―TweetPocketサイバー攻撃の潮流は、大量かつ速攻的なシステムダウンを狙った攻撃から、静寂型攻撃へと変化してきている。企業は、さまざまな攻撃から予見されるインシデントを検知できるよう多重・多層の対策を行うとともに、より巧妙になりつつある内部不正に対してセキュリティ対策の向上に努めるべきである。多重・多層管理の重要性データの保存、管理、回復を適切に行い、かつデータへの進入を防ぎ情報の存在と価値を守ることを「データ・プロテクション」とITRでは定義している。このデータ・プロテクションを脅かすリスクは、ひとつはサイバー攻撃などの外部攻撃であり、もうひとつは関係者からの意図した情報の持ち出しや意図しない情報漏洩、つまり内部不正である。データ・プロテクションにおいて多重・多層防御(ソリューションの重ね合わせや複数のレイヤー層による対策強化)は、昨今の巧妙化する攻撃を防ぐための重要な考え方である。多重・多層防御では、組織的および物理的な対策と技術的な対策を施すことになるが、全ての層においてID管理とデータ・プロテクションを紐づけることが鍵である。組織的な管理として職務分掌に応じた権限管理を行うことが有効である。List)の管理を行うことが多重対策となる。この際、多重に配置したUTMをそれぞれ異なるベンダー製品を利用すればさらに強度が増すことになる。これは1つのUTM製品の組み込みOS上の脆弱性を利用した攻撃に対して耐性が増し、IDと紐づくことで異なるシステム間のログの相関的な分析や解析も可能になるからだ。単一ツールのログからはインシデントとして検知が不可能(攻撃者が巧みに隠蔽する)であった攻撃も、怪しい振舞いとして検出できる確率が大幅に向上する。データ・プロテクションにおいては、重要な資産の評価レベルに合わせて策を施す必要がある。主眼におき、内部監査やセキュリティ対策におけるリスク低減策を立案できることを目指します。従業員1,000人未満の中堅企業、同300人未満の中小企業の情報システム担当者に向けて、マルウェア対策製品の選定にまつわる基本的な考え方について述べる。近年のサイバー攻撃は、その標的が中堅・中小企業にまで拡大しており、インターネット・バンキングを悪用した不正送金など深刻な被害につながる攻撃も急増している。した攻撃の侵入経路の大半は従業員が利用するクライアントPCである。これらPCを保護するための手段としてマルウェア対策製品が広く普及しているが、従来型のパターンマッチングによる既知のマルウェア(不正プログラム)検知だけでは十分な効力を発揮しなくなっているのが実情だ。企業が取るべきデータ・プロテクションでは、サイバー攻撃に対して企業が取るべきデータ・プロテクションにはどのようなものがあるだろうか。これまでのセキュリティ・マネジメントを見直す(規程類、マニュアルの整備含む)とともに、まず守るべき資産は何かを企業内で明確に定め、データの重要度を4~5段階に分け、技術的な対策を考えていく必要がある。重要な資産に対してリスク分析を行い、事業上の社会的影響力(影響力は業態や業種、企業規模や、ブランド、企業風土により異なる)と事業上の損失によるリスクマップを作成することを推奨する。これらの作業を行うことでインシデント時の被害額を想定することにもつながり、セキュリティ投資としての妥当性判断にも有効となる。この重要資産を守るために、例えば図2のような7つの対応策を考慮、検討すべきである。昨今では1~3のネットワーク上の対策の他、4の脆弱性診断、5の内部の振舞いを検知することがとても重要である。Management)は運用が困難という課題があったが、今後はインテリジェントな機械学習やAI技術を利用した次世代SIEMの導入が進んでいくと考えられる。フォレンジックという技術はこれまではインシデント後に弁護士などのチームとともに使用される技術であったが、グローバル企業を中心に予防的な利用方法が進んでいる。図2.7つの技術的対策方法リスク管理のためのデータ・プロテクションデータ・プロテクションとしてリスク分析後の具体的な管理方針の策定からセキュリティ対応計画の策定までを行うには、図3のような流れで考慮するとよい。採用したフレームワークに照らし合わせ、要求事項の不足を分類し、組織的なマネジメントのルールが必要なのか、ソリューションで対応するのかなどを検討する。前述のリスク分析において情報資産のオーナーを定めることはデータ・プロテクションとして非常に重要な観点である。マイナンバーについては資産オーナーを定め、社内にある個人情報と簡単に照合できないようにすることが重要である。ツールを導入することでリスクレベルは下げられる傾向にあるが、その際に考慮するポイントはいかにログの管理を行いインシデントの検知につなげるかである。リスク管理のためのデータ・プロテクションの流れとしては、情報資産価値を基にリスク対策、ルールの検討を行ったのち、そのリスクごとにオーナーを定めリスク低減計画を立てる。この際、情報資産のライフサイクルに従ってリスクを管理することが重要である。リスク管理計画の実行に際しては、目標管理とモニタリングを含めたKPI管理を行うことが今後の残留リスクを把握するうえで有効な活動となる。図3.リスク管理のためのデータ・プロテクションの流れ提言セキュリティに関しては、これまでコストという視点で対策してきた企業が多いが、今後はサイバー攻撃や内部不正を経営上のリスクととらえ、セキュリティ投資を行うという考え方の転換が求められる。策定することで、経営層への「説明責任」を果たすことが重要である。グローバル展開の有無などにより発生する損失は異なってくる。したがってビジネスモデル、ビジネスプロセスごとにリスク分析による、リスクの明確化を行ったうえで評価を実施し、中長期のセキュリティ投資戦略を策定すべきである。主眼におき、内部監査やセキュリティ対策におけるリスク低減策を立案できることを目指します。―サイバー攻撃は米中国間の軍事的な問題であり、民間企業への影響は少ないと考えている国内企業が多い。他国が国策を守る方針として官民一体となりサイバー空間に対処しているのに対し、日本企業のサイバー空間での劣位性に起因する国際競争力の低下も少なからず存在する。本稿では、2020年に向けたサイバー空間でのビジネス機会について、セキュリティに対する現状の課題とともに述べる。対応調査(2015年10月実施)によると「すでに実施済み」はわずか20%であり、多くの企業が早急に対応する必要があります。本サービスでは、ベンダーに依存しない中立的な立場から企業規模に応じたマイナンバー運用構築について、目的外利用ができない仕組み、漏洩しない仕組み、インシデント発生時の追跡および発生後の緊急対応などの仕組みの構築を支援いたします。活用し、業界別、分野別のセキュリティ投資動向と貴社のセキュリティ施策を比較し、戦略的かつ効率的な中長期セキュリティ戦略計画の策定をご支援いたします。ITガバナンス成熟度アセスメント現在、ITに関わるリスクやトラブルの増大から、IT組織の強化が求められています。属人的・場当たり的になりがちなIT関連業務の成熟度を体系的に評価することで、IT組織のITガバナンス/ITマネジメント能力を継続的に改善・強化していくためのベンチマークサービスです。IT部門でセキュリティ・ポリシー策定、グローバル標準化、ファシリティ・セキュリティ/PKI/暗号化技術などの構築に従事。2012年1月より現職。現在は、経営戦略の構成要素としての技術戦略分析や、経営と技術の橋渡しを支援、必ずしも技術や製品の開発だけでなく、企業目標を達成するための筋道として描かれる戦略支援を行っている(経営戦略における技術分野からの分析評価など)。