重大なサイバーインシデントが続いている昨今、セキュリティの基本をあらためて伝えたい（写真：Adobe stock）

サイバーリスクについては連載第一回で考えましたが、企業のセキュリティ対策にもかかわらず、外部からのサイバー攻撃を受けて機密情報が漏れてしまう、従業員が誤って事業に不可欠な情報を漏らしてしまうといった事例が続いています。

9月から10月にかけて、複数の著名企業が大規模ランサムウェア（※1）攻撃の標的になったことで、被害の影響が拡大しており、対策の難しさをあらためて認識させられました。今月は、再び、サイバーリスクについて考えます。

（※1）パソコン等に保存されているデータを暗号化し使用できない状態にした上で、そのデータを復号する対価（金銭や暗号資産）を要求する不正ブログラム

1.サイバーリスク対策は基本を忠実に守る

再びサイバーリスクについて考える（写真：Adobe stock）

サイバーリスクは、外部からのサイバー攻撃を受けて事業が止まってしまう、機密情報が漏れてしまう、また従業員が誤って事業に不可欠な情報を漏らしてしまうなどにより、企業が被る損害のことです。

企業は、その活動に必要なほぼすべての情報を自社のサーバーに格納していることから、そこにサイバー攻撃を受ければ、データの漏えい・改ざんによって、業務そのものが継続できず、影響は甚大なものとなります。

もちろん、近年はサイバーリスクをカバーする保険も出ていますが、まずは被害にあわないために的確な対策を講じることが必要です。企業としては、VPN機器類等の脆弱性対策など、社内のICT専門部門と連携して取り組むことが求められますが、従業員一人一人の行動も極めて重要です。

（1）ソフトウェアやOSは最新の状態に保つ

ソフトウェアは常に最新に（写真：Adobe stock）

セキュリティパッチは、ソフトウェアやOSに見つかった脆弱性、つまりセキュリティが甘いところを修正するために配布されるプログラムです。ソフトウェアやOSを古いままにしていると、脆弱性も放置され、セキュリティ上の問題点が解決されないことになります。

そこで、ベンダーが定期的に配布するプログラムを適用することによって、最新のサイバー攻撃への対策を講じることができ、自社のシステムを守ることが可能となります。

リスク担当責任者としては、まず各端末のセキュリティパッチの適用漏れをなくすことが必須ですが、従業員の中には、セキュリティパッチの適用を促されても「面倒である」ということで、そのままとなっているケースも散見されます。

そこで、リスク担当責任者は、自社のセキュリティパッチの適用状況を把握したうえで、パッチの適用までの手順を従業員任せにせず確認することが重要です。

実際、ランサムウェアの被害にあった企業・組織の68％が「未適用のセキュリティパッチがあった」と回答しており（「令和５年度上半期におけるサイバー空間をめぐる脅威の情勢等について：警察庁」）、セキュリティパッチの適用が非常に重要であることが理解できます。

（2）従業員のID・パスワードの管理

従業員のID・パスワードをしっかり管理（写真：Adobe stock）

それぞれの従業員が、企業の定めたID・パスワードのルールを守ることが重要です。特に、社内で使うパスワードを他のウェブサービスで使い回したことで、企業サイトに不正にログインされる被害なども増えています。

また、パスワードそのものが初期設定のままになっている、あるいはよく使われるものになっている場合もありますから、従業員任せにせず、認証情報を適切に管理しましょう。

（3）従業員研修の内容を徹底する

企業が情報セキュリティの守りを固めていても、従業員の意識の低さから情報漏えいが起こることがあり得ます。

従業員の関心を引く内容のメールを使って添付ファイルを開かせる、またリンク先のウェブサイトにアクセスさせるように仕向けてランサムウェアなどのマルウェア（パソコンやその利用者に被害を与えることを目的とした悪意あるソフトウェア）に感染させる手口が確認されています。

「怪しい添付ファイルは開かない」そして「怪しいリンクは開かない」は基本中の基本ですが、日々の忙しい業務の中で、思わず、ファイルやリンクをクリックしてしまうことはあり得ます。

標的型メール訓練などを実施して意識を醸成（写真：Adobe stock）

そこで、従業員を対象として、いわゆる不審メールを送信し、気づかず思わず添付ファイルやリンクをクリックすると「標的型メール訓練」であることを種明かしするページに誘導される訓練があります。訓練メールの添付ファイルを思わずクリックしてしまうと、それが本物の悪意あるメールであった場合は、企業そのものへのサイバーリスクに直結するので事は重大です。

研修では、標的型メール訓練だけではなく、パスワードの管理方法や詐欺メールの見分け方など、基本的なセキュリティ対策を説明します。繰り返し研修を行うことで、従業員の軽率な行動によるサイバー攻撃の被害を減らすことが可能です。従業員が、当たり前のセキュリティ対策を徹底して実践できることが極めて重要です。

（4）業務上使わなくなったアプリケーションを削除する

以前は業務上使っていたけれど、今は不要になったアプリケーションをそのままにしていると、更新されず、セキュリティホールなどが手当てされないまま脆弱性が高まります。使う必要がないアプリケーションは、リスク担当責任者にも確認の上、面倒がらず、削除することによって、サーバー攻撃から被害を受けるリスクを回避することが可能です。