に設(shè)置されているパソコンや社員が利用するパソコンに対して、ウイルス対策ソフト、ファイアウォールソフト、WAFなどの導(dǎo)入が有効です。

最近では無料のセキュリティソフトも多く出ていますが、無料のソフトはサポートを受けられない可能性が高い點(diǎn)に注意しましょう。セキュリティが誤作動(dòng)を起こしてデータを削除してしまうなど、ソフトの不具合やトラブルが生じたときにも対応してもらえず、業(yè)務(wù)が遅延する恐れがあります。

テレワークへの対応

企業(yè)が貸與しているパソコンであっても、個(gè)人で利用しているパソコンであっても、セキュリティ面が不十分だとコンピューターウイルス感染やアカウント情報(bào)の抜き取りなどが起こりえます。セキュリティソフトの導(dǎo)入を徹底することが重要です。

また、自宅以外で作業(yè)を行う場(chǎng)合は、パソコンの紛失や盜難、第三者による直接的な盜み見、公衆(zhòng)Wi-Fiの利用によるネットワーク上での盜み見なども懸念されます。

これらのリスクに対する施策では、端末に生體認(rèn)証を設(shè)定する、HDDやSDDを暗號(hào)化する、遠(yuǎn)隔で情報(bào)を削除できるツールをインストールしておくなどが挙げられるでしょう。また、覗き見防止用の畫面フィルターを利用する、暗號(hào)化されていないネットワークを使用しない、席を立つ場(chǎng)合はロックをかけるなど、テレワークにおけるルール整備も必要です。

また、內(nèi)部不正による社內(nèi)情報(bào)の抜き出しもオフィスにいるときよりも容易になってしまうため、機(jī)密情報(bào)についてはアクセスできる社員を制限し、アクセス履歴を保存しておくといった事前の対策も有効です。

不正アクセスの早期発見

ファイアウォールを?qū)毪筏皮い肫髽I(yè)であれば、定期的なアクセスログの確認(rèn)やログの保存を行うと、不正アクセスを早期に発見しやすくなります。

また、不正な通信であってもファイアウォールをすり抜ける可能性もあるため、IDS（不正侵入検知システム）を併用すると安心です。IDSにあらかじめ侵入パターンを登録しておくと、その方法で侵入しようとする通信があれば検知します。また、IDSは通常時(shí)には生じない異常なパケットが見られた場(chǎng)合も検知するため、不正アクセスの早期発見が可能になるのです。

デバイスのアップデート

意外と見落としがちなのがデバイスのアップデートです。デバイスのアップデートは、不具合の解消だけでなく脆弱性の改善といったセキュリティにとって重要な更新も含まれていることが多いため、定期的なアップデートを心がけましょう。

アップデートの內(nèi)容は、パソコンやモバイル端末であればOSのアップデートやパッチの適用、セキュリティ機(jī)器であればファームウェアのアップデートなどです。ただし、適用したアップデートが原因で不具合が生じることもあるため、端末とデータのバックアップを行っておくことを推奨します。

まとめ

さまざまなデバイスがネットワークで接続されるようになった現(xiàn)在では、情報(bào)セキュリティに対する脅威も大きくなっています。自社サイバー犯罪の被害に遭わないだけでなく、サイバー犯罪に加擔(dān)しないためにも、常日頃から高い情報(bào)セキュリティ意識(shí)を持ち、対策に努めていくことが大切です。

より強(qiáng)固なセキュリティ対策を構(gòu)築したいとお考えでしたら、高度なセキュリティを備えた企業(yè)が提供するサービスを活用する方法があります。

自社の情報(bào)セキュリティを高めて機(jī)密情報(bào)や個(gè)人情報(bào)を守ることは、自社の価値や評(píng)判を守ることでもあります。これを機(jī)に、セキュリティ施策を見直してみてはいかがでしょうか。

免責(zé)聲明：文章內(nèi)容來自于網(wǎng)絡(luò)，如有爭(zhēng)議，請(qǐng)聯(lián)系刪除。

蘇州網(wǎng)絡(luò)安全 蘇州數(shù)據(jù)安全