進化する攻撃方法　4

今までサイバー攻撃の予防や回避に有効だった対策が、時間の経過とともに効果がなくなり、どんどん新しい攻撃方法が出現してきています。

とはいえ、やはり、サイバー攻撃を防ぐ基本はあります。独立行政法人情報処理推進機構(IPA)では「日常における情報セキュリティ対策」として、下記の対策を推奨しています。

日常における情報セキュリティ対策

シングテル ブログの「進化する攻撃方法」の1～3までで見てきたように、ハッカーからのサイバー攻撃は明らかに巧妙になってきています。

今までサイバー攻撃の予防や回避に有効だった対策が、時間の経過とともに効果がなくなり、どんどん新しい攻撃方法が出現してきています。

とはいえ、やはり、サイバー攻撃を防ぐ基本はあります。独立行政法人情報処理推進機構(IPA)では「日常における情報セキュリティ対策」として、下記の対策を推奨しています。

日常における情報セキュリティ対策

1.情報持ち出しルールの徹底
2.社内ネットワークへの機器接続ルールの徹底
3.修正プログラムの適用
4.セキュリティソフトの導入および定義ファイルの最新化
5.定期的なバックアップの実施
6.パスワードの適切な設定と管理
7.アクセス権限の再確認

<組織の利用者向け>
1.修正プログラムの適用
2.セキュリティソフトの導入および定義ファイルの最新化
3.パスワードの適切な設定と管理
4.不審なメールの取り扱いの徹底
5.USBメモリ等の取り扱いの徹底
6.ソフトウェアをインストールする際の注意
7.パソコン等の画面ロック機能の設定

長く会社で働いていたり、パソコンを使っていたりすると、これらの項目は、一度は聞いたことのある項目ばかりだと思います。一見、ごく当たり前のことのように見えて、鼻で笑ってしまうかもしれませんが、これらの一つ一つを着実に実行していれば、かなり広範囲にサイバー攻撃を防ぐことができます。たとえば、もし、上記の項目を一つも実行していなかったら、サイバー攻撃を仕掛けられた際に、100回攻撃されたら100回感染するところを、上記、全てを実行していれば100回攻撃されたら98回は回避できるというような感じです。100回、98回というのはあくまで参考の数字ですが、過去の事例を見る限りほとんどの攻撃は防げるという意味です。

不幸にも残りの2回は感染してしまうかもしれません。その2回とは、本当に最新版の手口のサイバー攻撃で、セキュリティソフトも対応が追いついていない攻撃だったり、ファイルレス攻撃のような、「リンクファイルをクリックさせて、パソコン内でスクリプトを実行し、加工済みのウイルスをダウンロードし、ダウンロードした加工済みのウイルスをパソコン内で復元して攻撃を実行する」というような複合的なサイバー攻撃だった場合には、上記の対策を実施済みでも被害が出てしまうかも知れません。

上記の「日常における情報セキュリティ対策」を実施した上で、さらに未知の攻撃、高度な攻撃に対応するために、改めて「脆弱性診断」を実施したり、「ペネトレーションテスト(システムを実際に攻撃して侵入を試みるテスト)」を実施したり「不正検知システム」を導入するなど、専門家が提供するセキュリティソリューションを利用することも一つの選択肢です。

サイバー攻撃の手口が巧妙に進化していますが、幸いなことに、企業側もなんとか守りきれているようです。その証拠として、電気、ガス、水道、原子力、鉄道、高速道路など、IT化しているにもかかわらず、今日も正常に稼働しています。世界にこれだけパソコン、サーバー機器が増えても、問題なく動作しているのは、サイバー攻撃の被害を予防、回避できているからです。

パソコン、サーバー機器、スマートフォンなどデジタル機器は全てサイバー攻撃の対象になります。インターネットにホームページを公開していれば、全世界のハッカーから24時間365日、攻撃の対象となります。そのホームページの中に、顧客情報やクレジットカード、企業秘密が入っていれば、鉄壁の防御をしなければなりません。

世界中を見渡せば、一度に何千万件もの個人情報が流出したというニュースも聞かれます。日本では、厳しい報道姿勢、厳しい消費者のことを考えると、数万件レベルの個人情報の流出でさえ、企業イメージや企業経営に大きな痛手をもたらします。

事業規模が大きくなり、社会における知名度が高ければ高いほどハッカーからも注目され、攻撃の頻度もレベルも高まります。長く、安定してビジネス継続するには、システムの安定性も重要になってきます。

従業員一人一人の日頃のセキュリティ意識の維持と向上に加え、定期的なシステム診断と対策を実施しておけば、万が一最新版の攻撃をしかけられたとしても被害を最小限に抑えることができます。