2020.02.20事務局FacebookTwitterはてブシステムの多様化・複雑化が進む昨今、それらの運用負荷は増大しています。サイバー攻撃に関しては、メディアなどの表面上では沈静化している印象を受けますが、実態としては標的型メール攻撃を始めとする各種攻撃は減少しておらず、また巧妙な隠蔽手段を用いているものもあり、”攻撃を受けたことに気付いていないだけ”といったケースも多いのです。攻撃者は、システムのセキュリティホールをたった1つでも発見すれば攻撃が可能となるため、多様なシステムの運用・保守を行う防御側に対して「優位な立場」にあります。手軽に攻撃を繰り返し、成功すれば被害は甚大なものとなってしまうのです。2017年11月経済産業省が発表したサイバーセキュリティ経営ガイドラインは、「侵入される前提で被害を最小化する」という考えのもと、組織が行うべき対策についてまとめられています。「100%の防御は不可能である」ということを認識し、脅威の早期発見・被害の最小化を目標に、サイバーセキュリティリスクに対応するための組織作りが求められているのです。セキュリティリスクをめる3つのポイントセキュリティリスクがあるのかないのか、そのリスクが高いものか低いものかを決めるポイントは3つあり、下記の3つの掛け算でセキュリティリスクの高さを決めていく必要があります。簡易なパスワード、置き引きなどリスク評価の方法まず、リスクを評価する上で基本となるものは「A(守るべきもの)」です。守るべきものが明確でない場合、リスクを特定することはできません。「A(守るべきもの)」に「T(脅威)」と「V(脆弱性)」を掛け合わせることで、リスクが明確となるのです。リスクの大きさ(高さ)は、A・T・Vそれぞれの要素の大小に比例します。守るべきパソコンが1台の時よりも、100台の時の方がリスクは大きくなるということです。近年のサイバー攻撃の特徴を見てみましょう。IoTデバイスIoT分野は急成長しています。2020年には500億デバイスが流通すると考えられており、攻撃者にとっては格好の標的です。最近では「WEBカメラ」が狙われており、日本国内のWEBカメラ(監視カメラ)の映像が流出してしまう事案が報告されています。これは、WEBカメラの設定を「デフォルト」のまま使用していたことが原因と考えられています。対する攻撃も活発です。2014年に発生したマウントゴックス社における約470億円分の仮想通貨消失事件は有名ですが、日本でもコインチェック社が約580億円分の大規模流出を起こしています。ランサムウェア金銭を要求するマルウェア「ランサムウェア」の被害も後を絶ちません。爆発的に広まった「Wannacry」は既知の脆弱性を悪用し、世界150か国で20万台以上のコンピューターが感染。国内でも大手企業や地方公共団体での被害が確認されました。セキュリティ対策が推進されていない要因サイバー攻撃の被害に遭ってしまう組織に共通する要因は下記の3点です。守るべきものが把握できていない脅威や脆弱性を認知できていないリスクが明確になっていないセキュリティ対策の必要性が理解されておらず、サイバー攻撃を受けることで想定外の甚大な被害を被ってしまうのです。セキュリティ対策で重要なポイントセキュリティ対策を行う上で重要なポイントと、具体的な方法について考えてみましょう。ポイント1守るべきものを知る2脅威を知る3脆弱性を知る4リスクを認識する5有効性確認・改善を行う意識改革については、全社員が対象ではありますが、まずは役職者のセキュリティ意識向上が大切です。そのためには「訓練」と「教育」が必要となります。いった教育、セキュリティ担当者の育成などが挙げられます。脆弱性を知るためには「セキュリティ診断」が有効です。既知の脆弱性やサイト改ざんのリスクを認識し、防御策を講じましょう。それぞれをカバーするサービスを提供しています。擬似的な不審メールを対象者に送信し、不審メールへの対応を訓練するサービスです。不審メールからマルウェアへ感染してしまうリスクを低減するとともに、社員のセキュリティ意識向上を図ります。関西学院大学は2016年10月7日、大学のサイトを装ったメールを受信した理工学部の職員が偽サイトに誘導され、大学院生ら1466人の個人情報が流出したと発表した。サイバーセキュリティトレーニング情報セキュリティ担当者向けのトレーニングです。実際にマルウェアを作成し攻撃を仕掛ける側と、防御する側に別れゲーム形式でセキュリティ対策を学んでいきます。事務局の角田(つのだ)です。事務局の角田(つのだ)です。WEBアプリケーションセキュリティトレーニングハッキング方法を知ることで、対策ができているのかを学ぶトレーニングです。セキュリティ人材の育成を目的としており、マルウェア感染・WEB改ざんのリスク低減につながります。スポット診断」があり、組織の必要に応じて選択が可能です。攻撃者のハッキング手法は日々進化しており、定期的に診断を行っていても、その都度脆弱性が発見されています。スポット診断では、同業他社と同様の脆弱性を発見し、未然にインシデントを防ぐことが可能となります。事務局サイバーセキュリティ.com編集事務局です。サイバーセキュリティ関連の最新情報をご紹介しています。セキュリティ情報を伝えるべく日々奮闘中プロフィールはこちら事務局からのお知らせ当サイト掲載コンテンツの二次利用について2019.08.07当サイトコラムニスト星野靖裕さんが東京新聞に取材されました。資料請求リストに製品がありません。