無効に設定されています。有効にしてご利用くださいますようお願い致します。ITジャーナリスト・三上洋ツイート企業や自治体などからの情報流出が続いている。ウイルス感染による情報流出を防ぐには、いくつものセキュリティ対策を組み合わせた「多層防御」が必要だ。IPA)の推奨する多層防御のセキュリティ対策を紹介しよう。一つの施策だけでは駄目。攻撃の足場として使われる可能性も一つの施策だけでは駄目。感染予防・ネットワーク分離・サーバー制限・事後対応の「多層防御」で今年5月に、日本年金機構から125万件の情報流出が起きたが、それ以降も多くの企業・自治体でウイルス感染・情報流出の被害が出ている。特徴は「社内で気づくのが難しいこと」だ。日本年金機構の場合もそうだったが、外部のセキュリティ組織(NISC=内閣サイバーセキュリティセンター)によって不審な通信が指摘されてようやくウイルス感染と情報流出が分かった。他の企業・自治体でも、外部からの指摘で発覚した例が多い。被害組織でも、ウイルス対策ソフトやファイアウォールなどは導入していただろう。それら既存のセキュリティ対策だけでは、ウイルス感染を防げないうえに、感染に気づくことすらできないのだ。したらいいのだろうか。「多層防御」を考慮したセキュリティ対策と運用管理のイメージ図(IPAによる)。ウイルス感染や情報流出を防ぐには、一つの施策だけに頼るのではなく、複数の防御方法を組み合わせる「多層防御」が必要だ。IPAでは「【注意喚起】ウイルス感染を想定したセキュリティ対策と運用管理を」として、企業での多層防御の方法を、四つのポイントで紹介している。以下、IPAの呼び掛けと筆者による参考情報を併せて紹介する。目次へ戻る【多層防御1】ウイルス感染リスクの低減ウイルスは毎日大量に生まれているため、パターンマッチング方式のウイルス対策ソフトだけでは防ぐことができない。入り口となるウイルス感染のリスクを減らすには、以下の五つが大切だ。1-1:ソフトウェアの更新の習慣化および徹底ウイルス感染を防ぐ基本中の基本は、ソフトウェアを最新にすること。ウイルス感染の原因となる脆弱性を解消するためだ。下記などを必ず最新版にする体制を整えたい。JAVA(JRE)そのためにはシステム管理者が、社内の端末をチェックする資産管理製品、もしくはソフトウェアのバージョンを管理する更新管理(パッチ管理)製品の導入を検討してもいいだろう。Management)の導入を検討する。View」というPC資産管理&クライアント操作ログ管理ソフトがある。社内のPC資産をシステム管理者がチェックできるソフトウェアだ。検知できないことが多いとはいえ、ウイルス対策ソフトの導入は不可欠。パターンマッチングだけでなく、怪しい振る舞いをするプログラムを監視する「振る舞い検知機能」があるウイルス対策ソフトを導入することが望ましい。管理者は、全ての端末で、パターンファイルが常に更新されているかチェックすることも重要だ。1-3:メールの添付ファイルのブロックメールサーバーやメールゲートウェイで、不審な添付ファイルをブロックする。実行形式の添付ファイルをカットすることが第一歩となる。最近の標的型メールは、圧縮ファイルで添付してくる場合が多いため、これだけでは防ぐことはできない。対策の一つは標的型攻撃対策ソフトを導入すること。Yarai」、ネットエージェントの「防人(さきもり)」などがある。これらのソフトでは、社員が間違って標的型メールの添付ファイルを開いてしまっても、感染を防ぐことができる。「防人(さきもり)」1-4:WebフィルタリングWebサイト閲覧でのウイルス感染を防ぐために、業務に必要のないサイトの閲覧を制限する。Webサイトの表示だけで感染するドライブ・バイ・ダウンロードを防止するためだ。セキュリティ各社の製品にあるフィルタリング機能を使うといいだろう。標的型メール対策で大切なのは、社員一人一人が「標的型メールを見極めて開かないこと」だ。そのためには標的型メールの例を、社員に知らせて注意を呼び掛けることが不可欠。標的型メールの訓練を行うのが理想だ。標的型メールの例(IPAによる)。IPA:「標的型攻撃メールの例と見分け方」IPA:「標的型攻撃メールの例と見分け方」PDFファイル標的型メールについては、上記の「標的型攻撃メールの例と見分け方」が参考になるので管理者は目を通したうえで、具体的な例を社員に周知させよう。企業向けに訓練を実施するサービスもあるので検討したい。多層防御の二つ目は、ネットワークの分離だ。日本年金機構の情報流出を例に取ると、年金の個人情報ファイルを共有サーバーに置き、それをインターネットにつながった職員のパソコンから利用したことから流出が起きた。ウイルス感染しやすいのは、メール受信やWebサイト閲覧を行う、社員のパソコンだ。その社員のパソコンと、重要なデータを保管するネットワークとは物理的に切り離すことが重要となる。一般のパソコン(メールの確認やWebサイトを閲覧するパソコン)は、重要業務のシステムから分離すること。重要なデータを保存するサーバーは、一般のパソコンが接続するネットワークとは物理的に切り離す。ネットワーク分離と監視の運用図(IPAによる)。向けたシステム設計ガイド」を公開している。運用管理専用の端末設置とネットワーク分離と監視」として方法が詳しくまとめられているので参考にしてほしい。IPAでは「重要業務のシステムと一般業務のネットワークが分離されている場合も、運用によって端末やサーバー間のデータの移動が許容されていては、分離されている意味がありません。運用の見直しも必要です。日本年金機構でも、基幹ネットワークとは分離されていたが、共有フォルダー上での問題があった。このあとの「3-1:共有フォルダーのアクセス権の設定」も注意すべきだ。2-2:部署など業務単位でのネットワークの分離ウイルスに感染した場合でも、他の部署に被害を広げないように、ネットワーク機器で部署ごとに分離した方がよい。業務ごとのネットワーク分離とアクセス制御を設計する】」としてまとめられている。部署ごとにネットワークセグメントを分離し、セグメント間の通信を最小限のサービスのみに制限することで、内部侵入の拡大を困難にする形だ。三つ目は、重要情報が保存されているサーバーでのアクセス権と、データの暗号化だ。日本年金機構の事件では、ファイルの多くにパスワードがかかっていなかったことが問題になった。共有フォルダーへのアクセス権を限定し、業務担当者のみがアクセスできるように設計することも大切だ。重要な情報が保存されているフォルダーは、その範囲の業務担当者のみが閲覧できるようにアクセス権を設定する。業務担当者のみが閲覧できるようにアクセス権を設定する(IPAによる)。2015」PDFファイル上記PDFファイルの7ページで詳しくまとめられている。2015」PDFファイルよると「利用者ごとのユーザーアカウントの作成とアクセス権限の付与を適切に行う」「重要なファイルが保存されているフォルダーのアクセス権限は、全アカウントが閲覧や削除ができる設定(フルコントロール)にせずに、特定のアカウントのみがアクセスできるように設定する」「職員の退職時には速やかにユーザーアカウントを抹消する。職員の部署異動時には、アカウントに付与したアクセス権限を見直す」の3点が注意点としてまとめられている。仮にデータが流出しても、読むことができないように暗号化することで、流出後のリスクを低減する。IPAでは「組織における内部不正防止ガイドライン」で、暗号化とパスワードについてまとめている。IPA:「組織における内部不正防止ガイドライン」IPA:「組織における内部不正防止ガイドライン」PDFファイル上記PDFファイルの41ページで、盗難紛失対策としての暗号化とパスワードの保護について書かれているが、流出リスクでも同じことが必要なので確認しよう。多層防御の最後は「事後対応」だ。実はここが一番重要な部分である。いうのは、感染や流出が分かったときの対応が悪いと、流出するデータが増えるなど被害が拡大してしまうからだ。日本年金機構の場合でも、外部からの指摘があった最初の時点での対応が甘かったため、他の部署宛てにも標的型メールが届き、流出被害を拡大させている。ポイントは「事故前提の対策」を考えること。「絶対に流出を起こさない」ではなく、「ウイルス感染や情報流出は起きるもの」として、対応をシミュレートしておく。事故後の対応を決めておけば、いざというときも慌てずに判断できるようになる。4-1:体制の整備ウイルス感染や情報流出は必ず起きるもの、という前提で、体制を整備しておく。IPA:「組織における内部不正防止ガイドライン」IPA:「組織における内部不正防止ガイドライン」PDFファイル上記PDFファイルの59ページで、事後対策をまとめている。大きく分けて「証拠保全」「システム管理者、インシデントレスポンス担当者(外部のインシデントレスポンス支援担当者を含む)、デジタル・フォレンジック解析担当者(外部支援担当者を含む)などとの連携」「委託している場合は、委託先と事後対応を決めておく」「監督官庁への報告」などがある。有事の際にすばやく対応できる手順書、関係省庁や調査会社などの連絡先を準備しておくこと。Team、シーサート)を設置することも考慮しよう。CSIRTとは、トラブル発生時に対応するチームのこと。CSIRTを設置できない場合には、セキュリティ会社の緊急連絡先を準備しておく。株式会社ラック・サイバー救急センターに聞く」も参考にしていただきたい。目次へ戻る中堅・中小企業も油断できない。攻撃の足場として使われる可能性もこのように企業でのウイルス感染・情報流出への対策としては「多層防御で守る」「事故前提で準備する」ことが重要だ。最近では、標的型メールによるウイルス感染と情報流出が目立っており、大企業だけではなく中堅・中小企業での被害も拡大している。「うちの会社は大丈夫」という油断は禁物だ。最近の標的型攻撃では、攻撃の足場としても日本の企業のサーバーが利用されている。日本年金機構の情報流出事件でも、東京の海運会社のサーバーが指令サーバー(C&Cサーバー)として使われていたほか、地方公共団体のサーバーが侵入されて足場に使われた例がある。あなたの会社も、攻撃の足場にされる可能性があるので、多層防御によって感染や流出を防ぎ、仮に感染したとしても被害を最小限にする工夫をしてほしい。ビジネスeラーニング無料で受講できるビジネスパーソン向けeラーニングです。ビジネスマナーやセキュリティなどの多彩なコースをご用意しています。今後も順次コース追加していく予定です。総務部エリコなつかしオフィスビジネススキルアップや業務に役立つさまざまなサービスをご用意しています。