サイバーセキュリティという言葉を見聞きし、身近に感じることのできる人はどれくらいいるでしょうか。情報社会となった現代では、企業だけでなく個人にとっても、サイバー空間の脅威は身近なものとなっています。
サイバーセキュリティ強化のためには、サイバー空間の脅威にはどのようなものがあるのか、サイバーセキュリティはどれだけ重要性を持つのか、企業だけでなく個人としても認識しておく必要があります。
本稿では、サイバーセキュリティを考えるうえで、サイバー空間での脅威にどのようなものがあるのかを紹介し、脅威への対策について解説していきます。
サイバーセキュリティとは
まずはサイバーセキュリティという言葉に対して、意味や定義を整理していきましょう。セキュリティ対策を徹底していくためには、サイバーセキュリティの概念から理解を深めていくことが大切です。
サイバーセキュリティの定義
サイバーセキュリティとは、サイバー攻撃に対する防御策、取り組みのことを指します。
システムへの不正アクセスやデータ改ざんなどに備え、システムの脆弱性に対処することや、不正侵入検知などのセキュリティソフトウェアを導入し、それらが適切に働くように維持管理することがサイバーセキュリティです。
サイバー攻撃はネットワークやコンピュータなどさまざま場所で起こる可能性があります。そして、その手段も年々巧妙になっています。あらゆる場所、あらゆる手口によるサイバー攻撃に対応できるよう、昨今の情報社会においてはサイバーセキュリティを強固にしていくことが、企業にも個人にも求められています。
サイバーセキュリティについては、
- サイバーセキュリティ基本法
- ISO/IEC 27032:2012
に定められています。
日本の法律であるサイバーセキュリティ基本法は、世界的脅威となっているサイバー攻撃に対応する目的で施行されており、ISOは国際規格として、サイバーセキュリティのためのガイドラインが定められています。
サイバー空間とは
では、サイバーセキュリティ基本法やISOが示すサイバー空間とは、どのような空間のことを指すのでしょうか。
サイバー空間（別名・サイバースペース）とは、ネットワークやコンピュータなどのシステムによって構築されている仮想的空間のことです。サイバー空間の中では、さまざまな情報がやり取りされています。一番分かりやすい例では、私たちが日々、利用しているインターネットこそサイバー空間です。
そして、このサイバー空間で行われている情報の窃取や改ざんなどの不正行為がサイバー攻撃です。不正侵入などのハッキング行為、迷惑メール配信といった行為もサイバー攻撃の1つです。
サイバーセキュリティと情報セキュリティ
情報セキュリティは、さまざまな脅威から情報を守るための対策を指します。私たちが安心してパソコンやインターネットを使えるように、また必要なときにいつでも情報の利活用ができること、大切な情報が外部に漏れたり、改ざんされたりしないように対策することが情報セキュリティです。
情報セキュリティは、
- 機密性
- 完全性
- 可用性
JIS規格の中で、これら3つの要素によって定義されています。
『機密性』とは、権限を与えられた者だけが情報を閲覧したり変更したりできること、『完全性』とはデータの改ざんや消失を許すことなく、あるべきかたちが保たれていること、『可用性』とはどのような場合でも必要に応じてデータの取り出しや処理ができるようになっていることを指します。この3大要素が保たれてこそ情報セキュリティは確保されるのです。
そして、情報セキュリティには、
- アプリケーションセキュリティ
- ネットワークセキュリティ
- インターネットセキュリティ
これらのカテゴリがあり、サイバーセキュリティはこれらのカテゴリの上位概念としてとらえることができます。
サイバーセキュリティは、情報セキュリティに含まれる概念としても考えられますが、上位概念でもあるため、共通の観点がありながら、サイバー空間というサイバーセキュリティ固有の技術や脅威に特化した観点もあることがポイントとなります。
【解説】Webセキュリティ ～Webサイトを取り巻く脅威と対策～
安心・安全なWebサイトの運営に欠かせない脆弱性対策、WAFによる対策について解説します。
サイバー攻撃の脅威
ではここからは、サイバー攻撃の脅威について整理していきましょう。企業や個人にとって特に注意すべき脅威は、以下のようなものがあります。
標的型攻撃
標的型攻撃は、特定の個人や組織をターゲットとしたサイバー攻撃のことです。不特定多数に対して行うサイバー攻撃とは異なり、特定の個人や組織が重要機密として保持している情報を流出させたり、改ざんしたりする攻撃になります。
ニュースなどで取り上げられる企業の情報漏洩事故は、このような標的型攻撃によって起こります。そのため企業には、標的型攻撃の脅威への強固なセキュリティ対策が求められています。
金銭目的の攻撃
サイバー攻撃は、情報漏洩を狙ったものだけではありません。金銭目的の攻撃も数多くあります。
企業を狙う金銭目的の攻撃には、
- ランサムウェア
- フィッシング
- ビジネスメール詐欺
が代表的です。
ランサムウェアはコンピュータウイルスの一種で、感染すると重要なデータが暗号化されて使用できなくなったり、システム自体が操作不能になったりするなどの被害を受けます。そして攻撃者は、この感染した状態を解除するための身代金を企業に要求するのです。
フィッシングは、なりすまし行為によって作成された偽のメールを勝手に送ったり、偽のWebサイトに誘導したりすることで、個人情報を盗み取ることです。偽のWebサイトに誘導されたユーザーは、健全なWebサイトだと誤解して個人情報を入力してしまい、気づかないうちにそれらの情報を盗み取られてしまうのです。
ビジネスメール詐欺も同じで、取引先や同僚を装ってメールを送信することで、情報を盗み取ったり金銭を騙し取る悪質な手口です。
求められるサイバーセキュリティ対策とは
企業にとってサイバー攻撃への対策は、必要不可欠なことです。サイバーセキュリティ対策として求められていること、効果的な対処法を整理していきましょう。
従業員へのセキュリティ教育と啓蒙
ヒューマンエラーによってセキュリティ事故が起きてしまうことは珍しくありません。サイバーセキュリティを考えるうえで必要な対策は、設備やシステム側だけの対策ではないのです。
- IDやパスワードなどの重要情報を外部に漏れないようにする
- パスワードは推測されないものを設定する
- 重要データの誤送信を防ぐため複数名でチェックを行う
- モバイル端末の管理体制を強化する
- 個人アカウントのSNSで業務上の情報を公開しない
以上のようなルールを明確にし、サイバーセキュリティに関して啓蒙教育をすることは非常に重要です。
定期的にセキュリティに関するセミナーや研修を行い、従業員のセキュリティ運用の見直しやレベルアップを図るようにしましょう。
システムやWebサイトへの防御策
サイバーセキュリティの強化には、ネットワークやWebサイトの防御策をより厳重にすることが有効です。
ファイアウォールを設置することで、内部と外部ネットワークの境界線で適切なアクセス制御を行ったり、パソコンやサーバーにはウイルス対策ソフトを導入するようにします。また、脆弱性を悪用した攻撃の影響を受けないようにするため、ソフトウェアやOSのアップデートも重要な対策となります。
情報流出などのセキュリティ事件・事故は、サイバー攻撃を確認してから対処したのでは、すでに手遅れな状態になっているといえます。サイバー攻撃に立ち向かい、セキュリティ事件・事故を未然に防ぐようにしていきましょう。
Webサイトのセキュリティでは、Webアプリケーションの脆弱性を悪用したサイバー攻撃の標的になりやすいという傾向があります。Webサイトの保護には、Webアプリケーションの脆弱性を悪用するサイバー攻撃を検出・防御し、Webサイトを保護するためのセキュリティ製品のWAF（Web Application Firewall）が有効です。
効果的な対策を実施して、サイバーセキュリティ強化に努めましょう。
WAF導入によるサイバーセキュリティ対策
サイバーセキュリティは、不正侵入やデータ改ざんなどのサイバー攻撃に対抗する防御策、取り組みのことを指します。
まだまだ発展し続けるインターネット社会の中、サイバー攻撃の脅威が大きなものとなり、また被害件数も増加しているのが実情です。今、企業にはサイバーセキュリティの強化が求められているのです。
EGセキュアソリューションズ株式会社が開発・販売する純国産WAF「SiteGuardシリーズ」は、クラウド型、ホスト型、ゲートウェイ型のWAFをご用意しており、様々な要件に対応することが可能です。
ワンランク上のWebサイトのセキュリティ対策をご検討の際は、ぜひ当社までご相談ください。
WAFとは
Webアプリケーションファイアウォール（WAF：Web Application Firewall）は、ウェブサイトに対するアプリケーションレイヤの攻撃対策に特化したセキュリティ対策です。
