サイバーセキュリティの脅威は日々進化しており、企業規模に関わらず誰もが標的になり得ます。本記事では、実践的なサイバーセキュリティ対策について解説します。
1. 基本的な対策の徹底
OSやソフトウェアのアップデート、強力なパスワードの使用、多要素認証の導入など、基本的な対策を徹底することが重要です。
2. 教育と訓練
従業員に対するセキュリティ教育や、標的型攻撃メール訓練などを定期的に実施し、組織全体のセキュリティ意識を高める必要があります。
3. インシデント対応計画
万が一の事態に備え、インシデント対応計画を策定し、定期的な訓練を行うことで、被害を最小限に抑えることができます。
取引先や委託先を含めた供給網のリスク管理
自社の対策を固めても、業務でつながる相手側の備えが弱ければ、そこが侵入の入口になります。システムの運用を外部に委ねている場合や、取引先と情報をやり取りしている場合は特に注意が必要です。契約の時点でセキュリティ上の要求事項を明示し、事故が起きた際の連絡義務を取り決めておくことが求められます。取り決めがないまま関係が続いている相手ほど、点検の優先度は高くなります。
とはいえ、すべての取引先に同じ水準を求めるのは現実的ではありません。扱う情報の重要度や接続の深さに応じて区分し、重点的に確認する相手を絞り込む。限られた労力をどこに配分するかを決めること自体が、供給網の管理における実務的な出発点になります。区分の基準は一度決めて終わりにせず、取引の内容が変わったときに見直す運用にしておくと実態からずれにくくなります。
復旧できることを前提にしたバックアップ設計
侵入を完全に防ぎ切ることは難しいという前提に立つなら、被害を受けた後にどこまで戻せるかが問われます。バックアップを取得しているという事実だけでは不十分で、本番の環境から切り離された場所に保管されているか、書き換えられない形で残っているかが決定的な差になります。取得の頻度と保管の期間も、業務の性質に応じて決めておくべき項目です。
あわせて、実際に復旧できるかを試しておく必要があります。取得はできていても、いざ戻そうとすると手順が分からなかったり、想定より時間がかかったりする例は少なくありません。どの業務を何時間以内に再開させるのかという目標を先に定め、そこから逆算して仕組みを組むのが順序です。訓練の記録を残しておけば、手順の抜けを次の機会に改善できます。
限られた予算と人員で優先順位を決める判断軸
対策には終わりがなく、すべてを同時に進められる組織は多くありません。だからこそ、守るべき情報と、それが失われたときの影響の大きさを整理する作業が最初に来ます。何を守るのかがあいまいなまま製品を導入しても、費用に見合う効果は得られません。情報の一覧を作り、それぞれの重要度を関係する部署とすり合わせる作業は、地味ですが最も効果の大きい第一歩になります。
判断の際は、発生の可能性と影響の度合いの両面から見ることが有効です。頻度は低くても事業の継続を脅かす事態には手厚く備え、影響が限定的なものは運用でしのぐ。この線引きを経営層と現場が共有できていれば、投資の説明もしやすくなり、対策が続きます。説明できる根拠を持つことは、担当者が交代しても方針を保つうえでも役立ちます。