そもそもセキュリティ対策の基本概念

企業が保有する情報資産やネットワーク、システム、アプリケーション、端末を、外部からの不正アクセスやサイバー攻撃、内部不正、物理的リスクなどの脅威から包括的に守る取り組みを指します。ここでは、セキュリティ対策を進めるうえで重要な概念であるサイバーセキュリティの概要を解説します。

サイバーセキュリティの定義

サイバーセキュリティ基本法第二条によると、サイバーセキュリティとは情報を守るためのあらゆる措置が講じられ、かつ適切に管理されている状態を指します。同法では、情報が漏れたりなくなったり書き換えられたりしないように保護することや、ウイルス感染や不正アクセスによる被害を防ぐといった対策が求められています。

総務省による「サイバーセキュリティの三原則」

総務省によるサイバーセキュリティの三原則では、以下の3点を心がけるように求めています。これらに加え企業では、次世代ファイアウォールやEDR、アクセス制御、SOC運用など多層的な対策が必要だということを覚えておきましょう。

• ソフトウェアを最新に保つ
  脆弱性を放置すると、情報漏えいやマルウェア感染など深刻な被害を受けるかもしれません。アプリやOSを更新・アップデートしたり修正パッチを適用したりすることで、その脆弱性を減らせる可能性があります。
  
  
• 強固なパスワードを設定して多要素認証を活用する
  単純で短いパスワードは安全性が低く、不正アクセスにつながる恐れがあります。英単語や生年月日など予測されやすい文字列は避け、推測されにくく文字数が多いパスワードを設定することが重要です。パスワードを別のサービスで使い回すのも避けましょう。
  また、パスワード以外の認証方法を追加して多要素認証にすることも不正アクセスを防止するうえで効果的です。
  
  
• 不用意に開いたりインストールしたりしない
  フィッシング詐欺やマルウェアの感染につながる恐れがあるため、URLや添付ファイルは不用意に開かないようにしましょう。また、提供元不明のアプリによる被害も報告されているため、不用意なインストールにも注意です。
  
  

サイバーセキュリティと情報セキュリティは違うの？

情報セキュリティは紙媒体を含む情報全般の保護、サイバーセキュリティはネットワークやシステムに特化した対策です。どちらか一方では不十分で、両方を組み合わせることで企業のセキュリティが強化されます。

情報セキュリティの7要素とは

ここでは、情報セキュリティの7要素を解説します。情報セキュリティには維持すべき3つの要素がありますが、現在は4つ増えて7要素となっています。

情報セキュリティの3要素

情報セキュリティの3要素とは、機密性（Confidentiality）・完全性（Integrity）・可用性（Availability）です。頭文字からCIAとも略されます。それぞれの意味は以下の通りです。

• 機密性
  許可されたユーザーのみが情報にアクセスできるように制限することです。具体的には、パスワードやアクセス権限の設定が挙げられます。また、重要な情報を暗号化して情報漏えいを防ぐことも機密性の一つです。
  
  
• 完全性
  情報が正確で改ざん・破壊がなく、完全な状態を維持することです。サイバー攻撃による情報の改ざんだけでなく、不十分な管理により情報が欠損していたり間違っていたりする場合も、完全性が損なわれているとみなされます。完全性を維持するためには、データのバックアップや定期的なメンテナンスが必要です。
  
  
• 可用性
  許可されたユーザーが必要な時に情報やシステムにアクセスできる状態を維持することです。サイバー攻撃だけでなく、システムの障害や災害が発生すると情報やシステムにアクセスできなくなる場合は、可用性が損なわれているとみなされます。可用性を高めるためには、冗長化（予備のシステムや装置を用意すること）や迅速な復旧体制の構築が必要です。

新たに加わった4要素

機密性・完全性・可用性に加え、近年では以下の4要素も追加されています。

• 真正性（Authenticity）
  情報が本物で改ざんされておらず、信頼できる主体によって作成・発行されたことを保証することです。誰がその情報を作成したのか、その情報が正しいのかを明確にし、情報の信頼性の確保や不正アクセス・情報漏えいのリスク軽減につなげます。真正性を確保するためには、デジタル署名や多要素認証などの導入が重要です。
  
  
• 責任追跡性（Accountability）
  誰がいつどのような情報にアクセスし、どのように操作したかを記録して追跡できるようにすることです。これにより、インシデントが発生した際に原因の究明や責任の追及がスムーズにできます。責任追跡性を確保するためには、ログの取得と管理が必要です。
  
  
• 否認防止（Non-repudiation）
  その行為や事象を後から当事者がなかったことにできないようにすることです。責任追跡性と似ていますが、責任追跡性は誰が何をしたか特定するのに対し、否認防止は後からの否定を防ぎます。
  否認防止の具体的な方法は、ログの取得・管理やタイムスタンプの付与などです。これにより、責任の所在が明確になり、不正行為の抑止や信頼性の向上につながります。
  
  
• 信頼性（Reliability）
  システムが意図した通りに動作し、障害やエラーが発生せずに安定して稼働し続けることです。信頼性が低い場合、バグや障害が発生しやすくなり、情報の正確性やシステムの安定性が損なわれます。信頼性を確保するためには、プログラミング段階でのエラー処理や検証の実装、マニュアル・ルールの策定が重要です。

不十分なセキュリティで発生するリスクとは？

ここでは、不十分なセキュリティで発生するリスクを解説します。セキュリティ対策が不十分だとウイルス感染や標的型攻撃、不正アクセスや情報漏えいなどの恐れがあります。

ウイルス感染による攻撃

セキュリティ対策が不十分だと、ウイルスに感染するリスクが高まるでしょう。特にランサムウェアは近年、企業に甚大な被害をもたらしています。

ランサムウェアとは、感染した端末のファイルやシステムを暗号化し、復元と引き換えに身代金を要求するコンピューターウイルスの一種です。感染するとファイルやシステムが使用できなくなるうえ、悪質なケースでは盗み出した情報をインターネット上に公開すると脅迫される恐れもあります。

標的型攻撃のターゲット

標的型攻撃とは、特定の企業や個人を狙って行うサイバー攻撃です。セキュリティ対策が不十分な企業は攻撃者の格好のターゲットであり、標的型攻撃を受けると機密情報の漏えいや業務停止など重大な被害を受ける恐れがあります。

また、システムやネットワークへの侵入後すぐに活動せず、長期間潜伏しながら気付かれないように少しずつ情報を盗み出すケースもあります。そのため、攻撃が発覚した時には重要な情報が大量に盗み出された後だったというケースも少なくありません。

システムへの不正アクセス

攻撃者が他人のIDとパスワードを不正に入手し、本人になりすましてシステムにログインされるリスクもあるでしょう。不正アクセスに成功した攻撃者は、サーバー内に保管されている機密データを盗み出したり改ざんしたりします。

また、盗み出した個人情報がサイバー攻撃に悪用されるケースも少なくありません。二次被害・三次被害につながるリスクもあり、企業にはさまざまな法的責任が問われる恐れもあります。

人為的な情報漏洩

セキュリティリスクは外部からの攻撃に限らず、内部の人間による情報漏えいも含みます。金銭目的や怨恨などから意図的に機密情報を持ち出し、売却したり競合他社に流出させたりするケースも少なくありません。

また、悪意がなくてもUSBメモリの紛失やメールの誤送信などの不注意やミスによって、情報漏えいにつながるケースもあります。情報漏えいが発生した場合、企業は顧客や取引先からの信用を失い、管理責任を問われて損害賠償問題に発展するかもしれません。

セキュリティ対策の重要性

ここでは、セキュリティ対策の重要性を解説します。多くの情報を扱う企業では、セキュリティ対策を進めることで業務進行を維持できるとともに、組織を守れます。

情報資産を守る

顧客の個人情報や企業内の機密情報は、事業の根幹をなす重要な情報資産です。セキュリティ対策は情報資産を不正アクセスや情報漏えいなどの脅威から守り、その価値を保護する役割を持っています。もし情報資産が外部に流出した場合、企業の競争力低下だけでなく、社会的信頼を損ない存続が危ぶまれる事態に発展しかねません。

業務の安定継続

サイバー攻撃によってシステムやネットワークが停止した場合、企業のあらゆる業務がストップしてしまう恐れがあります。セキュリティ対策はこのような外部からの妨害を防ぎ、日々の業務が滞らないようにするために重要です。

会社の信用維持

サイバー攻撃や情報漏えいなどによる契約不履行が発生すると、顧客や取引先からの信頼を失い、訴訟問題や損害賠償問題に発展する恐れがあります。また、一度でも不祥事を起こすとその事実がデジタルタトゥーとしてインターネット上に残り続けるため、企業のイメージは長期にわたって低下するでしょう。これらのリスクを抑え、企業の信用を守るためにもセキュリティ対策は重要です。

セキュリティ対策の方法

ここでは、セキュリティ対策の方法を解説します。セキュリティ対策は、大きく分けて技術的対策・人的対策・物理的対策の3つがあります。企業においてはこの3つの対策方法に加え、ファイアウォール等による通信制御、エンドポイント保護の導入のほか、多層防御が不可欠です。

技術的対策

技術的対策とは、ハードウェアやソフトウェアを用いる対策です。具体的には、セキュリティソフトの導入やアクセスログの監視、ファイアウォールやIDS（不正侵入検知システム）・IPS（不正侵入防御システム）の設置などが挙げられます。技術の進歩に伴い新たな脅威が現れるため、技術的対策は常に最新の状態に保ち、適宜対策を見直すことが重要です。

人的対策、セキュリティ意識の向上

人的対策とは、従業員の行動や意識によって発生するセキュリティリスクを軽減する対策です。具体的には、従業員への教育やマニュアル・ルールの整備が挙げられます。どんなインシデントにも必ず人が関わっているといわれるため、従業員のリテラシーやモラルを向上させることは重要です。また、マニュアル・ルールでは懲戒手続きを明文化しておくと、不正を抑制できる可能性があります。

物理的対策

物理的対策とは、盗難や破壊、災害など物理的な脅威から情報資産を守るための対策です。具体的には、警備員の配置や監視カメラ・オートロックの設置などが挙げられます。また、何かを設置・導入するだけでなく、入退室を記録・管理したり社員証を首にかけたりすることも一つの物理的対策です。

セキュリティ対策には
パロアルトネットワークス

セキュリティ対策は情報セキュリティの7要素を意識しつつ、技術的対策・人的対策・物理的対策の3つの観点から進めることが重要です。

パロアルトネットワークスは世界のさまざまな企業・組織のサイバーセキュリティパートナーとして、確かな経験と実績を持っています。総合セキュリティ対策を求めている企業様は、ぜひパロアルトネットワークスまでご相談ください。

• パロアルトネットワークスが手がけるサイバーセキュリティ

まとめ

セキュリティ対策とは、情報やシステムをさまざまな脅威から守る対策です。対策を怠ると、ウイルス感染や不正アクセス、情報漏えいなどのリスクが生じます。信用維持や業務の安定継続のためにも、技術的対策・人的対策・物理的対策の3つの観点からセキュリティ対策を進めることが重要です。