2023年11月15日情報セキュリティ

今後、情報セキュリティ関連担当者に求められていくこと

「情報セキュリティに関わる担当者に求められること」は多岐に渡りますが、その1つとして「情報セキュリティ対策・サイバー攻撃への対策」が挙げられます。

それらが新しい技術や社会問題等による変化で複雑化していることを踏まえ、本記事では、基礎的な対策から、情報収集のリソース紹介、最新の情勢までを分かりやすく解説します。

情報セキュリティを取り巻く環境変化と背景について

情報セキュリティの基準や常識は時代の変化や技術の発展とともに定期的に、ときには急激に変化していきます。

社会情勢の変化や技術の進歩に伴い、新しいセキュリティリスクが発生したり、新たな対応方法が生まれることで、組織に求められる知識や対策もアップデートが必要であることは疑いようがありません。

代表的な背景の一つに、“急激なクラウドサービスの普及とプライバシー保護の必要性の高まり”が挙げられます。クラウドサービスの普及背景として、自社ですべての責任を持つオンプレ環境中心から、導入や運用が容易なクラウドサービス（AWS等）の併用により、脅威に対してのリスク対策範囲が増加する等の課題が生じているのではないでしょうか。

これらの流れを受け、「ISO/IEC27001:2022(ISMS)」も約10年ぶりとなる改訂が行われ、2022年10月に発行されました。タイトルに着眼するだけでも「情報技術 -セキュリティ技術- 情報セキュリティ管理策の実践ガイド（2013）」から2022年版は「情報セキュリティ、サイバーセキュリティ及びプライバシー保護 – 情報セキュリティ管理策」と、リスク対策として想定する範囲が実質的に広がっていることが分かります。

昨今のサイバー攻撃被害

国内でのマルウェア感染被害等による事件が増加傾向にあり、ダークウェブ等による不正に取得した内部情報の取引によって、情報漏えいやランサムウェアの被害へ繋がっています。国内でも、大企業だけでなく中小企業での情報漏えい事故が増えてきている傾向にあります。

警察庁の発表による統計によると、届出のあったランサムウェア被害は令和2年下半期では21件でしたが、令和3年以降、高止まりの様相を見せており、令和5年上半期では103件でした。また、マルウェア感染の元となるフィッシング件数も前年同期で17.9%増加しており、クレジットカード会社を装ったものが多く見られました。

引用：

このような事は何故年々増え続けているのでしょうか？その背景として、企業が様々な事情からセキュリティ対策を後手に回さざるを得ない状況になっている為とされています。そこで、前回の経営層向け情報セキュリティ対策に続き、情報セキュリティ担当者に求められる対策を、本記事でおさらいしていきましょう。

情報セキュリティ担当者に求められること

情報セキュリティ担当者の使命は、組織の情報資産を保護し、セキュリティリスクを最小限に抑えることです。リスクアセスメントやセキュリティインシデント発生時には経営層や外部専門家との連携を行い対応していく必要があります。情報セキュリティポリシーや規程類の策定で終わることなく、実践すべき情報セキュリティ対策を確認していきましょう。

以下は情報セキュリティ担当者/管理者が抑えるべき一般的な項目となります。これらに加え、適切な情報収集を踏まえたアップデートが重要です。

1.技術的対策

1.1 ソフトウェアの更新
- ・ソフトウェア（アプリケーション、ファームウェア等）を最新にし管理する
- ・特に緊急性の高い脆弱性の更新プログラム適用は優先して実施する

1.2 ウイルス対策
- ・ウイルス対策ソフトの導入および検知用データの最新化と一元管理を行う
- ・マルウェアの検知や感染時の初期対応は組織内に周知する

1.3 ネットワークの防御
- ・ファイアウォール導入後は不正アクセスへの防御を維持する
- ・ファイアウォールに不正アクセスの自動遮断機能があれば活用する
- ・侵入検知システム（IDS）や侵入防止システム（IPS）を導入し適切に運用する
1.4 不正アクセスによる被害と対策
- ・想定される侵入経路や被害(ホームページの改ざん、データ窃取等）を洗い出す
- ・IT機器の利用制限やファイルへのアクセス管理
- ・サーバで利用するアプリケーションやサービスは最低限にする

1.5 テレワークで業務用端末を利用する場合の対策
- ・情報セキュリティポリシーを定めデータの保護や持ち出しを管理する
- ・テレワークセキュリティを自社のポリシーに合わせて検討する
1.6 SQLインジェクションへの対策
- ・Webサイトは感染リスクがあるためWAF導入を検討する
- ・データベースアカウントの権限やアクセスログ等によるセキュリティ管理を行う
- ・対策：ウェブアプリケーションファイアウォール（WAF）
1.7 標的型攻撃への対策
- ・入口対策：ウイルス対策ソフト導入および適切な運用、ふるまい検知等の対策
- ・出口対策：ログによる早期検知、暗号化等を行い流出データ
1.8 安全な無線LAN利用の管理
- ・無線LANの管理パスワードの強化を行う
- ・設定項目の確認（暗号化、認証等）を行い適切か確認する
1.9 ユーザ権限とユーザ認証の管理
- ・管理者や利用者ごとの適切なユーザ管理およびアクセス制限を行う
- ・適切なルールによるパスワード管理を行う
1.10 バックアップの推奨
- ・サーバおよびPC等、バックアップ対象を明確化する
- ・バックアップの方法、保管方法・場所、復旧等の適切な運用を実施する
1.11 セキュリティ診断
- ・定期的な脆弱性診断、プラットフォーム診断を行う
- ・疑似的なサイバー攻撃を行いアプリケーション等の攻撃耐性を診断する
1.12 ログの適切な取得と保管
- ・ログ管理は適切な時刻同期、ログ保管方法とバックアップを検討する
- ・重要なログを整理する（FWログ、IDSログ、アクセスログ、認証ログ、エラーログ、監査ログ等）
1.13 サポート期間が終了するソフトウェアに注意
- ・ソフトウェアのサポート期間を把握しリプレイスに備える
- ・開発ライブラリ等もサポート期間やアップデートを確認し対応計画を立てる
1.14 防御モデルの解説
- ・組織での想定されるサイバー攻撃を把握する
- ・人、組織対策としてインシデント対応計画、計画の実行
- ・技術的対策として事前の低減策、検知後の拡大防止、被害の最小化・再発防止を考慮する

2. 情報セキュリティポリシーおよび個別トピックの方針群

2.1 情報セキュリティポリシーの導入と運用
- ・情報資産（データ、ファイル等）の重要度分類を行い適切に管理する
- ・ポリシーの運用には「計画」「導入・運用」「評価」「見直し」を考慮する
- ・評価、見直しは情報セキュリティ監査を検討する

2.2 ソーシャルエンジニアリングの対策
- ・ポリシーやルールにソーシャルエンジニアリングを考慮する
- ・ショルダハッキングやトラッシング(ゴミ箱の捨てられた資料)への対策を検討する

2.3 クラウドサービスを利用する際の情報セキュリティ対策
- ・情報資産をクラウドサービスに預けるという利用が増えている
- ・アカウント情報の管理不備から不正アクセスに結びつく場合がある

2.4 SNSを利用する際の情報セキュリティ対策
- ・情報発信においてブランドイメージを損なわないよう方針を決める
- ・アカウントや投稿内容を適切に管理する
- ・なりすましアカウントの監視、対策を検討する
2.5 社員の不正による被害と対策
- ・内部不正の被害を減らすために、すべての業務従事者に適切な権限を設定する
- ・電子データに対する情報管理の意識を高めること（犯罪行為等）