最新の情報セキュリティ対策一覧を種類別・リスク別に解説！

種類別の情報セキュリティ対策一覧

新人「情報セキュリティ対策といってもいろいろありますよね。どんな視点で行うのが効果的なのでしょうか？」

先輩「情報セキュリティ対策は、人材、技術、物理といった対策に分けられる。それぞれの要素に対して、どんなものがあるのかを明確にすることで、企業や組織に必要な対策を組み立てることができるようになる。まずは、何を対象に情報セキュリティ対策を行うかを考えていこうか。」

情報セキュリティ対策とは、簡単に言うと、企業や組織がインターネットやパソコンなどを安全に活用するために行う対策だ。ただ、「誤った情報の取り扱いをしないように従業員に教育を行う」「情報が漏洩しないようにウイルス対策をする」「パソコンが盗難にあわないようにロックをかける」などは、どれも情報セキュリティ対策の一環だが、それぞれ対象が異なり、それにより対策手法は全く異なってくる。

その中でも、情報セキュリティ対策のベースとなるのは、人への対策だ。

以下は、IPA が発表した 2021年の企業における情報セキュリティ被害のトップ３だ。

これらは、いずれも進化するサイバー攻撃による被害ではあるが、最初のきっかけはメールに添付されたファイルだったり、不用意なリンククリックだったりする。サイバー攻撃の手口が日々巧妙化する現在では、従業員教育を継続的かつ定期的に行い、万が一の時に人がどう動くのかといった、人的な対策を決めておくことが、なによりも必要なんだ。

もちろん、システムや環境におけるセキュリティ対策も重要になる、次は、「技術的対策」と「物理的対策」の 2つについて説明しよう。

技術的対策

技術的な対策は「ネットワークへの不正侵入阻止」を目的としたものだ。

従来は、ファイアウォールやウイルス対策システム、そして認証や侵入検知のシステムによって、企業や組織のネットワークの境界に強固な壁を築くようにして侵入を防いできたが、現在はこうした境界型のセキュリティ対策は、クラウド利用やテレワークの拡充によるオフィスからのデバイスの持ち出しや、高度化するサイバー攻撃による侵入に対しては不十分になってきている。

オフィスとテレワークの両方で働くハイブリッドワークがあたりまえとなってくると、従業員が使用するデバイスや複数のクラウドサービスをまたぐネットワークへの不正侵入に対応するために、エンドポイントセキュリティの強化やゼロトラストセキュリティが注目されるようになってきている。

どちらもニューノーマルで広がった、テレワークなどの新しい働き方を安全に運用するためのセキュリティ対策として注目され、そのソリューション導入も進んでいるんだ。

いずれにしても、企業や組織は従来型のセキュリティ対策では十分なセキュリティが確保できなくなり、新しい時代に合わせたセキュリティ対策への移行を迫られているんだ。

物理的対策

物理的対策というのは、「防犯対策」と言い換えることもできる。

ネットワークやシステムといったデジタル分野ではなく、セキュリティドアやゲートによる入退室管理や鍵やカードキーなどによる施錠、従業員の PC へのセキュリティワイヤー設置や、画面の覗き見防止フィルムなどの物理的なセキュリティ対策も、企業や組織にとっては重要となる。

特に、テレワークなどで社外に端末が持ち出されることがあたり前になると、画面の覗き込みを防いだり、物理的盗難を防ぐ重要性は、より高くなっている。

「技術的対策」と「物理的対策」に併せて「人への対策」を取り、網羅的かつ効果的に対策を施すことが必要だな。

サイバー攻撃別の情報セキュリティ対策一覧

新人「従業員、システム・ネットワーク、設備・備品という3つの項目に、それぞれ対策が必要という事ですね。」

先輩「その通り、この3つの中で従来と変わらない方法で対応できるのは、従業員、そして設備や備品へのセキュリティ対策だな。システムやネットワークは、進化するサイバー攻撃と直接向き合う部分だから、見直しやアップデートが必須になってきている。次は、サイバー攻撃別の情報セキュリティ対策を一覧でみていこう。」

ウイルスへの感染

サイバー攻撃別の情報セキュリティ対策一覧の1つ目は、ウイルス感染への対策だ。

さまざまな種類があるウイルスは、ウイルスやワーム、トロイの木馬などを合わせてマルウェアとも呼ばれている。最近では、ファイルレスマルウェアといって、明確なプログラムを持たないものがあったり、感染した端末のデータを単純に盗むだけでなく、端末内のデータを勝手に暗号化して利用不可の状態にし、解除するための身代金を要求するランサムウェアという攻撃方法も増えてきている。

日々巧妙化する手口と、セキュリティ対策のイタチごっこが続いているのが現実だ。

ウイルス対策ソフトを常に最新の状態にするのは当然として、誤ってウイルスに感染しないように従業員の教育を徹底することも重要だ。また、パターンマッチングによりウイルスを検知する従来のウイルス対策から、端末やプログラムの振る舞いで不正侵入を検知する NGAV や EDR といった次世代のアンチウイルス対策の導入も有効になってくる。

サーバー・システムへの攻撃

サイバー攻撃別の情報セキュリティ対策一覧の2つ目は、サーバー・システムへの攻撃についての対策だ。

大量のデータを送りつけることで、サーバーやネットワークに負荷をかけてダウンさせる DoS・DDoS 攻撃や、サーバー OS やデータベース、ウェブアプリケーションの脆弱性を突いてデータを盗み出したり、改ざんを行うハッキングがその代表となる。

業界内だけでなく社会でセキュリティインシデントの原因となっている攻撃に対しては、情報収集と対策を取っておくことが重要だ。

常に最新の情報を取り入れ、どのようなソリューションが有効であるかを確認し、導入や実装を進めていく必要がある。

不正アクセス

サイバー攻撃別の情報セキュリティ対策一覧の3つ目は、不正アクセスへの対策だ。

不正アクセスが起きる原因としては、ウイルス感染やサーバーやシステムへの攻撃によって流出した ID・パスワードの悪用や、単純なパスワード設定を突かれたことによるハッキング行為になる。

攻撃者は、不正アクセスによって企業のネットワークに侵入し、コンピュータやネットワークの脆弱性を見つけて悪意あるウイルスを仕込み企業内へ感染を広めたり、情報を外部に流出させたりする。

これまでは、企業や組織への不正アクセスを防ぐのは、インターネットと自社との回線の間に壁を作ることで外部からの攻撃を防御するファイアウォールの役割だった。しかし、これは1度突破されてしまうと、内部での動きは止めようがなくなってしまう。

これを防ぐのが、ファイアウォールのような境界型の対策ではなく、EDR やゼロトラストセキュリティなどの侵入を前提としたセキュリティ対策への移行だ。

EDR は、端末やプログラムの「振る舞い」を監視することで、ウイルスの侵入を検知し、迅速な隔離や除去、さらには調査や復旧にかかる時間も短縮できる。

また近年、再注目されているのがゼロトラストセキュリティだ。全てのアクセスを常に疑い、あらゆるタイミングで正しいアクセスかどうかを確認する。そして、不正アクセスが疑われる場合はスムーズに隔離をする仕組みを実現できる。

情報セキュリティ対策を実施する際のポイント一覧

新人「いずれにしても、これからのサイバー攻撃を防ぐには、技術的に最新のセキュリティ対策へ移行しないと対応は難しそうですね。」

先輩「そうだね、ただ闇雲に最新のセキュリティ対策ソリューションを導入するのではなく、ポイントを押さえることで、コスト面でも効果としてもよりよい対策を打てるようになる。
次は、情報セキュリティ対策で抑えるべき4つのポイントについて解説していこうか。」

テレワーク・クラウドシフトへの対応

情報セキュリティ対策1つ目のポイントは、テレワーク・クラウドシフトへの対応だ。

コロナ禍でテレワークが浸透したことで、ニューノーマルの時代での勤務はオフィスとそれ以外の場所のどちらでも働くハイブリッドワークが前提となっていく。

これまで社内にあった従業員用の PC が持ち出され、業務データがクラウドへアップされたり、社内システムで行ってきたことをクラウドサービスへと置き換えたり、クラウド型のコミュニケーションツールが導入されるなど、働く際に使うアプリケーションにも変化も起きている。

こういった新しい働き方の状況下において、持ち出された端末の管理と保護をどのように進めていくのか、クラウドシフトしたからこそのセキュリティ対策を施す必要があると言える。

持ち出されるデバイスが多いなら、エンドポイントセキュリティを強化したり、クラウドを含めた業務ネットワークを保護する必要があるなら、ゼロトラストセキュリティを実装したりすることに加えて、その先にあるワークロードの保護やクラウドベースでネットワークを保護する SASE の導入を視野にいれる必要もあるだろう。

不正アクセスの早期発見と遮断

情報セキュリティ対策 2つ目のポイントは、不正アクセスの早期発見と遮断だ。

不正アクセスに対応するためには、これまでの「入れない」ための対策と合わせて「入られた後」の対策をセットで考える必要がある。従来の境界による防御は継続しながら、不審な振る舞いから、侵入されたデバイスや不審な ID を検知するソリューションを導入することで、防ぐことが難しいサイバー攻撃や万が一の ID や PW 流出にも迅速に対応できるようになる。

振る舞いを監視する EDR ソリューションなら、万が一不正アクセスが発生した場合も、早期に発見し、すぐに対処することができる。

侵入後の被害をさらに低減するなら、ゼロトラストセキュリティの導入や社内のサーバーリソースであるワークロードを保護するソリューションも有効な施策だ。

従業員教育と管理の徹底

情報セキュリティ対策3つ目のポイントは、従業員教育と管理の徹底だ。

最初に「人への対策」が基本だと言ったように、従業員への教育は継続的かつ定期的に行い、それぞれの教育を「点」ではなく「線」でつなげて、IT リテラシーを向上させることが重要だ。

こうした従業員への教育に加えて、組織として適時、セキュリティポリシーを見直したりユーザー権限の管理を徹底する必要がある。

ユーザー教育には、セキュリティ担当者が社内へセキュリティに関する情報や啓蒙を定期的にインフォメーションしたり、サードパーティーのオンライントレーニングの利用や、自主的に学習できるようなトレーニングツールを導入するといった方法がある。

一方で、ユーザー権限や ID と PW を管理するには、たとえ従業員が少なくても、1人が複数のデバイスを使用してビジネスを進めるのがあたりまえとなっている現在では、ファイルベースの手動管理ではなくユーザーとデバイスを統合管理できるようなツールを導入するのが、セキュリティ対策の面からは理想と言える。

常時最新のアプリケーションの保持

情報セキュリティ対策4つ目のポイントは、常時最新のアプリケーションの保持だ。

従業員が使用するデバイスが社内にあった時も、パッチやアップデートをデバイスに適用するのは大変な作業だったが、テレワークの浸透によって、デバイスがネットワークの外に持ち出されることにより、リモートでの対応がセキュリティの保持には必須となってきている。

業務で使用するサーバーやシステムも当然ながらシステムは最新の状況にしておく必要がある。サイバー攻撃による侵入を防ぐのが困難となったことで、インターネットと直接つながる DMZ に設置されたサーバーやウェブサービスのフロントエンドとなるサーバーだけでなく、イントラネットにあるサーバーもセキュリティ対策が必須となってきているんだ。

業務で使用するデバイスについては、更新をユーザーに任せるのではなく、情報セキュリティの管理者がアップデート状況の確認と更新ができるようなシステムにしておく必要がある。

また、ゼロトラストセキュリティの導入と合わせて、社内や社外のサーバーリソースを統合管理できるようなソリューションを導入して、業務ネットワークで脆弱な部分ができていないかを、全社的に確認できるようにするのがセキュリティ対策としては理想だ。

まとめ

新人「こうしてみるとテレワークは、企業のセキュリティ対策に大きな影響を与えているんですね。」

先輩「そうだな。なによりもデバイスが社外に持ち出された影響が大きい。それでこれまでの境界型のセキュリティを続けていくことが難しくなったと言えるんじゃないかな。」

新人「管理者の目が届きにくくなったことをカバーするための、セキュリティトレーニングや啓蒙活動も重要になってきますね。」

先輩「EDR やゼロトラストセキュリティ、さらには SASE などの技術面でのセキュリティ対策も進化しているが、結局は怪しいものを人がしっかりと注意するのが、一番のセキュリティ対策と言えるからな。」

SB C&S では、デバイス毎の振る舞いを監視する EDR（Endpoint Detection and Response）を提供して、これからますます重要となるエンドポイントのセキュリティを強化する、クラウドをベースにした次世代のセキュリティソリューション「VMware Carbon Black Cloud 」や、持ち出されたデバイスのモダンマネジメントを実現し、従業員に安全なテレワーク環境を提供する「 VMware Workspace ONE 」、さらにはハイブリッドクラウドによる企業インフラを保護する 「VMware SASE」、企業の社内リソースを保護する「VMware Carbon Black Cloud Workload」など、多彩なセキュリティ対策ソリューションをご提供しています。詳しくは、下記の製品ページまたはソリューションページをご確認ください。