情報漏えいの損害額はいくらになる？　経営者を納得させるためのセキュリティ対策費用の考え方

効果的な情報漏えい対策とは

　情報漏えい事故は、Webサイトを介して発生しているものも少なくない。その手法は、脆弱性の悪用が高い割合を占めている。特に、Webサイトは複数のアプリケーションで構成されているため、日々それぞれに脆弱性が発見される。しかし、ひとつのアプリケーションに脆弱性の修正パッチをあてると、他のアプリケーションに影響を及ぼす可能性があるため検証が必要となる。これにより対策が遅れ、被害に遭いやすくなっているのだ。

　そのため、Webサイトのサイバー攻撃対策には、「脆弱性のないサイトを作ること」と「新たな脅威に対応し続けること」が重要になるという。具体的な対策として、前者ではセキュアコーディングやペネトレーションテスト、脆弱性管理が挙げられ、後者では脆弱性診断を踏まえたシステム改修、WAF（Webアプリケーション・ファイアウォール）の導入が挙げられる。

　たとえば、サイバーセキュリティクラウドでは、クラウド型のWAFである「攻撃遮断くん」、AWSおよびAzure向けのWAF自動運用サービス「Waf Charm」、そしてAWS WAF向けのルールセット「AWS WAF Managed Rules」を提供している。また、グループ会社のソフテックでは脆弱性診断と脆弱性管理「SIDfm」および「SIDfm VM」を提供。いずれも自社開発のソリューションであり、これらによりWebサイトのセキュリティ対策を強固にできる。

　そもそもWAFは、従来のファイアウォールやIDS/IPSでは防ぐことができない不正な攻撃から、Webアプリケーションを防御するファイアウォールである。脆弱性を悪用しようとする攻撃を検知し遮断するため、たとえWebアプリケーションの脆弱性対応が間に合っていなくても「仮想パッチ」として機能し、保護することができる。

　「攻撃遮断くん」は、月額1万円からの低価格で利用でき、24時間365日の日本語サポートを提供、導入から運用までを一貫してフルサポートするため、セキュリティの特別な知識がなくても導入できることが特徴となっている。既に12,000以上のサイトに導入されており、導入社数、導入サイト数はともに国内1位の実績だ。

　また、継続的な脆弱性管理ツールである「SIDfm VM」は、脆弱性管理の自動化が可能なツールである。Webアプリケーションやミドルウェア、OSの重要な脆弱性をいち早く特定し、パッチ対応の自動化を行える。リスクの自動トリアージやチケットの自動発行が可能で、パッチの詳細情報や対策情報も可視化できるだけでなく、1,000台以上の資産管理に対応している面でも支持されている。

　最後に渡辺氏は、「情報漏えい対策には脆弱性対策が非常に重要であり、サイバーセキュリティクラウドおよびソフテックでは様々なサイトの種類や規模に応じたプランを用意しています。また、無料トライアルも可能なため、ぜひ検討してみてください」としてセッションを締めくくった。