SHOEISHA iD

※旧SEメンバーシップ会員の方は、同じ登録情報(メールアドレス&パスワード)でログインいただけます

EnterpriseZine(エンタープライズジン)編集部では、情報システム担当、セキュリティ担当の方々向けに、EnterpriseZine Day、Security Online Day、DataTechという、3つのイベントを開催しております。それぞれ編集部独自の切り口で、業界トレンドや最新事例を網羅。最新の動向を知ることができる場として、好評を得ています。

最新イベントはこちら!

Data Tech 2024

2024年11月21日(木)オンライン開催

EnterpriseZine(エンタープライズジン)編集部では、情報システム担当、セキュリティ担当の方々向けの講座「EnterpriseZine Academy」や、すべてのITパーソンに向けた「新エバンジェリスト養成講座」などの講座を企画しています。EnterpriseZine編集部ならではの切り口・企画・講師セレクトで、明日を担うIT人材の育成をミッションに展開しております。

お申し込み受付中!

EnterpriseZine(エンタープライズジン)

EnterpriseZine編集部が最旬ITトピックの深層に迫る。ここでしか読めない、エンタープライズITの最新トピックをお届けします。

『EnterpriseZine Press』

2024年夏号(EnterpriseZine Press 2024 Summer)特集『ニューリーダーに訊く──2024年春、CxOに就任した2人が目指す姿とは』

Security Online Day 2024 秋の陣レポート(AD)

なぜ「情報漏洩」は繰り返されるのか?内部不正/サイバー攻撃事例から学ぶ、根絶への第一歩

10年間におよぶ管理者権限での情報窃取やランサムウェア被害……過去の教訓からリスクを最小化

なぜ被害は繰り返されるのか? 内部・外部に共通する根本原因

 いずれの事案も、過去の事案をもとに対策を行っていれば防げた可能性は高い。なぜ同じような手口による被害が繰り返されてしまうのか。

 まず大前提として、サイバー攻撃は「圧倒的に攻撃者が有利な構図」になっていると楢﨑氏は指摘。攻撃者は100回の攻撃のうち1回でも侵入できれば成功だが、組織側は100回防ぎきらなければならない。

 しかし、限られた時間や予算の中でリスクをゼロにするのは現実的ではない。それゆえ、「優先的に取り組むべき対策を見極める必要があります」と楢﨑氏。リスクやその影響は組織ごとに異なるため、とりあえずの対策ツールを導入しても、一番高いリスクへの対策になっていなければ本末転倒だ。

 また、「守るべき情報資産」が明確化できていないと、被害に遭ったときの影響が広く、大きくなってしまう。一口にデータといっても、チラシと顧客リストでは重要度が違い、「当然、漏洩した際にダメージが大きい情報を優先して守る必要があります」と楢﨑氏は述べた。

 組織への影響度や被害の発生確率を予測することで、下図のようにリスクへの対策を大きく4つに分類することができる。楢﨑氏は「組織のリスクを分類していくと、どの優先順位で対策を行っていくべきかが見えてきます」と言い、まずはリスク評価を進めることを呼びかけた。

  • リスク転嫁:組織への影響度が高いものの、発生率が低いリスク。組織での対策は講じず、サイバー保険に加入するなど別組織にリスクを担ってもらう
  • リスク回避:組織への影響度も発生率も高いリスク。そもそもリスクを背負わなくていいように、発生源を根本から排除する対策を講じる
  • リスク受容:組織への影響度も発生率も低いリスク。あえて対策を講じない
  • リスク低減:組織への影響度は低いものの、発生率は高いリスク。発生確率をなるべく低減できるような対策を行う
クリックすると拡大します

まずはIT資産の把握を 「たった1台でも侵入口になりえる」

 楢﨑氏が組織のリスク評価の重要な手段として挙げたのが「IT資産管理」だ。「外部との接触が多いVPN装置はサイバー攻撃のリスクが高いので、強固なセキュリティ対策を講じるなど、資産ごとのリスクを効率的に洗い出せます」とそのメリットを説明。なお、IT資産にはPCやVPN装置など物理的な資産だけでなく、データやソフトウェアも含まれる。

 ただ昨今、IT資産を情報システム部門で一元的に管理するのが難しくなっている。スマートフォンやUSBデバイスなどIT資産が多種多様になり、各部署が必要なタイミングで独自に調達することも増えた。特に管理が難しいといわれるのがネットワーク機器で、SIerがシステムメンテナンス目的でVPNを設置するようなケースもある。しかし、「たった1台でも把握漏れがあれば適切な対策が行われず、そこがマルウェアの侵入口となり、サイバー攻撃の被害に遭ってしまう可能性もあります」と楢﨑氏はリスクを指摘する。

次のページ
内部不正対策には「ログの取得」が有効

この記事は参考になりましたか?

  • Facebook
  • X
  • Pocket
  • note
Security Online Day 2024 秋の陣レポート連載記事一覧

もっと読む

この記事の著者

古屋 江美子(フルヤ エミコ)

フリーランスライター。大阪大学基礎工学部卒。大手通信会社の情報システム部に約6年勤務し、顧客管理システムの運用・開発に従事したのち、ライターへ転身。IT・旅行・グルメを中心に、さまざまな媒体や企業サイトで執筆しています。Webサイト:https://emikofuruya.com

※プロフィールは、執筆時点、または直近の記事の寄稿時点での内容です

提供:Sky株式会社

【AD】本記事の内容は記事掲載開始時点のものです 企画・制作 株式会社翔泳社

この記事は参考になりましたか?

この記事をシェア

EnterpriseZine(エンタープライズジン)
https://enterprisezine.jp/article/detail/20525 2024/10/29 16:34

Job Board

AD

おすすめ

アクセスランキング

アクセスランキング

イベント

EnterpriseZine(エンタープライズジン)編集部では、情報システム担当、セキュリティ担当の方々向けに、EnterpriseZine Day、Security Online Day、DataTechという、3つのイベントを開催しております。それぞれ編集部独自の切り口で、業界トレンドや最新事例を網羅。最新の動向を知ることができる場として、好評を得ています。

新規会員登録無料のご案内

  • ・全ての過去記事が閲覧できます
  • ・会員限定メルマガを受信できます

メールバックナンバー

アクセスランキング

アクセスランキング