基礎知識
企業存続の脅威となるサイバー攻撃に備える
2018年11月9日
現代ではインターネットやメールは、ビジネスに欠くことのできないツールとなっています。また、生産性の向上や働き方改革を進めるためには、モバイル端末による社内業務サーバーへの接続や場所を問わず利用できるクラウドサービスなど、今まで以上にICT（情報通信技術）の活用が必要です。
その一方で、インターネットを業務で利用する以上避けては通れないサイバー攻撃のリスクにも備える必要があります。ここでは企業が取るべきサイバー攻撃対策について考えます。
被害件数、被害額とも増加するサイバー攻撃
一口に「サイバー攻撃」といっても、その目的や手法はさまざまです。
サイバー攻撃は一般的に、“サーバーやパソコンやスマホなどのコンピューターシステムに対し、ネットワークなどを通じて破壊活動やデータの窃取、改ざんなどを行うこと”を指します。
サイバー攻撃の標的になるのは組織や企業だけでなく、個人が狙われるケースもあります。その目的は金銭目的や怨恨、単なる愉快犯などさまざまです。
JNSA（Japan Network Security Association ／NPO日本ネットワークセキュリティ協会）の調査では、2017年に発生した主なインシデント（サイバー攻撃）は合計386件で、想定される賠償額は1,914億2,742万円にもおよびます。1件あたりに換算すると、賠償額は約5億円になり、中小企業以下であれば企業の存続を脅かすほどの金額といえます。
また、財務的に体力のある大企業であったとしても、サイバー攻撃により個人情報などが漏洩したことによる社会的信用の失墜とのその回復にかかるコストを想像すると、企業経営に著しい影響を与えるのは間違いないでしょう。
つまり企業規模を問わず、サイバー攻撃対策は企業活動に必須の取り組みなのです。
巧妙化し、発見しにくくなっているサイバー攻撃
サイバー攻撃にはさまざまな種類があり、その方法も巧妙化するなど日々進化しています。ここでは、近年被害が増加している代表的なサイバー攻撃について紹介します。
| 主なサイバー攻撃の種類 | ||
|---|---|---|
| 特定のターゲットを狙った攻撃 | 標的型攻撃 |
|
| ランサムウェア |
|
|
| 負荷をかける攻撃 | DDoS攻撃 |
|
| OS/ソフトウェア/WEBサイトなどの脆弱性を狙った攻撃 | ゼロデイ攻撃 |
|
| パスワード関連の攻撃 | ブルートフォースアタック（総当たり攻撃） |
|
| パスワードリスト攻撃 |
|
|
サイバー攻撃から企業を守るためには
では、これらのようなサイバー攻撃からシステムや情報を守るためには、どのような対策を取ればいいのでしょうか。企業のネットワークやデータをサイバー攻撃から守るためには、「多層防御」という考え方が欠かせません。
多層防御は、「入口」「出口」「内部対策」のそれぞれの視点から、複数のセキュリティソリューションを活用して防御壁を何層も作り、トータルの防御力を高めるアプローチです。
例えば、サーバー（ファイアウォール）、PC（セキュリティソフト）、データ（暗号化）など、多段階で守りを固めることで、侵入に手間がかかるセキュリティ環境の構築が可能になります。
また、「侵入」を前提とした対策であることも特長です。高度化する未知の攻撃方法に対して、入口部分で検出できないケースもあるため、防御するだけでなく検出ポイントを増やし、最終的に出口での対策を強化することで攻撃目的の達成を阻むという考え方です。
多層防御の詳細につきましては、「多層防御とは」の記事をご確認ください。
サイバー攻撃への対策では、
- WindowsやmacOSなどOSを最新版にアップデート
- 利用しているソフトウェアを最新版にアップデート
- 信頼できるセキュリティ対策ソフトの導入
などをきちんと実施したという前提で、必要な対策が機能するかどうか、万が一攻撃を受けた場合に企業としてどのような対応を取るべきかを、事前に準備しておくことが重要です。
総務省では、官公庁・民間企業などにおける人的、技術的視点から見たサイバー攻撃（標的型攻撃）対応方策の検討を行い、「サイバー攻撃（標的型攻撃）対策防御モデルの解説」を策定しています。
2020年の東京オリンピックに向けて、テロ対策に加えて重要インフラを狙ったサイバーテロや、それに便乗したサイバー攻撃が発生する危険が想定されています。多様化するサイバー攻撃に備え、多層的なセキュリティ対策を進めていくことが、すべての企業や組織にとって、ますます重要になります。
