いつの時代にもあるセキュリティ課題。古くから知られているものもあれば、最近になって注目されているものもあります。
その中でも今回は「2016年に注目されているセキュリティ課題」について取り上げていきます。
まずその課題と言うのが以下の4つのです。
- 被害が拡大するランサムウェア
- 2016年からスタートしたマイナンバー制度
- 内部不正による情報流出
- セキュリティ人材の不足
ランサムウェアやマイナンバー制度はまさに時事的な課題であり、内部不正や人材不足は以前から懸念されている課題です。
これらの課題に対し、改ざん検知はどのようにアプローチしていくことができるのでしょうか？
課題1：被害が拡大するランサムウェア
ランサムウェアとは不正プログラムによりファイルやPCを暗号化し、解除のために金銭を要求するという悪質なマルウェアです。「身代金要求型ウイルス」とも言いますね。
2015年から被害が拡大しているウイルスですがトレンドマイクロ社の調査によると、2016年上半期(1月～6月の)被害は1,740件(法人・個人全体)と前年比7倍も増加しています。
特に法人を狙った被害が顕著であり、前年比約9倍と圧倒的に拡大しています。
さらに問題なのは、多くの企業がランサムウェアを脅威として認識していないということです。
同じくトレンドマイクロ社の調査によると、34.8％の企業が「ランサムウェアの被害に遭うことはない」と考えているのです。
理由として多いのが「大企業や有名企業ではないから」というもの。しかし実態として、ランサムウェアは中小大企業問わずターゲットにしている傾向があります。
つまり国内企業であれば規模に関わらずランサムウェアに感染するリスクがあるということです。
ランサムウェアはこれまでの標的型攻撃とは異なり、高い技術も必要なく拡散型のサイバー攻撃と言われています。
従って攻撃者は無差別にばら撒くことで金銭を得ているのです。
改ざん検知で加害者にならない対策を
ランサムウェアに感染してしまうと金銭的損失が生じますが、もっと恐いのは気づかないうちに加害者になってしまうことでしょう。
なぜならランサムウェアの主な侵入経路は不正改ざんされたWebサイトであり、自社サイトが踏み台にされる可能性が十二分にあるからです。
この場合、金銭的損失はなくともユーザーや顧客からの信頼を失ってしまいます。直接的に金銭を要求されるよりも大きな損失です。
改ざん検知ではWebサーバを監視することもできるので、攻撃者による不正改ざんを見逃しません。
課題2：2016年からスタートしたマイナンバー制度
2016年1月からスタートしたマイナンバー制度。すでに社員及び扶養家族のマイナンバーを収集している企業は多いと思います。
そしてこのマイナンバーとは立派な個人情報ですので、企業には適切に管理する義務があるということはご存知ですね。
総務省でもマイナンバー管理に関するガイドラインがしっかりと策定されています。
マイナンバーの漏洩や紛失は個人情報保護法以上に重い罰則があるため、企業としては細心の注意を払って管理したいところです。
実は、あまり知られていないだけでマイナンバーに関する漏洩事件は既に起きています。
最も多いのは自治体による誤交付ですが、今後民間企業による漏洩事件が増加することは間違いないでしょう。
マイナンバーの利用価値は段階的に上がっていくものなので、攻撃対象となるのは時間の問題です。
改ざん検知で怪しい動きを見逃さない
攻撃者がマイナンバーを搾取しようとするとき、システムへの侵入経路は様々ですが結果的に何らかの不正改ざんを行います。
従って怪しい動きをいち早く察知するためにも改ざん検知対策が有効的です。
Tripwire Enterpriseでは、スナップショットを作成し、リアルタイムあるいは定期バッチで整合性をチェックすることで不正改ざんを検知しているので、攻撃者による動きを見逃しません。
マイナンバーは個人情報と紐付けての管理が義務化されているので、なおのことセキュリティの強化が必要です。
課題3：内部不正による情報流出
2015年は国内外で大手企業による大型の内部不正事件が相次ぎ、2016年においても危険視されているリスクです。
しかしニュースで報道されるものはあくまで氷山の一角であり中小企業を含め内部不正は日常的に発生していると考えています。
厄介なのは外部ネットワークからの侵入やウイルスによる攻撃ではないため、外部対策としてのセキュリティ製品では非常に気付き難いということです。
通常は機密情報へのアクセス制限や監査などを行うことで、内部の不正アクセスに対しての監視をするべきですが、会社の規模によってはこのような体制を行うリソースがなく対策をしていない場合があります。この場合、内部犯行があった際に社員を特定することが難しいでしょうし、未然に防ぐことができません。
このため内部犯行による情報漏えいは事後になって気付くというケースがほとんどでしょう。
改ざん検知で技術的監視
改ざん検知は企業システム全体を監視することができます。つまり個人を監視する必要はなく全体的にシステムの変更を監視できていれば、変更に伴う内外部の犯行を検知することができるのです。
内部犯行でもやはり不正にシステムへ改ざんを行い、中長期的に情報を搾取することがあるので改ざん検知対策は非常に有効的です。
課題4：セキュリティ人材の不足
経済産業省の調査によると2020年のセキュリティ人材不足は193,010人に上ると言われています。
日々進化しているサイバー攻撃に対し、有効的なセキュリティ対策を取れる人材が年々減少していくということです。
しかし中小企業ではスキルのあるセキュリティ人材を十分に確保するのが難しいという問題があります。
改ざん検知で人材不足を解消
改ざん検知のリーディングカンパニーであるTripwire(トリップワイヤ)ではシンプルな操作でシステムの監視、不正改ざんの検知、対処の自動化を行うことができます。
つまり十分な専門的知識がなければ運用が難しかったセキュリティソリューションの中でも、比較的容易に操作することができるのです。
Tripwire Enterpriseの持っている「抑止・予防・検出・回復」と言った全サイクルに渡ってのシステムセキュリティ強化や多様なデバイスを対象とし変更を可視化することで、運用管理の向上を可能とし、人材不足になっている運用体制を補完することができます。
セキュリティ対策において大切なこと
ここまで4つの課題と改ざん検知でのアプローチを紹介してきましたが、セキュリティ対策において大切なこととは「リスクをきちんと認識する」ということです。
「中小企業だから大丈夫」「被害に遭ったことがないから大丈夫」という考え方では非常に危険です。
特に最近のサイバー攻撃は無差別に実行されることが多いので、今までターゲットとされていなかった企業がどんどん被害に遭っています。
「どんな企業であれターゲットになるリスクがある」ということをきちんと認識し、セキュリティに対する意識を高めてください。
まとめ
まだまだ多くの課題が残されている情報セキュリティ。後回しにしがちなことが多いですが、年々その重要性は高まっています。
今までセキュリティ対策を施していなかった企業も、まずは今回紹介した4つの課題を意識してみてはいかがでしょうか？
損失を被ったり、信用を失ってしまってからでは遅く、被害者にも加害者にもならないために早めのセキュリティ対策が必要です。
これを機に是非自社にセキュリティ対策について考えてみてください。
