今こそ社内にセキュリティ消防隊の整備を(2)

総合研究部 上席研究員　佐藤栄俊

１．今こそ社内にセキュリティ消防隊の整備を(2)

概要

サイバー攻撃の手法が高度化・巧妙化する中、企業は日々多様化する攻撃への態勢づくりが求められています。事故やトラブルに対する備えは企業においてある程度意識されるようになってきた一方、「マニュアルを一旦作成したが、事故が発生した時に機能できるだろうか。」「訓練や演習もやっておいたほうがよいとは思うけど、結局何をしたらよいのかわからない。」このような不安を抱える方も多いのではないでしょうか。今回の「情報セキュリティトピックス」では、セキュリティ上のインシデントを想定した訓練に焦点を当て、その有効性や実施方法をまとめてみました。いわゆる、サイバー上のリスクに対する『防災訓練』です。参加者はインシデントが発生した際にその沈静化へ向け、関係者間でどのような対応を実施すべきかの検討や、何がうまく機能しないかを確認していきます。さらに、訓練を通して気づいた点や反省点を振り返り、態勢の見直しに役立てることに繋がります。

1.もしも被害に遭ったら

「貴社のサービス利用者の個人情報を窃取した。これらをダークウェブに流出させられたくなければ、5日以内に身代金を暗号資産で支払え」――――。

会社で保有する情報資産が何かしらの被害を受けたらしい、そのような連絡や通知は、ある日突然やってきます。このようなインシデントは、今やどの企業・組織にも起こる可能性があります。ここ数年、マーケティングやサービス開発のために顧客情報を収集しビッグデータを構築する企業が増えています。泥棒たる攻撃者側からすれば「どの家に入っても、それなりの身代金が取れる資産がある」という状態です。

このようなとき、事故対応を誤れば、その企業への社会的信頼は失墜しかねません。しかし、現状、サイバー攻撃による影響を想定した準備や訓練を行っている日本企業はごくわずかであり、被害を受けてから慌てふためくケースがほとんどです。

昨今の標的型サイバー攻撃に代表される高度な攻撃は、従来型の予防対策（FirewallやIPS等による入口、出口対策）だけでは限界を迎えています。従来型のセキュリティ対策で全てのリスクを低減することは困難となっており、事故発生を前提とし、インシデント対応態勢を強化することでダメージコントロールを図ることが求められています。実際にインシデントが発生した場合、被害原因や影響範囲の把握、拡大防止、回復、社内外のステークホルダーへの報告等、担当者は様々な対応に迫られることになります。インシデント対応時に求められる知識や意思決定力を向上させるには、実践的なトレーニングが効果的です。トレーニングや訓練の内容は、個々人のスキルアップを後押しするものから、組織内でのインシデント対応関係者全体の対応能力を向上させるものまで多岐にわたります。組織の体制やメンバーのスキル、課題点等を加味した上でトレーニングを選定することが重要です。

2.有事の際の備えと準備

事故発生時の対応手順や準備については未実施・未周知という事業者も少なくありません。緊急時における誤った対応は被害をさらに大きくさせてしまう危険性がありますので、日頃から連絡体制や対応手順を確認しておくことが重要です。連絡体制や対応手順について、判断に迷う記述や対応方法に不明な記述がある場合には、上司・管理者に問合せを行い確認し、緊急時にすばやい行動がとれるよう「初期対応」、「一時対応」、「復旧作業」等の優先順位付けされた手順を確認しておく必要があります。

また、準備をして、有事の際に適切な行動が取れるかどうかは、訓練を実施することで評価することができます。最悪の状況は、危機発生時にマニュアルや手順が機能しないことです。マニュアルや手順があれば、多くの人は「対策が取られている」、つまり「リスクは一定以下に抑えられている」と判断して行動してしまいます。これを避けるためには、複数のシナリオを想定して、対応の要領が不明な点を繰り返し訓練することでマニュアルの有効性を評価し、改善に努めていくことが効果的です。

地震、火災などの天災時に言われていることですが、いくら完璧なマニュアルを作っても、人がその通りに動けなければ意味がありませんので、役職員に対する訓練は重要です。例えば、大震災の強烈な揺れの中では、パニックになり、落ち着いて考えながら適切な行動はなかなか取れないものです。ある程度、体で覚えることが大事であり、これは情報セキュリティ上のインシデント対応でも同じことがいえます。

情報セキュリティの分野におけるインシデントとは、コンピューターやネットワークのセキュリティを脅かす事象、すなわち、ウイルス感染や不正アクセス、不正侵入、データの改ざん、情報漏えいなどを指し、意図的であるか偶発的であるかを問いません。インシデントレスポンスは、上記インシデントに対し、主に原因の調査や対応策の検討、サービス復旧や再発防止策の実施などの対応を適切に行うことです。最近は、サイバー攻撃が増加傾向にあり、その範囲も広範にわたっています。こうした状況下で、セキュリティ対策を万全に施していたとしても、すべてのインシデントを未然に防ぐことは不可能です。

そこで、インシデントが発生した場合に迅速に対応し、被害の拡大を最小限にするための適切な事後対応が求められます。特に、標的型攻撃などのように、特定のターゲットに対し、周到に、時間をかけて準備され、継続的に実行されるサイバー攻撃などに対応していくためには、常にメンバーや組織内で知識を共有し、事故の発生を前提としたポリシー策定や手順を確立しておくことが重要です。

実際にサイバー攻撃が行なわれると、インシデントの発生するタイミングや攻撃の種類は攻撃者が選択するため、システムの管理者側では予測することが困難です。とりわけ、管理者側の知識や技術が不足している場合や、チーム編成の不備、準備や訓練が十分に行なわれていない、見積りが甘い、などの理由により攻撃を防ぎきることができない可能性があります。したがって、標的型攻撃の訓練や演習、アンケートを通じて、自社内でそのリスク（開封状況）を把握することも重要です。演習や研修、注意喚起を繰り返すことで問題点を抽出し、それを改善するとともに、インシデントの処理にある程度なれておくことで、組織全体でのサイバー攻撃への対応力を向上させることが、被害の拡大を未然に防ぐ意味でも重要だといえます。

3.訓練の一般的な流れ

一度事故が発生すれば、その影響は大変なものですが、平時はどうしても実務を優先しがちです。したがって、計画性が甘いと訓練は意義がないと敬遠されたり、下手をするとただの社内イベントになってしまいます。実際にインシデントが発生したと想定し、発生した時点以降のシミュレートにより、組織的な情報事故対応能力が確立されることをしっかり目的として設定していきたいところです。策定したリスクシナリオを軸に、机上にて各部署ごとのアクション/フローを確認し、実際にインシデントが発生した際の対応力や、想定外の事態が起きた場合の応用力を高めていく必要があります。

①企画立案

はじめに訓練の目的やシナリオの構成を練り、訓練計画を立てます。その際、目的を明確にして、それに適した演習方式を選択することが重要です。

【目的の設定例】

先日、日本IT団体連盟から企業レジリエンス向上を目的としたサイバーセキュリティ演習マップ解説書がリリースされました。本書では数多くあるサイバーセキュリティ演習を分類し、受講者や組織の役割に合わせ、推奨、必須コースを整理しています。

▼一般社団法人日本IT団体連盟、「企業レジリエンス向上のためのサイバーセキュリティ演習マップ解説書」を公開

解説書ではサイバーセキュリティ演習の分類整理をセキュリティ人材の役割、そして演習の提供形式にフォーカスして行っています。セキュリティ人材の役割はIPA（情報処理推進機構）のITSS＋※1（セキュリティ領域）で提示されている17分野を活用し、演習の提供形式は独自に9つに分類※2しているため、非常に分かりやすい構成に仕上がっています。

訓練の実施にあたっては、この「サイバーセキュリティ演習マップ解説書」を参照し、必要と思われる演習内容を検討し、次に「サイバーセキュリティ演習マッピングリスト」を利用して具体的な演習を検討していくのも一つの手段となります。

※2： (1) フルスケール演習、(2) 組織演習、(3) サイバーレンジチーム演習、(4) サイバーレンジ演習、(5) 実践演習・机上演習、(6) ハンズオン演習、(7) ゲーム形式(CTF)の組織演習、(8) 専門スキルコース（ハンズオン演習を含む）、(9) サイバー防災訓練・標的型メール演習

②計画と準備

ここでは、具体的な訓練内容を計画します。訓練目的の決定やシナリオの作成にあたって各部門が関心のある、もしくは懸念事項をヒアリングし、共同で検討して調整をおこなっていきます。シナリオの題材の候補としては、情報処理推進機構（IPA）が発表している「情報セキュリティ10大脅威」の最新版を参考にしてみるもの一つです。

▼情報処理推進機構「情報セキュリティ10大脅威 2021」

【リスクシナリオの例】

【訓練計画例】

③訓練実施

訓練本番では当初定めた目的を踏まえ、参加者ひとりひとりが、「実際にインシデントが発生した際に対応が可能か」、「改善可能な点はないか」などを考え、訓練に取り組んでもらう必要があります。訓練といえども当事者意識を持ってもらい、傍観者を出さず、いざというときに前向きに連携・協力関係を築けるように、事前教育や、訓練時の一体感醸成、訓練後の成果創出に努める必要があります。

実際のインシデント対応訓練に入る前に、座学等の事前教育を実施し、リスクの内容や検知手段、内外の対応と判断に必要なITの素養を獲得してもらうことも大事です。また、十分な知見を持つ実務担当者であっても、インシデント対応前に文書の読み合わせと連携方法をひとまず確認し、実際のシミュレーションに入るとスムーズです。訓練実施後は振り返りや対応してきたことの講評を行い、体制や連絡調整、復旧手順などの課題洗い出しと認識、知識を共有します。また、できれば今後に繋がる改善策や方向性を議論していきましょう。

4.訓練後の確認事項

初動対応の定義、その後の対応フロー、再発防止手順など、参加者に対し、既存の対応手順の定着化を図ります。さらに、訓練や演習を通じ、組織体制の意義や手順書の重要性を浸透させることが重要です。また、インシデントを疑似体験することで、問題が無いと思われた対応手順の抜け漏れや、盲点に対する「気づき」の抽出に繋がります。電話不通時の連絡系統や、ネット遮断時の業務遂行方法、復旧までの手順を見直す一助としていきます。さらに、訓練最後の発表、講評において、現在の組織的な課題を認識し、今後の情報セキュリティ管理の改善に向けたヒントとし、組織全体としての情報セキュリティレベル向上のきっかけとしていきます。

その他の留意事項としては、インシデント発生時の行政や顧客、被害者など外部への対応に関することです。個人情報保護法では、情報漏えいが発生した可能性がある場合に個人情報保護委員会への報告を行うように定めています（現在は努力義務、2022年4月に義務化）。所定の報告内容（漏れた個人情報の種類や数、消費者への影響度合い、再発防止策など）をそろえる作業は膨大です。グローバルに事業を展開している会社であれば、利用者のいる各国の個人情報保護当局宛てに、それぞれの要件の異なる報告書を作成しなければなりません。

さらには顧客企業や被害者への説明・問い合わせ対応、上場企業であれば適時開示なども行う必要があります。これらは基本的にはカスタマーサポートやIRの担当部門が担うわけですが、通常の問い合わせに加え、クレームなども多く発生します。そこに手を取られる割合も多く、業務量が膨大になり、精神的にも疲弊していくことになります。社内で役割分担を明確にするだけでなく、事故対応に熟練した危機管理専門企業や、PR会社、弁護士などの外部専門家と事前に連携や態勢を築いておくこともとても重要だということが見えてくるはずです。

5.これからも増える事故

日本企業をねらった身代金要求型のウイルスを使ったサイバー攻撃がここ最近相次いで明らかになっています。報道されているだけでも日本企業の海外の関連会社が攻撃を受けたと見られることがわかっており、化学素材メーカーや総合商社、医療機器メーカーが被害を受けています。

大企業へのサイバー攻撃は話題になり、昨今は毎月、毎週のように取り上げられていますが、かならずしも大企業ばかりが標的にされるわけではありません。

4年前の2017年6月、大阪商工会議所では会員である中小企業からサイバーセキュリティ関係の相談が増加していることを受けて、サイバー攻撃に対する意識調査、現状の対策、被害状況についてアンケート調査を行いました。その結果、特筆すべきは標的型攻撃メールを受けているだけでなく、ランサムウェア（身代金要求ウイルス）に感染し、各種サーバやパソコンが動作しなくなる被害を受け、しかも要求に応じて身代金を払っている企業が存在することでした。それが1社や2社ではなく、回答に応じた大阪の中小企業315社のうち、22社もあったということです。

予算も潤沢で人材も豊富な企業ならいざ知らず、とりわけ予算も人材も余裕がない中小企業では、すべての脅威に対して対抗策を講じることは難しく、これがいま、日本国内のセキュリティ事情における大きな課題だとも言えます。また、専門知識や専門の人材の不足が現しているとおり、弊社が過去に発生した情報漏えい事案において、「実は導入していたツールに原因を防ぐための機能は備わっていたが、その存在を知らずに初期状態のまま運用していたため、漏えいを防ぐことができなかった」というケースも少なくはありません。つまり、どんなに高価で高機能なソリューションを導入しても、理解がないままに運用していては、意味をなさないことも十分有りうるということです。

ここまで訓練や演習の重要性について述べてきましたが、一企業が自力でサイバー攻撃などを想定した従業員向け訓練を実施することは容易ではありません。インシデントの再現や、実機を使用するハンズオン形式の訓練は自社のみでやるのは事実上困難なことが多く、専門の会社に委託するのが一般的であり多いのが実情です。セキュリティベンダーがサイバー攻撃対応訓練をサービスとして提供していますが、訓練や演習は実施すること自体が目的はなく、訓練後の啓発や事業継続を踏まえた対応体制の整備に繋げていくことが重要です。危機管理に関する知見や視点も大事なポイントになりますので、緊急事態対応にかかるトレーニングや体制づくりをご検討される場合は、是非弊社にもご相談ください。

２．最近のトピックス

▼経済産業省「事業者におけるテレワーク等の実施状況を取りまとめました」

経済産業省は5月19日、各企業・団体から5月18日までに回答のあったテレワーク等の実施状況について、取りまとめたものを公表しました。

政府では2021年5月7日改訂の「新型コロナウイルス感染症対策の基本的対処方針」を踏まえ、経済団体に対し在宅勤務（テレワーク）の活用等による出勤者数の7割削減の実施状況について、各事業者が積極的に公表し取組を促進するよう要請しました。同省によると5月18日時点で出勤者数の削減を公表しているのは292団体で、都道府県別に見ると東京都177団体、大阪府39団体、埼玉県・神奈川県9団体、北海道・愛知県7団体の順で全体の6割を東京都が占めています。同様に業種別に見ると製造業が85団体、情報通信業が35団体、サービス業が30団体となり、製造業が3割近くを占めています。

また各事業者の出勤者数の削減の好例として、製造業A社と教育・学習支援業B社、小売業C社の3社について紹介しています。

• 製造業A社ではテレワーク推進のため、生産、販売、物流、研究を除き、業務上可能な限り最大限在宅勤務を実施するよう周知徹底し、出社が必要な場合も時差出勤を奨励、会議や研修は原則オンライン化を図っている。
• 教育・学習支援業B社では、出勤者の削減のため月間の在宅勤務の回数制限を撤廃し、オンライン会議システムやビジネスチャットなどのITツールを活用し、原則として在宅勤務態勢に移行、出社時もオフピーク通勤を徹底している。
• 小売業C社では、テレワーク推進のため目標数値を徹底するとともに、実施に当たりテレワーク手当を支給、環境整備のため全社員への携帯電話貸与やペーパーレス・はんこレス化を実施した。

新型コロナウイルス感染症のパンデミックにより一気に広まったテレワークですが、半強制的に導入せざるを得ない状況だったこともあり、環境整備が追いつかないまま、実施に踏み切った企業も多くあります。新たな感染症を想定すれば、今後も多くの企業がテレワークを何らかの形で継続、導入することにならざるを得ません。このような状況のなか、あらためて確認しておきたいのがテレワーク環境の再点検とセキュリティ対策です。

テレワークの浸透により高まるセキュリティ上のリスクや被害については、新型コロナ感染拡大以降での具体例はまだあまりなく、全貌は見えていないのが現状です。ただし、自宅で使用する機器やパソコンの安全性が確保されていない状況などを鑑みると、社内でイントラネットを利用するよりは、サイバー攻撃による情報漏えいなどの危険性は高くなります。

テレワーク環境に対するサイバー攻撃の被害があらためて認識されるまでには、もう少し時間がかかると思います。顕在化するまでは何か月も気付かれないままリスクが潜在し、深刻化している可能性があるからです。「今、何も起きていないから大丈夫」という認識は間違っており、そのリスクについては危惧されることです。また、従業員がその気になれば、重要な情報を自宅のプリンタで印刷したり、USBメモリにコピーしたりできてしまいます。さらに、悪意はなくとも、誤操作によって情報漏えいにつながる事件や事故が起きる可能性は確実に高まります。しかも万が一、自宅に持ち帰ったPCがマルウェアに感染したり、重要な情報がUSBメモリにコピーされたりしても、企業ではそれを把握する術がありません。「それが判明するのは実際の被害や、情報漏えいが顕在化してから」という事態は、企業としても避けたいところです。

▼経済産業省「サイバーセキュリティ体制構築・人材確保の手引き」

経済産業省は4月26日、「サイバーセキュリティ体制構築・人材確保の手引き」の最新版「第1.1版」を公開しました。

経済産業省では、独立行政法人情報処理推進機構（IPA）とともに、経営者のリーダーシップのもとサイバーセキュリティ対策を推進するための「サイバーセキュリティ経営ガイドライン」を策定しています。さらに企業の経営層に加え、人事担当者・実務者が、体制構築・人材確保において考慮すべき要点をまとめた「サイバーセキュリティ体制構築・人材確保の手引き」（第1版）を、2020年9月に公開しています。

この手引きは、「サイバーセキュリティ経営ガイドライン」における“担当幹部（CISO等）に指示すべき「重要10項目」”のうち、指示2「サイバーセキュリティリスク管理体制の構築」と、指示3「サイバーセキュリティ対策のための資源（予算、人材等）確保」について検討の助けになることを目的とした内容となっており、重要事項を箇条書きで示した「ポイント」、有用と思われる内容を囲み記事の形で紹介する「コラム」などが用意されています。

「第1.1版」では、第1版に対して内容の拡充や見直しを行い、サイバーセキュリティ対策に従事する人材の確保方法、必要となるスキルの習得に活用可能な資格制度、サイバーセキュリティ対策に従事する人材育成のイメージなどが追加されました。

「サイバーセキュリティ体制構築・人材確保の手引き」（PDFファイル）は、経済産業省の公式サイトから無償でダウンロード・閲覧可能です。

サイバーセキュリティの体制構築には、経営層をはじめとし、全従業員の協力が欠かせません。特にインターネットを活用したビジネスモデルの拡大が進む昨今においては、その事業を推進する事業部門がサイバーセキュリティを意識することが重要です。ガイドラインや手引きを自組織の体制構築に役立ててください。

▼内閣サイバーセキュリティセンター「「政府機関等における情報システム運用継続計画ガイドライン」の改定について」

内閣サイバーセキュリティセンター（NISC）は4月28日、「中央省庁における情報システム運用継続計画ガイドライン」の改定を発表しました。本ガイドラインは2011年3月に、内閣官房情報セキュリティセンターで初版を策定、2012年5月に優先的に取り組むべき対策例一覧等を追加し第2版に改定しています。今回改訂する第3版では、感染症の流行と技術動向の変化に係る内容を追加し、利便性向上を目的に構成を見直し、「政府機関等の情報セキュリティ対策のための統一基準群（平成30年度版）」との整合性を図り、対象組織に独立行政法人及びサイバーセキュリティ戦略本部が指定する法人を加えています。

本ガイドラインでは、特定された危機的事象の発生時に情報システムにおいて生じる被害を想定し、情報システムの抱えるリスクを明らかにすることを目的に、検討事項として以下の項目を挙げています。

1. 情報システムの運用を継続する最高責任者及び責任者は、危機的事象が発生した際の情報システムに係る下記の被害を想定に含める。
   （a）大規模災害発生時の被害想定
   （b）情報セキュリティインシデント発生時の被害想定
   （c）感染症発生時の被害想定
   （d）その他危機的事象発生時の被害想定
2. 政府機関等として取組の整合性を確保するため、業務継続計画の被害想定を活用する。
3. 情報システムの抱えるリスクの算定が複雑となることから、細かすぎる被害想定を避ける。

情報システムの運用を継続する最高責任者及び責任者が想定すべき例として、「大規模災害発生時の被害想定例」「情報セキュリティインシデント発生時の被害想定例」「感染症の流行時の被害想定例」を取り上げ、それぞれ人的資源、建物・設備、情報システム、外部組織を被害想定対象として概要を紹介している。特に「感染症の流行時の被害想定例」では、情報システム運用業務に従事する要員が感染症へ罹患または濃厚接触者としての想定を具体的に挙げています。

▼警察庁「犯罪インフラ化するSMS認証代行への対策について」

警察庁は4月22日、犯罪インフラ化するSMS認証代行への対策について発表しました。「SMS認証」は、ショートメッセージサービス（SMS）で利用者の番号に認証コードを通知し当該コードを用いて認証する方式で、通常は本人確認済の携帯電話の番号に当該認証コードが通知され、金融機関等においては、ID・パスワードによる認証に加え、SMS認証を利用者に実施させる「二経路認証」を採用し、なりすまし等による不正認証を防止しています。

しかし「SMS認証代行」では、通信事業者とSMS機能付データ通信に係る契約を行い、利用者に当該契約に係る番号を提供、あるいは当該番号に通知された認証コードを利用者に代わって受領し利用者に提供することで、なりすまし等による不正アカウントの設定が可能となります。通信事業者の中には、本人確認をすることなくSMS認証代行と契約することがあり、警察捜査における事後追跡性の確保に支障が出ています。

2020年度サイバーセキュリティ政策会議では報告書にて、通信事業者による契約時の本人確認の徹底や犯罪インフラを提供する悪質事業者の摘発強化を提言、一般社団法人日本IT団体連盟はSMSを用いた二経路認証の抜け道になっているとして契約時の本人確認の提言を行っています。

警察庁では1月に、総務省と連携し一般社団法人テレコムサービス協会MVNO委員会に対し、契約時の確実な本人確認を要請、同委員会では加盟事業者の自主的な取り組みとしてSMS機能付データ通信契約に係わる本人確認を実施することを申し合わせしています。また警察庁では、都道府県警察に対し、SMS認証代行を含む犯罪インフラに関し、法令に違反する悪質事業者への取り締まり強化を指示しています。

「音声通話SIM」であれば、契約の際に身分証明書の提出など本人確認が義務付けられますが、「データSIM」にはそうした規制がなく、格安スマホを扱うMVNO（仮想移動体通信事業者）などを通じて手軽に購入できることから、代行業者の多くは「データSIM」を悪用している実態があります。

このような代行は、振り込め詐欺に使われる通話アプリの認証などで悪用の幅が広く犯罪インフラ化が強く懸念されるところですので、取り締まりの強化による効果が期待されます。

３．最近の個人情報漏えい事故（2021年3月、4月）

下記の表は、今年3月と4月に発生した報漏えい事故やトラブル一覧です。会社や組織で公表されているもので、かつ当社で把握しているものであり、国内すべての事案というわけではない点につきましてはご了承願います。

「44」「45」「47」は、行政機関より公共事業を広く受託している事業者でランサムウェアの感染被害が発生した問題です。その後の調査の結果、機密性が低い一部のファイルが閲覧されたものの、それ以外でファイルが外部に送信された痕跡などは見つからなかったとしています。同社においては、2021年2月に東京本社のサーバがランサムウェアに感染し、攻撃者によってサーバのデータが暗号化されたものです。外部にデータが流出した可能性もあるとして事態を公表し、外部セキュリティ事業者の協力のもと、調査を進めていました。なお、同社に業務を委託していた政府機関や自治体なども、流出の可能性についてアナウンスを行いました。

もし、ランサムウェアへ感染してデータが第三者に渡ってしまった後に実施可能な対策はほとんどありません。身代金を支払わなければ、業務の停止や機密情報の実質的な喪失など、攻撃者が意図した被害を受ける可能性があります。身代金を支払い、データを復旧できたとしても、再び同じグループや別のグループによるランサムウェア攻撃を受け、身代金を再度支払う羽目になります。相手に既に渡っているデータを回収する術はなく、また、身代金を支払ったとしても、今後一切のリークが発生しないことが保証されるわけでもありません。ほとんどの場合、身代金を支払うかどうかの決断を迫られた時点で、もう手遅れなのです。

このように、手遅れな状況やきっかけをつくらない基本的な対策をあらためて確認しておきたいところです。特に、ランサムウェアは、遠隔地の拠点やテレワーク中の社員の自宅のパソコンなど、相対的に安全性が低い場所から侵入し、企業システムの中枢に感染を広げる手口が一般的です。対策としてまずは、侵入のきっかけをつくらないことです。不審なメールの添付ファイルなどを不用意に開封、実行したりしないなど基本的な事項をあらためて周知するとともに、ウェブサイトにおける侵入防御、攻撃や改ざんなどの検知、脆弱性の検査や発見後の修正対応を講じ、可能であればネットワークやシステムなどにおける不審な通信などの兆候をできる限り監視し、マルウェア感染機器などを分離するといった対応が取れるように備える必要があります。

また、データ損失から復旧する手立てとして最も重要かつ一般的な方法は、定期的なバックアップです。ウイルスに感染しないような手段を講じるだけではなく、万が一に備えてファイルのバックアップを取っておくことは、複数ある防御策のうちの「最後の砦」であり、その手前で幾重にも防御の網を張り巡らせておくことで初めて効果的な対策が可能になります。また、重要データのバックアップを定期的に作成し、その「バックアップデータをオフラインで保管する」ことも重要な視点です。オフライン上でバックアップデータがあれば、PCシステムがランサムウェアに感染し、ハッカーがファイルの暗号化解除と引き換えに暗号資産を要求しても、企業はシステムの状態をロールバックして、数週間または数カ月分のデータを失うだけで済ませることができます。

さらに、感染前の環境をそのまま再現するには、データ領域だけでなく、システム領域を含めたバックアップをとることが推奨されます。そうすることで、復旧のスピードも格段に速くなり、サーバだけでなくクライアントPCも同様に保護しておけば、いずれの場合でも感染前の状態に簡単に復元することが可能になります。バックアップは非常に重要な事後対策ですが、事業継続性も考慮の上、適切な復旧方法を選択することも極めて重要です。データが増加すれば、バックアップにかかる時間や、保管するデータ容量、復旧にかかる時間が無視できなくなりますし、バックアップデータが正常に保管できており、問題なく復旧できる状態であるか整合性を確認しておくことが重要です。

【その他参考情報】

内閣サイバーセキュリティセンター（NISC）は4月30日、重要インフラ事業者等に向けてランサムウェアによるサイバー攻撃について注意喚起を行いました。NISCでは、日本国内でもランサムウェアによるサイバー攻撃が活発化し、クライアント端末だけでなくサーバへの被害も確認される中、ランサムウェア感染によるデータの暗号化、業務情報や個人情報の窃取等の被害は、経済・社会に大きな影響を与えることを踏まえ、予防策、感染した場合の緩和策、対応策等を検討するよう呼びかけています。NISCでは対策について、予防、検知、対応、復旧の観点から行う必要があり、以下の通り具体的な例を示しています。

▼内閣サイバーセキュリティセンター「ランサムウエアによるサイバー攻撃に関する注意喚起について」

セミナーや研修について

当社ではSNS利用上のリスクや情報管理（主に情報漏えい対策）に関して、セミナーや研修を企業・自治体・学校、病院等の分野で数多く実施しております。

セミナーや研修を通じて、新社会人（新入生）に限らず、全社的に教育を実施しインターネットの特性や情報リテラシーの理解、意識の向上を検討されている際は是非ご相談ください。

【お問い合わせ】
株式会社エス・ピー・ネットワーク 総合研究部
Mail：souken@sp-network.co.jp
TEL：03-6891-5556

• サイバーセキュリティ
• 情報セキュリティトピックス
• 個人情報