セキュリティの
学び場

今回の解説ニュース

経済産業省と金融庁からセキュリティ対策の強化について注意喚起が出されています。緊張感が増す国際情勢の中で、各省庁から出されている注意喚起の内容や、国ごとのセキュリティ対策の違いについて説明します。

今回の注意喚起は、昨今の情勢を踏まえたサイバーセキュリティ対策の強化について、経済産業省と金融庁から、業界団体等を通じて広く注意喚起が行われています。経済産業省からは、認証関連の強化、情報資産の把握、セキュリティパッチの適用、メールの添付ファイル等について確認することが挙げられています。

インシデントの早期検知のため、各種ログの確認、通信の監視等を行い、不審な動きを把握した場合は、速やかに経済産業省やセキュリティ関係機関に相談するよう呼びかけています。また、インシデント発生に備え、データのバックアップの実施及び復旧手順等を確認するよう推奨しています。

セキュリティリスク低減のための3つの措置

経済産業省から3つ挙げられている、リスク低減のための措置について説明します。

1つ目は、パスワードが単純でないかの確認、アクセス権限の確認・多要素認証の利用・不要なアカウントの削除等により、本人認証を強化することが挙げられています。これは説明不要かもしれませんが、他人が推測できるパスワードだったり、多要素認証が利用されていなかったり、使われていないアカウントが放置されていたりすると、悪意のある第三者からアカウントが乗っ取られる可能性があります。このような脆弱なアカウントは直ちに、他人が推測できないパスワードへ変更したり、使用していないアカウントは無効化したりすることが必要です。

2つ目は、IoT 機器を含む情報資産の保有状況を把握して、特にVPN装置やゲートウェイ等、インターネットとの接続を制御する装置の脆弱性は、攻撃に悪用されることが多いため、セキュリティパッチを迅速に適用することが挙げられています。守るべき情報資産を特定することは、セキュリティで最初に行うべき対策です。その上で、インターネットに公開している情報資産に脆弱性が存在している場合は、攻撃者に悪用される脅威がありますので、最新のファームウェアや更新プログラム等を適用して、リスクを低減することが必要です。

3つ目は、メールの添付ファイルを不用意に開かない、URLを不用意にクリックしない、連絡・相談を迅速に行うこと等について、組織内に周知することが挙げられています。こちらでいつもお伝えしている通り、最も脆弱なのは「人」そのものです。メールの添付ファイルや本文中のURLをクリックすることで、マルウェアに感染したり、フィッシング詐欺の被害にあったりする可能性があります。よって、セキュリティ情報を適切に入手して、組織内に周知し啓発することが必要です。

日本国内と海外、セキュリティ対策の違いは？

海外と日本のセキュリティ対策には違いが見られます。それらは、各国における文化の違いも影響しているのではないかと考えられます。

日本のセキュリティ対策は「生卵」に例えられる

セキュリティ対策が2極化している状態は海外や日本でも見られる傾向ですが、日本のセキュリティ対策は、時に「生卵」に例えられることがあります。どういうことかというと、外側はかたい殻でおおわれているものの、中身は柔らかい状態になっているということです。セキュリティ対策も外部からの攻撃には十分に対応できていても、内部からの攻撃には不十分な状態であることが多いようです。これらは、性善説に基づいてセキュリティ対策が実施されていることが考えられ、日本人の文化的な背景が見て取れます。

求められる「全員参加のセキュリティ対策」への意識

このように、文化が異なれば、セキュリティ対策や個人情報に対する考え方にも違いが生じる可能性があります。このような状況でも、組織全体としてセキュリティ対策を最高値に合わせていく必要がある理由に、サプライチェーンリスクが挙げられます。サプライチェーンリスクとは、セキュリティ対策が十分ではない外部サービスや関連組織がサイバー攻撃の踏み台に利用される、サプライチェーン全体に潜在するリスクです。国をまたいだサイバー攻撃も一般化しており、全員参加のセキュリティ対策がより一層求められています。

しかしながら発生してしまう「人・技術・お金」の問題

全員参加のセキュリティ対策を実現するためには「人・技術・お金」の問題が付いて回ります。つまり、人がいない、技術がない、お金がないことで、セキュリティの格差が生まれてしまっている社会的課題として、サプライチェーンリスクが存在していると言えます。この、取り残された社会的課題を解決することはセキュリティベンダーの役割であり、我々も何ができるか日々知恵を絞りながら活動しているところです。

今回は、国から出されている注意喚起や国ごとのセキュリティ対策の違いについてお届けしました。過去にも触れさせていただいていた、セキュリティの社会的課題に対する我々の取り組みが、多くの方に応援していただく中、2022年2月22日にスタートすることができました。その活動内容について報告しているティザーサイトのURLを下記に記載しておきますので、お時間のある際に見ていただけると幸いです。