セキュリティ対策は万全ですか？　セキュリティ対策を改めて考える。

１．セキュリティ対策（情報セキュリティ対策）とは 

セキュリティ対策（情報セキュリティ対策）とは、インターネットやコンピュータを安全に使うための対策のこととなります。
IT化（ICT化）が進み、企業の事業運営に関わる機密情報や顧客の個人情報等を紙ではなく電子データで管理するようになりました。

電子データでの管理は便利な反面、インターネットを利用する限り全世界どこからでも繋ぐことが出来る環境に置かれることになります。
その為、外部から様々な攻撃を受けるリスクがあります。

ウイルス感染、不正アクセス、個人情報等の漏えい等、多様なリスクから自社の機密情報や顧客のデータをしっかりと守るためには、
堅牢な保護といったシステム面での対策に加え、自社のセキュリティに対して方針と規則を定めることも重要となります。

２．セキュリティ対策（情報セキュリティ対策）の基本

先ずはセキュリティ対策（情報セキュリティ対策）の基本を紹介させて頂きます。

「情報セキュリティ10 大脅威 2015」にて解説されている事項から引用となりますが、
「攻撃の糸口」を5 つに分類し、それぞれに該当する対策を「情報セキュリティ対策の基本」としています。

「攻撃の糸口」に変化がない限り、「情報セキュリティ対策の基本」による効果が期待できるので、
これを意識して継続的に対策を行うことで、被害に遭う可能性を低減できると考えられています。

また、昨今はクラウドサービスの利用も一般的になってきています。
クラウドサービスを利用する場合は、以下の表の対策を「情報セキュリティ対策の基本」+αとして行うことで、
被害に遭う可能性を低減できると考えるので参考にしてくださいと「情報セキュリティ10大脅威2022」で紹介されています。

以下はIPA 独立行政法人 情報処理推進機構が2022年３月に発表しました、
「情報セキュリティ10大脅威2022」で紹介された「個人」および「組織」向けの脅威の順位になります。
ランクインした脅威が全てでないと紹介されていますが、この辺りに気を付けて業務を進めて頂ければ幸いです。

３．セキュリティ（情報セキュリティ）で何を守るか？

改めてセキュリティ（情報セキュリティ）で何を守らなければならないかを紹介させて頂きます。

① 事業継続（業務リスク）

ウィルスに感染してしまうと、原因の究明及び完全に回復するまではシステムの利用はおろかPC等のデバイスも利用できなくなってしまいます。
その結果、業務を行うことが出来ない為、多大な損失となります。

② 自社の信用（信用リスク）

業務が止まる、情報漏洩が起こるといった事態に陥ってしまえば企業としての信用を失ってしまいます。
ステークホルダーにマイナスイメージを与えるだけでなく、取引先を失うといったリスクも・・・

③ 機密情報（情報リスク）

技術情報、個人情報、販売情報といった自社の情報が漏洩してしまえば、企業としての信用が無くなるだけでなく、
自社の技術情報が流出してしまえばビジネスにとって致命的なことになり得ます。

また、個人情報が流出した際には損害賠償を請求されることも・・・

────────────────────・・・

こういった脅威から実際に自社を守っていく必要があります。
以下の表は、こういった脅威から自社を守る為の対策とその対策となる製品となります。

４．製品からセキュリティ対策を進める危険性

上記の表から現在、対策出来ていない事項に合わせて製品導入を決める危険性をここでは紹介させて頂きます。

１．リスクコントロールの無い、情報セキュリティ管理に。

・具体的なインシデントの可能性や被害範囲がブラックボックス化
・漠然とした根拠のない安心感の蔓延

２．費用だけを投資しても実際のリスクは低下しない。

・未対策の箇所から大きな被害が発生する
・新たな脅威に対応する方法がわからない

３．機能の二重化や、無駄な投資につながる。

・製品よりも教育や運用の方が、効果的な対策となるリスクもある


────────────────────・・・

つまり、守るべきものとその対策から考えていく必要があるのです。
また、最初に紹介しましたが、自社のセキュリティに対して方針と規則を定めることが重要となります。

５．基礎的な対策の重要性

基礎を固めていないと対策の効果が得られません。
ここではその一例を紹介させて頂きます。

ネットワークの整備

⇒ インターネットへの接続箇所の制限。
⇒ 外部からのアクセス環境の整理。

× 外部接続箇所ごとにUTMが必要になる。

機密情報の定義

⇒ 守るべき情報を定義し、集中管理を可能にする。 

× すべての情報を厳格に守ると費用が莫大になる。

社内管理体制整備・社員教育

⇒ 社内セキュリティ責任者の決定。
⇒ インシデント発生時の連絡ルート確立。
⇒ 情報セキュリティ教育の実施。

× 無駄な投資や、同一機能の干渉による障害が発生する。

６．情報セキュリティ対策ロードマップの必要性

情報セキュリティ対策を行う上でロードマップの作成を行うことをお薦めしております。

・自社の情報セキュリティを守るための体制作りはすぐに始める。
・守るべきものを明確にし、その優先順位を決める。
・対策の費用対効果を比較し、順次導入。
・セキュリティに『完全』や『完了』はない。常に見直し。
・投資する経営資源（人工・費用）の合理性が必要。

情報セキュリティ対策はなかなか一気に行えるものではありませんので、
現状の把握、体制づくりや予算取りをロードマップを作成して取り組んでいくことをお薦めしております。

７．まとめ

セキュリティ対策（情報セキュリティ対策）を改めて検討するきっかけにして頂ければ幸いです。

明電商事ではセキュリティ対策の製品の取り扱いだけでなく、ロードマップの検討等のコンサルティングも行っております。
自社のセキュリティ対策（情報セキュリティ対策）に不安がある方は、お気軽に問い合わせ下さい。