情報セキュリティのトレンドをアップデートしよう

こんにちは、BRMzの石井です。

IPAより、「情報セキュリティ１０大脅威2022」が発表されました。

10大脅威とは、前年に発生したセキュリティ事故や攻撃の状況等から脅威を選出されるもので、「個人」の立場からのものと、「組織」の立場からのものがあります。

上記を見ると、昨年には10位以内に無かったものとして、組織の７位に「修正プログラムの公開前を狙う攻撃（ゼロデイ攻撃）」がランクインしています。

ゼロデイ攻撃とはどのような脅威なのでしょうか。

ゼロデイ攻撃とは、OSやソフトウェアに脆弱性が見つかった際に、対策が完了するまでの間に行われる攻撃の総称です。

対策のリリース日（１日目）より前に行われる攻撃としてゼロデイ（０日目）攻撃と言われています。
ゼロデイ攻撃は、ウイルス対策ソフトがリリースで対応するよりも早く攻撃されてしまうため、対策が難しいと言われています。

過去の被害例

１.Adobe Flash Player

2015年にアドビシステムの「Flash Player」に深刻な脆弱性が複数存在することが明らかになりました。

Flash Playerは当時アニメーションや画像コンテンツを見るためによく使用されていたソフトウェアでした。

この脆弱性の中には、遠隔からパソコンを乗っ取られてしまうものもあり、対策が打たれるまでの間、ソフトウェアの使用を中断するように呼びかけた会社もありました。

２.Internet Explorer

2019年には、インターネットブラウザで一定のシェアを誇っていた「Internet Explorer」に対するゼロデイ攻撃が発生しました。

このゼロデイ攻撃では、パソコンの中に保存されているデータを盗み取られる危険のあるものでした。

対策は何をすればいい

１.プログラムを常に最新の状態にしておく

全てのゼロデイ攻撃を防ぐことは難しいですが、ソフトウェアの開発会社は、脆弱性が見つかったらソフトウェアのアップデートで対策します。

プログラムの更新をサボってしまい、脆弱性を放置することは、攻撃者の格好の餌食となってしまいます。

Windowsアップデートや普段よく使用するソフトウェアの更新を定期的に行うことで、脆弱性が少ない状態を保つことができるため、ゼロデイ攻撃から身を守ることができます。

２.ホワイトリスト型セキュリティの導入

特定のソフトウェアを動作させなくするようなセキュリティソフトを、ブラックリスト型といいます。

会社にとって望ましくないソフトウェアを、ブラックリスト入りさせることで、会社で動作することがなくなります。

その反対に、よく使う特定のソフトウェアだけを動作可能とし、他のソフトウェアは動作できなくするようなセキュリティソフトを、ホワイトリスト型と言います。

ブラックリスト型では、未知のソフトウェアを素通りさせてしまうため、新しいウイルスに対応することが難しいですが、ホワイトリスト型なら、未知のソフトウェアをブロックすることができます。

３.セキュリティ教育の実施

新入社員の入社時や、ベテラン社員に対してセキュリティ教育を行うことも基本的な対策として重要です。

ウイルスの侵入経路としては、メールやインターネットブラウザなどが主なものですが、近年ではクラウドを経由して侵入することも増えています。

怪しいメールを開かないことや、怪しいサイトを閲覧しないことはもちろんですが、攻撃者側も上手く侵入できるように手口が巧妙になってきています。

そのため、定期的にセキュリティ教育を行い、最新のセキュリティ動向を知っておくことが有効なのです。

まとめ

セキュリティの世界では、サイバー犯罪者とセキュリティ企業や警察がいたちごっこを続けています。

日々手口が巧妙になってきており、大企業も多く被害に遭っていることから、人ごとだと考えて対策を打たないことは非常に危険です。

企業がその被害を受けないためには、情報システム部門が専門家を中心に対策を打つだけでは不十分で、従業員一人ひとりの教育によりセキュリティに対する意識を高く維持していく必要があります。

また、いざ被害に遭ってしまったときにも、すぐに対応できる体制づくりと教育が必要なのです。

複業集団BRMzでは多様な業界・業種の出身者が、各種教育セミナーなどのご支援をします。

「従業員のセキュリティ意識を高める方法がわからない・・・！」

様々なお悩みに私たちBRMzのベストメンバーがお応えします。
まずは、BRMzまでお気軽にご相談ください！