IT業界にいると「ちょっと気になる」そんな話題をサクッと解説する本連載。エンジニアスタイルの9月はセキュリティ強化月間とし、今この時代に直面するセキュリティの問題をご紹介します。
まずこの記事では「情報漏えいの原因は、本当にサイバー攻撃なのか？」について。情報漏えいのニュースがテレビで報じられると、多くの企業がサイバー攻撃への対策に注目します。しかし、情報漏えいへの対策を考えたとき、サイバー攻撃に備えるのは果たして有効なのでしょうか？普段から気を付けるべき現実的な対策について解説します。
情報漏えいの原因は、本当にサイバー攻撃なのか？
情報漏えいの原因として、図のような統計があります。4年ほど前のデータですが、最近のニュースを見てもその傾向は大きくは変わっていません。
▲ 図）特定非営利活動法人日本ネットワークセキュリティ協会
2018年 情報セキュリティインシデントに関する調査報告書【速報版】
https://www.jnsa.org/result/incident/2018.html より
情報漏えいというと外部からの攻撃やウイルス感染を想像する人が多いかもしれませんが、紛失・置き忘れや誤操作、管理ミスと言った人為的な原因で多く発生していることがわかります。
不正アクセスによる情報漏えいも3番目に位置していますが、情報システム部門やシステム開発会社など詳しい人でなければサーバーに対する不正アクセスへの対策は困難でしょう。
つまり、一般的な利用者における現実的な対策として、不正アクセスやセキュリティホールを狙った攻撃に対応するよりも、人為的なミスに対応する方が情報漏えいに対しては効果的だといえます。
具体的には、情報資産を取り扱うときのルールを決め、従業員に対する教育を実施してその遵守を求める方法が考えられます。
ウイルス対策ソフトが検知しない＝ウイルスに感染していない？
セキュリティについてのアンケートを実施すると、多くの企業が「ウイルス対策ソフトを導入している」ことを対策の例として挙げます。実際、大企業だけでなく、中小企業でもウイルス対策ソフトを導入していない企業はほぼなくなりました。
Windows 8以降では、標準でWindows Defenderが導入されていますし、パソコンを購入した時点で何らかのウイルス対策ソフトが導入されています。それなりの規模の企業になれば、企業向けのウイルス対策ソフトを導入して、更新状況を一元管理していることでしょう。
しかし、導入しているから安心だということはありません。ウイルス対策ソフトが検知していないから問題ない、と思っていませんか？
実は、新しいタイプのウイルスは検知されにくい。その理由は？
もしもあなたが新たなウイルスを開発したなら、それを配布する前に、ウイルス対策ソフトで検知されるかどうかを確認するでしょう。そして、検知されないことを確認してから配布するはずです。
つまり、まったく新しいタイプのウイルスであれば、多くのウイルス対策ソフトは検知できません。もちろん、ウイルス対策ソフトのメーカーも新しいウイルスに対応するためにパターンファイルを更新し、検出できるように新たな手法を使っていますが、未知のウイルスに対応するまでには少し時間がかかります。
このため、独自のウイルスが開発され、ウイルス対策ソフトのメーカーが気づかないウイルスが社内に広がっているかもしれません。既存のウイルスに対してはウイルス対策ソフトが有効ですが、検知できないのであれば「ウイルス対策ソフトを導入しているから大丈夫」という判断は対策として不十分です。
怪しいメールは、開かない！というのは、専門家でも難しい？
情報漏えいの対策にしても、ウイルスへの対策にしても、すべての従業員が高度な技術に対応することは不可能です。
そこで、一般的には怪しいメールを開かない、不審なサイトにはアクセスしないといった方法があります。では、「怪しいメール」とはどんなメールでしょうか？「不審なサイト」だとアクセスする前に判断できるでしょうか？
最近では、メールの文面も工夫されており、「怪しい」という判断は難しくなっています。本文も正しい日本語が使われており、差出人の名前やメールアドレスは簡単に偽装できます。このため、専門家でも「怪しいメール」を開かないというのは難しくなっています。
そこで、そもそもメールのリンクはクリックしない、ファイルはメールの添付ファイルではやりとりしないといった対応が求められています。フィッシング詐欺に遭うことを避けるために、メールのリンクをクリックするのではなくWebブラウザのお気に入りからアクセスする、ファイルを送受信するときは事前に共有したオンラインストレージを使う、などの方法が有効です。
また、新たな攻撃に対応するためには、ソフトウェアのアップデートも必須です。パソコンやスマホでWindows Updateや各種ソフトウェアの更新プログラムを実行するとともに、ルーターやプリンタなどの周辺機器についても、ファームウェアのアップデートを定期的に確認するなどの対策を呼びかける必要があります。
・・・
いかがでしたか？決して他人事ではないセキュリティ問題。専門的なサイバー攻撃に備えるだけでなく、基本的な対策の徹底や、最新情報の入手を心がけていきたいものです。
そうはいっても「具体的な方法がわからない。テレワークで質問しづらいし…」と思う方もいらっしゃるのでは。ということで、9月中旬掲載を予定している「今さら聞けないセキュリティマナー」では、今この時代に合った対策・手順をQ＆A形式でご紹介します。過去のセキュリティの常識は、現在の非常識になることもあるのだとか。こちらもお楽しみに。
▼これまでのサクッとわかるITトレンド
・Pythonはなぜこれほど人気なのか
・大人も自由研究！IoTでプログラミングを体験しよう
