セキュリティ対策の種類や効力は？警戒すべき脅威20選

スマートフォンやパソコンを使って業務を行う際に、気をつける必要があるのがセキュリティ対策です。何も対策をせずに業務を行っていると、安易な考えで取った行動が、機密情報の漏洩などにつながることもあります。

スマートフォンやパソコンにあまり詳しくなく、セキュリティ対策について悩んでいる方もいるのではないでしょうか。セキュリティ対策の手段が多いため、何を行えばよいか悩んでいる方もいるでしょう。

そこでこの記事では、セキュリティ対策の具体的な方法についてご紹介します。あわせて取りあげるのが、警戒すべき具体的な脅威です。リスクを具体的に知ることで、どのような対策を打つべきか対応することができるでしょう。

セキュリティ対策の種類とそれぞれの手段

セキュリティ対策について、まずは大きな枠組みを理解しましょう。具体的な3つの対策方法をご紹介します。それぞれの基礎的な知識を理解して、ひとつひとつ対策を打っていきましょう。セキュリティ対策として何から行えばよいかが見えてきます。

技術的な対策

技術的な対策とは、コンピューターのシステムなどについて手を打つことです。悪意のある第三者がインターネットをとおして情報を盗むことがないように守ります。パソコンを乗っ取ろうとする犯罪に対しても、技術的な対策は効果があるでしょう。

技術的な対策のひとつが本人認証システムです。パソコン上の特定の画面を開いたり、操作を行ったりするときに利用できます。本人でないと操作ができないように設定できるため、大切な情報を守れます。データの暗号化も効果的です。ファイルなどを暗号化することで安全に保存できます。ほかの方に送信する際も暗号化したものなら安心でしょう。

物理的な対策

物理的にセキュリティ対策を行う必要もあります。システムを用いた技術的な対策では不十分だからです。物理的なリスクから会社の情報を守りましょう。

物理的に取れる対策のひとつは、災害対策です。災害で大事な情報をすべて失ってしまうリスクがあります。検討できるのは地震や火事、水害などへの対策です。具体的には、データのバックアップを定期的にとり、安全な場所へ保管するといった対応が考えられるでしょう。

防犯対策も重要です。不審者が直接会社に入り込むこともあります。重要性の高い情報を扱う部署は、入退室を厳重に管理する必要があるでしょう。深夜や早朝などの警備強化も重要です。

人的な対策

パソコンを操作して業務を行う従業員への対策も、考慮する必要があります。どれほど高性能の防御システムを導入しても、スタッフの誤操作で水の泡になることがあるからです。

具体的な対策のひとつは、情報セキュリティポリシーの策定です。会社の重要な情報を守るための方針を定めます。セキュリティ強化のためにスタッフが取るべきルールを明確にできるでしょう。ただ社内規定を作るだけではなく、適切に運用できるように確認する仕組みも必要です。担当者を決めて、規定を順守できているか継続的にチェックしましょう。

定期的にリマインドする機会を設けるのも重要です。従業員のセキュリティに対する考えが向上するでしょう。

セキュリティ対策3つの効力

セキュリティ対策は手間がかかると感じる方もいるでしょう。しかし、セキュリティ対策は、会社で業務を行っていくうえで欠かせない要素です。ここからは、セキュリティ対策の効力を3つご紹介します。効力を理解すると、セキュリティ対策の重要性がより理解できるでしょう。

防止力

実際にセキュリティ上の問題が発生するのを防ぐ力です。たとえば、ウイルスの攻撃から大切な情報を守ることが挙げられます。不審者が物理的に入ってこないように、建物や特定の部屋の入室を制限するのも、防止力を意識した対策です。

コンピューターを操作する際に、従業員同士でセキュリティ意識を高めることも大切です。セキュリティ上の問題が発生しないように、業務を行うことにつながります。防止力は、セキュリティ対策で大事な部分です。

検出力

検出力とは、セキュリティ上の問題を見つける力です。問題が起きていても、すぐに気づかないと大変な事態になるでしょう。速やかに問題を検出する必要があります。

検出力を高める技術的対策として採用できるのが、不審者の侵入を通知するシステムです。人の目では見逃してしまう兆候をシステムが教えてくれます。パソコンやインターネットの操作ログをチェックするのもよいでしょう。問題のある操作が見つかることがあります。

物理的に問題を見つけるには、防犯カメラをチェックする習慣をつけましょう。従業員どうしでパソコンの操作方法などをチェックするのもおすすめです。

対応力

対応力とは、セキュリティ上の問題を見つけた際に対応する力です。問題の性質に応じて速やかに対応する必要があります。システム上の問題であれば、特に一刻を争う対応が必要でしょう。機密情報の漏洩などのリスクがあるからです。

不審者などの侵入が分かった場合、警備会社や警察などに協力を求められます。再発を防ぐために対応することも必要です。スタッフの問題行為が見つかったなら、セキュリティに関する規定を守るように指導しましょう。

セキュリティ対策をするなら知っておくべき20の脅威

具体的に気をつけたいセキュリティの脅威をご紹介します。パソコンやセキュリティに関する知識が少ないと、なじみのない脅威もあるでしょう。しかし、業務でパソコンやシステムを使うなら、それぞれを理解する必要があります。少なくとも、どのような脅威があるのかを知っておくべきでしょう。20個の脅威と具体的な対策方法をご紹介します。

【1】標準型攻撃

標準型攻撃は、メールを利用した攻撃です。メールに添付ファイルやURLリンクを付けて送信します。添付ファイルやURLリンクを開くと、ウイルスに感染するという攻撃です。メールは、取引先からの連絡や問い合わせの形態を装っているので注意しましょう。

対策として第一に挙げられるのは、メールアドレスの確認です。取引先を装っていた場合、本当に取引先のメールアドレスかどうか検証しましょう。添付ファイルをチェックするシステムやソフトウェアの導入もおすすめです。誤って開いてしまった場合でも、システムやソフトウェアが守ってくれます。

【2】ビジネスメール詐欺

ビジネスを装ったメールを使う詐欺です。ウイルスに感染させるのが目的ではありません。たとえば、取引先や弁護士などを装って指定の口座に送金させようとします。「新しい振込先への変更依頼」といった名目で要求するケースが多いでしょう。

怪しいメールを受け取ったら、実際に取引のある会社であれば直接電話やメールで問い合わせるのがおすすめです。メールの内容が正しいかどうかがはっきりするでしょう。

【3】ランサムウェア

ランサムとは身代金を意味します。パソコンをウイルスに感染させて、身代金を要求する手口です。ウイルスに感染したパソコンはまったく操作できなくなります。特定のファイルだけ開けなくするケースもあるでしょう。実際にお金を支払っても、パソコンが回復する保証はないので注意が必要です。

ランサムウェアによる被害を防ぐためには、添付ファイルなどを開く前に安全かどうかチェックする仕組みを設けましょう。重要なシステムや情報を扱うパソコンでは、メールを開けないようにするのもおすすめです。

【4】水飲み場型攻撃

水飲み場型攻撃とは、特定のWebサイトを経由してウイルスに感染させる方法です。水飲み場型という通称は、ライオンが水のある場所で獲物を襲うことに由来します。動物が定期的にやって来る水飲み場は、ライオンにとって便利な狩り場だからです。

これと同じ考えで、悪意のあるハッカーはターゲットが頻繁に訪問するWebサイトにウイルス感染させるための細工をします。対策としては、従業員が業務用パソコンでインターネットを閲覧しないように制限をかけることなどが考えられるでしょう。

【5】クリックジャッキング

クリックジャッキングは、意図的に特定のボタンやURLリンクをクリックさせようとする手法です。クリックさせたいボタンやURLは透明にして見えないように細工した上で、ダミーの画像をかぶせます。本人はそのボタンを押したことに気づかないうちに、ウイルス感染したり意図しない動作をしたりするでしょう。

対策としては、使用しているブラウザのJavaScriptやFlashの機能をオフにすることが挙げられます。

【6】DoS攻撃・DDoS攻撃

どちらもサーバーを攻撃する方法です。処理能力を超えるデータを送ることで、サーバーが停止し、会社のWebサイトなどが閲覧できなくなるでしょう。DoS攻撃は攻撃元がひとつ、DDoS攻撃は攻撃元が複数あります。DDos攻撃のほうが、サーバーにより大きな負荷がかかるでしょう。

対策のひとつは、アクセスできるIPアドレスを制限することです。海外からのアクセスをまとめてブロックしてもよいでしょう。

【7】F5アタック

何度もF5キーを押すことで、サーバーに負荷をかけるのがF5アタックです。F5キーは一般的に、閲覧しているページを更新するショートカットキーになっています。無数の更新リクエストを受けることで、サーバーやWebサイトが落ちてしまう恐れがあるでしょう。

F5アタックに対策するためには、同一IPによる連続アクセスをブロックする方法が考えられます。しつこくF5アタックするIPアドレスがあれば、アクセス自体をブロックしましょう。

【8】ゼロデイ攻撃

ゼロデイ攻撃は、ソフトウェアの脆弱性をねらった攻撃です。ソフトウェアには、ときおり脆弱性が見つかることがあります。リリース後に発覚した脆弱性に対しては、ソフトウェアの提供元が適宜対策を行うのが一般的です。しかし、問題が解決される前の隙をついて攻撃されるケースもあります。

ソフトウェアの脆弱性が見つかった場合は、すぐさま提供元に対応を確認しましょう。解決策がまだない場合、問題のあるソフトウェアを使用しないこともひとつの方法です。

【9】SQLインジェクション

SQLインジェクションは、Webサイトのデータベースに不正な命令を送り、情報を盗み取ろうとする攻撃を指します。顧客情報を盗み取ったり、ウェブサイトを思うままに改ざんしたりするのが目的です。Webサイトにある検索フォームやログインフォームなどを利用して、不正な命令を送ります。

対策方法として挙げられるのは、防御システムの活用です。SQLの機能に問題がないかをチェックするのも大切でしょう。

【10】OSコマンド・インジェクション

OSコマンド・インジェクションは、不正なOSコマンドを送信する攻撃です。脆弱性のあるアプリケーションをとおして攻撃を行います。パソコンにマルウェアをインストールさせるのがひとつの目的です。パソコンを乗っ取って、ほかの犯罪を行うこともあります。

アプリケーションを公開する前に、脆弱性がないかをチェックしましょう。外部から受け付けるコマンド数を制限するのもおすすめです。

【11】クロスサイトスクリプティング

クロスサイトスクリプティングは、掲示板などユーザーが自由に投稿できるWebサイトを悪用する攻撃です。ウェブサイトに不正なスクリプトを挿入します。閲覧したユーザーの情報を盗んだり、マルウェアに感染させたりするのが目的です。

対策のためには、怪しいWebサイトは閲覧できないようにするのがよいでしょう。メールなどのURLリンクが悪意のあるWebサイトにつながっていることもあります。メールの詳細をチェックすることも必要です。

【12】ディレクトリトラバーサル

ディレクトリトラバーサルは、サーバーの仕組みを悪用して権限のないファイルやデータにアクセスする手法です。個人情報や機密情報にアクセスできます。IDやパスワードの情報を入手したら、サーバーやシステムごと乗っ取れるでしょう。

アプリケーションを提供している会社であれば、公開前に脆弱性の有無をチェックする必要があります。問題を検知し対応できるシステムを導入しましょう。

【13】バッファオーバーフロー攻撃

バッファオーバーフロー攻撃の対象はコンピューターです。処理能力以上のデータを送ることで誤作動を起こさせます。動作が不安定な状態を利用して、コンピューターを乗っ取ることもあるでしょう。ほかの犯罪のためにコンピューターを利用する犯罪者もいます。

この攻撃を防ぐためには、コンピューターの脆弱性に対する対策が必要です。セキュリティソフトは常に更新しましょう。脆弱性のための修正パッチが出ている場合、速やかに導入します。

【14】セッションハイジャック

セッションハイジャックは、ユーザーになりすますことを目的とした手法です。ユーザーがWebサイトやサービスにアクセスする際の通信情報を盗んで本人になりすまします。情報を盗んだり改ざんしたりする手口です。銀行口座やクレジットカードの情報があれば、不正利用につながるでしょう。

この脅威に対抗するためには、Webサイトの設定にこだわるのが大切です。ユーザーがWebサイトの閲覧で用いるセッションIDの管理をしっかり行いましょう。

【15】バックドア

バックドアとは、不正にコンピューターに忍び込めるように入り口を作っておく手法です。最初に不正な方法で侵入した際に、次回以降も侵入しやすいように入り口を作ります。パソコンをウイルスに感染させて、入り口を作るのもひとつの手口です。

バックドア対策として、怪しいWebサイトは訪問しないようにしましょう。OSやソフトウェアを常に最新のものにしておくことも有効です。

【16】ルートキット攻撃

ルートキット攻撃は、パソコンに侵入するためにいくつものマルウェアを使用する攻撃です。複数のマルウェアをパソコン内に忍ばせます。マルウェアの種類に応じて、さまざまな目的に利用できるのが特徴です。

ルートキット攻撃は、USBメモリを通して仕掛けられる手軽さあります。不審なUSBメモリは使わないようにしましょう。マルウェア検出機能をもつセキュリティソフトを導入して、定期的にパソコンの安全性をチェックするのもおすすめです。

【17】ブルートフォースアタック

ブルートフォースアタックは、ユーザーのアカウントとパスワード情報を解読しようとする攻撃です。ツールを利用して、さまざまなパターンのログイン情報を入力し、総当たりで解読できるまで続けます。パスワードに使う文字数や文字種が少ない場合には、解読に長い時間を必要としません。

この脅威を防ぐためには、パスワードの設定方法に注意しましょう。ログインを試せる回数に制限を設けるのもおすすめです。

【18】パスワードリスト攻撃

ほかのWebサイトなどで手に入れたIDとパスワードの情報を利用して、目的とするWebサイトにログインしようとする手法です。同じIDとパスワードを使いまわしている方が多い状況を利用しています。場合によっては、複数のアカウントを同時に乗っ取られてしまう恐れがあるでしょう

対策は、IDとパスワードの使いまわしを避けることです。2段階認証の導入も有効でしょう。

【19】サプライチェーンをターゲットとした攻撃

業務委託先をねらった攻撃もあります。自分の会社のセキュリティ対策を慎重に行っている会社でも安心できません。外部委託先の会社がセキュリティ上の問題を抱えていることもあるからです。

業務のシステムや端末も含めてサービスを提供しているなら、悪意のある外部からの攻撃に強いシステムを導入しましょう。

【20】内部不正による情報漏洩

従業員が会社の機密情報を漏洩するリスクもあるでしょう。金銭的な見返りを求めて情報を売るケースもあります。会社や上司への不満が蓄積して、腹いせに情報漏洩する従業員もいるでしょう。意図せずに誤った行動をとり、情報漏洩につながるケースもあります。

情報漏洩を防ぐために、情報を適切に管理する仕組みを構築しましょう。機密情報にアクセスできるユーザーを限定し、自由に持ち出せないように管理することも重要です。

情報セキュリティ強化のための対策方法

セキュリティ上の問題に対処するための方法を解説します。どうすればセキュリティの脅威を事前に防げるかが分かるでしょう。社内の従業員全員で取り組める内容です。従業員の取り組み度合いを定期的にチェックしましょう。パソコンやソフトウェアの設定を確認し見直すだけのものもあります。すぐさま問題がないかチェックするとよいでしょう。

セキュリティソフトの導入

セキュリティ対策として、セキュリティソフトは欠かせません。会社のすべてのパソコンに導入するとよいでしょう。導入することで、ウイルスを検知して警告してくれます。すでに感染しているウイルスの駆除も、セキュリティソフトの機能です。

パソコンやソフトウェアに脆弱性が見つかったときも、セキュリティソフトは頼りになります。一口にセキュリティソフトといっても、検出力や機能はさまざまです。自社のニーズに合った製品を導入しましょう。

OS・ソフトウェアの更新

パソコンのOSやソフトウェアは、常に最新の状態にしておきましょう。古いバージョンのままだと、脆弱性が残っている場合もあります。最新のバージョンに更新することで、セキュリティ的にも安心です。

現バージョンに対するこだわりがなければ、OSやソフトウェアの更新設定を見直してみましょう。自動更新を選べば、パソコンやソフトウェアが自動で最新のバージョンをインストールしてくれます。

適切なパスワードの設定

業務に使っているシステムのパスワードを解読されると、会社に大きなダメージをもたらします。単純な単語をパスワードにするのは避けましょう。複数のサービスでパスワードを使いまわすのも危険です。個々に、複雑なパスワードを設定すると効果があります。

定期的にパスワードを変更することも大切です。1か月に1回など、タイミングを設定しましょう。パスワードを解読されにくくなります。

共有設定の確認

パソコンやサーバー上での共有設定も見直してみましょう。第三者が機密情報を閲覧できる共有設定は問題です。機密情報を盗み見たり、改ざんしたりする犯罪者がいます。大事な情報を簡単にアクセスできるところに置いていないでしょうか。

社内従業員でも、権限のない方は機密情報を見られないようにしましょう。悪意を持って情報漏洩する従業員が出る可能性もゼロではありません。機密情報にアクセスできるのは、最低限のユーザーだけにするのがよいでしょう。

セキュリティ意識向上のための社内教育

スタッフの意識向上も必要です。社内教育を継続することで、会社全体のセキュリティ対策につながります。スタッフの入社時はもちろん、定期的に社内教育を行いましょう。繰り返し行うことで、よりセキュリティ意識が定着します。

社内教育では、誤って情報漏洩した場合にどのような影響がおよぶのかを伝えましょう。データを改ざんした際の罰則などを理解してもらうのも有効です。情報セキュリティに関する社内教育を行うことによって、リスクを軽減できるでしょう。

脅威・攻撃の手口の把握

攻撃の手口は常に進歩しています。パソコンやWebサイト、サーバーをねらう脅威について勉強を続けましょう。特に、メールを利用した詐欺は頻繁に新しい手口が登場しています。手口を知らないでいると、被害を受けるリスクが高くなるでしょう。

攻撃に対処できるように、幅広く脅威について知るのが大切です。セキュリティ上の問題が発生したときに、どのように対応できるか対策を身につけているとよいでしょう。迅速に問題の解決に努められます。

大切なデータを守るならイッツコムでセキュリティ対策！

大事な情報を守る方法を探している方は、イッツコムのサービスをおすすめします。boxというコンテンツ管理サービスです。国際規格であるISO27001のセキュリティ基準をクリアしています。欧米の政府機関でも採用しているサービスです。

boxを使えばコンテンツを簡単に共有できます。社内メールにファイルを添付する必要がありません。boxを通じて、パートナー企業ともファイルの共有ができます。大容量のファイルでもリアルタイムに共有できるのがboxの強みです。

まとめ

セキュリティの脅威への対策は日々行う必要があります。悪意のある攻撃から社内データを守るシステムを導入したり、社員を教育したりする必要があるでしょう。メールをとおして攻撃されることも多くあります。添付ファイルやURLリンクには注意が必要です。

社内データのセキュリティを強化したい方は、イッツコムのboxをご利用ください。信頼性の高いコンテンツ管理サービスです。容量無制限で多くのデータを共有できます。セキュリティに強いだけでなく、従業員の生産性向上にも効果を発揮するでしょう。