企業におけるセキュリティインシデントの影響は近年ますます大きくなり、情報セキュリティ対策は重要な経営課題の一つとなっています。外部からのサイバー攻撃や内部不正に対して具体的にどのような対策を取ればいいかお悩みの企画担当者の方も多いのではないでしょうか。

今回は、企業における情報セキュリティ対策の目的や重要性、実際の被害例をもとにした対策内容とおすすめツールを紹介します。この記事を参考に適切な情報セキュリティ対策を実施し、セキュリティリスクに強い環境を整備しましょう。

情報セキュリティ対策の目的や重要性

総務省の情報セキュリティサイトでは、企業や組織における情報セキュリティを”企業や組織の情報資産を「機密性」、「完全性」、「可用性」に関する脅威から保護すること”と定義しています。

引用元： 総務省「安心してインターネットを使うために　国民のための情報セキュリティサイト」

その要素を簡単に記載すると以下の通りです。

• 機密性：情報を許可された担当者のみが閲覧できるようにすること
• 完全性：情報が正確であり、不正な改ざんや破壊がないこと
• 可用性：許可された担当者であればいつでも必要な情報を閲覧できるようにすること

これらの要素を脅威から保護するためには、外部からの不正侵入・サービス停止を狙う攻撃からサーバーを守る、社外秘情報の持ち出しなどの内部不正を防ぐなどといった対策が必要になります。

近年では大手企業においても情報セキュリティの被害事例が増加しており、情報セキュリティ対策はいまやすべての企業において必須といえるでしょう。

情報セキュリティの被害例

近年ではさまざまな情報セキュリティの被害が発生しています。ここでは多くの企業で発生している3つの被害例を紹介します。

SQLインジェクションによる情報の流出

SQLインジェクションとは、Webサイトを狙いデータベース操作を行うデータベース言語「SQL」で不正な操作を実行する攻撃です。具体的な被害としては以下のような事例が挙げられます。

• Webサイトを改ざんし不審サイトへ誘導、ウイルス感染や個人情報の不正取得が発生した。
• サービスのログインページにSQLインジェクションを行い不正に会員ページにログイン、会員の個人情報が流出した。

SQLインジェクションから情報を守るためには、Webサーバーやデータベースサーバーに対して適切な情報セキュリティ対策を施すことが必要です。

標的型攻撃による機密情報の漏えい

標的型攻撃も近年増加している攻撃手法です。以前は不特定多数に無作為に不審メールを送るSPAMメールが主流でしたが、近年では企業内の特定の担当者を狙った巧妙なメールも増えています。

標的型攻撃の主な被害事例としては以下が挙げられます。

• 端末内のデータを暗号化するウイルスに感染してデータが閲覧不可となり、暗号化を解除する身代金を請求された。
• ウイルス感染した端末を踏み台にして社内の情報収集と外部サーバーへの送信がおこなわれた。

標的型攻撃から身を守るためには、正規メールと攻撃メールを見分けるためのセキュリティ教育が必要です。

社内ルールの不足で情報漏えい

社内ルールの不足による情報漏えいにも注意が必要です。社員による悪意のない行動によってセキュリティリスクが増加し情報漏えいの発生に至るケースも多くあります。

社内ルールの不足による被害事例としては以下のようなものがあります。

• 業務データの入ったUSBを持ち帰りウイルス感染していた私用端末に接続したことで情報漏えいが発生した。
• 私用のフリーメールで取引先とのやりとりをしていたところアカウントのハッキングにあい、情報漏えいが発生した。

こうした経緯によりネットワークやサーバーに情報セキュリティ対策を実施していたにも関わらず、情報漏えいが発生する事例が近年増えています。こういった被害を防ぐためにも、社内ルールの整備や社員へのセキュリティ教育は不可欠なのです。

被害を受けないために行える対策とは？

では、情報セキュリティの被害例で挙げたような事例から社内情報を守るためにはどのような対策を取るべきなのでしょうか。その具体策を4つ解説します。

サーバー・パソコンへの外部アクセスを防ぐ

外部からの攻撃を防ぐためには、外部との接続を極力減らすことが重要です。サーバーにはファイアウォールを設定して外部との通信を制限するとともに、WAFでSQLインジェクションなどによるWebサイトへの攻撃を防ぎましょう。

外部との接続が避けられないサーバーやパソコンなどの端末についても、セキュリティソフトを導入して不審な通信が行われないようにする必要があります。

また、業務データが保存された端末を公衆Wi-Fiなどの外部ネットワークに接続しない、サーバールームの入退出管理を行い物理的にサーバーにアクセスできる人間を制限する、などといった対策も重要です。

データを一元管理する

データを複数の場所で管理するとそれぞれにセキュリティ対策が必要となり、セキュリティリスクが高まります。特に個人による管理では十分なセキュリティ対策が難しく、情報漏えいの危険性が高まります。

データは常に一元管理する体制、環境を整えましょう。社内サーバーやクラウドサーバーで情報を一元管理できれば、セキュリティ対策を実施するポイントをしぼることができるためセキュリティリスクを下げることができます。万一、情報漏えいが発生した場合でも漏えいポイントの特定がしやすく、迅速な対策を取りやすくなるでしょう。

セキュリティに関する教育を徹底する

ネットワークやサーバーなどの機器側でいくらセキュリティ対策を実施しても、人為的なセキュリティインシデントの対策とはなりません。被害例で挙げた標的型攻撃や社内ルール不足による情報漏えいを防ぐためには、社員へのセキュリティ教育が不可欠です。

標的型攻撃メールを見分けるためには、送信元やメール内容などを多角的に見て判断する必要があります。近年は、送信元を詐称したり本文が日本語で担当者の気を引く内容だったりするなど巧妙なものも増えています。一つのポイントで判断するのではなく、複数のポイントにおいて正規メールと判断できるまでは安易に添付ファイルやURLを開かないよう教育を行いましょう。

社内ルールについても、業務で利用する端末やデータの持ち出し・持ち込み、外部ネットワーク・Webサイトへのアクセス方法などにおけるルールを明確にしましょう。そして、社内ルールが破られないようセキュリティ教育を行うとともに、社員の利便性を損ない過ぎないように配慮をすることも重要となります。

社内ツールを選ぶ際はセキュリティ対策が施されているかを確認する

社内SNSやファイル共有などの外部サービスを社内ツールとして利用する場合は、サービスおよび事業者のセキュリティ対策に注意しましょう。主に注意すべきポイントとしては以下が挙げられます。

• データが保存されているデータセンターのセキュリティ基準は十分か
• 通信やデータは暗号化されていてセキュアなやりとりが可能か
• サービスの監視やログ確認で不正アクセスを検知できるか

その他にも、IPアドレス制限や二段階認証など、必要なセキュリティレベルを満たす対策が取られているかを事前に確認しておくようにしましょう。

おすすめの情報セキュリティツール

ここまで解説した対策内容を踏まえ、情報セキュリティ対策を行ううえでおすすめのツールを4つご紹介します。

VPN

VPN（Virtual Private Network）は、特定の通信のみがセキュアにやりとりできる仮想ネットワークを構築する技術です。日本語では「仮想専用線」と呼ばれます。VPNを利用することで外部からの通信内容の盗み見や改ざんを防ぐことができます。

VPNは、「トンネリング技術」により送信者と受信者間のみが通信できる仮想的なトンネルを作ってセキュアなネットワークを実現します。通信内容の暗号化や送信者・受信者相互が正しい相手と識別する機能もあり、セキュリティの高い安全な通信が可能です。自社で機器を設置して構築するか、サービス事業者と契約してサービスを導入するかを選ぶことができます。

UTM（総合型脅威管理）

UTM（Unified Threat Management）は日本語で「統合脅威管理」と呼ばれるもので、ファイアウォールやIDS・IPS、アンチウイルスなどのさまざまなセキュリティ対策を包括的に実行できる機能です。

内部・外部双方の通信を監視し、適切なセキュリティ体制を実現します。自社内に機器を設置するアプライアンス型とインターネット上のサービスを利用するクラウド型があります。

ナレッジ共有ツール（社内SNS、社内FAQなど）

ナレッジ共有ツールは、社内SNSでの社員間のコミュニケーションや社内FAQでの情報掲載などでナレッジ情報の共有を促進するツールです。導入することで社内の業務情報が一元管理できるようになります。

たとえばナレッジ経営クラウド「Qast」では、テキストベースでの業務情報の投稿や各種ファイルの共有が可能です。検索機能も優れており、投稿に添付されたファイル内の文字列も検索することができます。TeamsやSlackなど利用企業が多いコミュニケーションツールと連携できるナレッジ共有ツールもあり、柔軟に活用することができるでしょう。

情報セキュリティ対策で解説した通り、ツールを選ぶ際にはセキュリティ対策の確認が重要です。その点においても「Qast」は非常に高いセキュリティ機能を誇っています。

5分でできる！ポイント学習

「5分でできる！ポイント学習」は独立行政法人情報処理推進機構（IPA）が公開している情報セキュリティ対策支援サイトの学習コンテンツです。5分という短時間で情報セキュリティの基本を学ぶことができるだけでなく、業種や職種に応じたさまざまなコースが用意されています。

無料で学習ができますので積極的に活用しましょう。

「Qast」なら社内情報が管理しやすい

ナレッジ経営クラウド「Qast」は、わかりやすい操作画面でナレッジの共有がしやすく、優れた検索機能で蓄積したナレッジを好きな時に閲覧できます。社内で分散して管理を行っていたデータを一元化管理できるようになりますし、チャットや投稿を社員へのセキュリティ教育に活用することもできます。重要な情報を目立つように掲載できるとともに、検索機能を使って過去情報の参照もしやすいため、セキュリティ対策において調べたいことがあった時にもすぐに情報を引き出すことができます。

データセンターは高い信頼性を持つAWSを利用し、すべての通信・情報を暗号化しています。また24時間365日不正アクセスを監視し、不正アクセスが発生した場合には即座に通知が届くため、迅速な対応を取ることができます。

その他にも、データのバックアップや二段階認証など、充実したセキュリティ機能が備わっています。まずは資料請求をして、機能や使い方について検討してみてはいかがでしょうか。

■Qastについて詳しくはこちら。

まとめ

今回は、企業における情報セキュリティ対策の目的や重要性、実際の被害例をもとにした対策内容、おすすめツールなどを紹介しました。

企業における情報セキュリティ対策とは社内の情報資産を外部の脅威から守ることであり、いまやすべての企業における経営課題の一つとなっています。サーバーやパソコンなどへの外部アクセスを防ぐともに、データを一元管理しセキュリティリスクを最小限に抑えることが必要です。

また、ナレッジ共有ツールを使い社員教育を継続的に行うことも欠かせません。ナレッジ経営クラウド「Qast」などのツールを活用しながら、社内の情報セキュリティ強化を怠ることなく進めていきましょう。

Qastラボ編集部

Qastラボ編集部では、これからの働き方において必要な"未来のナレッジマネジメント"について研究しています。 ナレッジ共有、業務効率化、経営戦略、コミュニケーションツールなどテーマ別に役立つ記事をご紹介します。