IT技術の進化によって、業務の効率化やテレワークの普及による新しい働き方などが実現するなか、セキュリティ脅威の存在も大きくなっています。技術の進歩と同様にサイバー攻撃も多様化し、あらゆる脅威に備える情報セキュリティは企業として必要不可欠な要素になりました。しかし、情報セキュリティに関して詳しくわからないという方も多くいらっしゃるかと思います。

この記事では、情報セキュリティの基礎知識から、おもな脅威と具体的な対策方法について解説します。

情報セキュリティ対策とは

はじめに、情報セキュリティ対策の基礎知識について見ていきましょう。

あらゆる脅威に備え、安全に使える状態にすること

情報セキュリティとは、サイバー攻撃や災害などの脅威に備え、利用者が安全にIT環境を利用できる状態を保つことです。企業は機密情報や個人情報などの守るべき資産が多く、狙われやすい立場にあります。

情報漏えいやマルウェア感染などのセキュリティ事故は、企業にとって存続を危うくする可能性があるほどインパクトが大きく、情報セキュリティは必要不可欠な要素となっています。

情報セキュリティの3大要素

情報セキュリティ対策を実施するためには、情報セキュリティの3大要素である機密性・完全性・可用性について理解しなければなりません。これら3つの要素をバランスよく実現することで情報セキュリティ対策が行なえます。

機密性

許可された人や権利を持った人だけが情報にアクセスできる状態であり、情報の盗難や不正アクセスなどの対策をすることで向上させます。機密性は情報セキュリティのなかでも要となる要素です。

完全性

情報が改ざんされたり、破壊されたりしていない完全な状態であることを表します。正規の状態を保つために、暗号化やバックアップを利用して改ざんや破壊に備える必要があります。

可用性

情報にいつでも安全にアクセスできる状態を表し、システムの稼働継続性にも通じる要素です。日本は災害が多く、サイバー攻撃だけでなく災害への対策（ディザスタリカバリー）も欠かせません。

情報セキュリティ対策におけるおもな脅威

情報セキュリティ対策を実施するにあたり、どのような脅威が存在するかを把握することも重要です。ここでは、情報セキュリティ対策におけるおもな脅威について簡単に解説します。

不正アクセス

不正アクセスは、正規でないユーザーが不正に情報やシステムにアクセスすることです。パスワードの盗取やなりすましなどによって行なわれ、情報の漏えいやマルウェア感染などの多くの脅威の足がかりとなることもあります。

不正アクセスは情報セキュリティの要となる機密性を破壊するものであり、不正アクセスを実現するためにさまざまなサイバー攻撃が存在しています。情報セキュリティ対策として、はじめに対策すべき重要な脅威の一つといえるでしょう。

情報の漏えい・盗難・改ざん

機密データや個人情報など、多くの重要な情報を持つ企業にとって情報の漏えいや盗難は大きな損失を招く恐れがあります。また、Webサイトなどのコンテンツを提供してる場合には、コンテンツの改ざんによる被害を受ける可能性も考えられるでしょう。

情報の漏えい・盗難・改ざんは機密性・完全性を破壊するものです。特に情報の改ざんは閲覧者に間違った情報を提供するだけでなく、場合によってはマルウェア感染などの被害に発展することも考えられます。

被害者でありながら加害者にもなりえるため、十分な警戒が必要です。

マルウェア感染

一昔前はウイルス感染が危険視されていました。しかし、近年ではウイルスだけでなく、ランサムウェアやスパイウェアなどの不正なソフトウェア（マルウェア）全般に対する対策が必要です。

マルウェア感染は、機密性・完全性・可用性のいずれも破壊する可能性があり、感染による被害は想像以上に大きくなる可能性があります。また、感染しても見つからないように動作するものも多く、知らないうちに被害が拡大することもあります。

日々進化し続けるマルウェアに対抗するためには、システム的な対策だけでなく個人の意識やリテラシー向上といった対策も必要です。

サイバー攻撃、災害による業務停止

サイバー攻撃や災害を原因とした機器障害によるサービス停止、業務停止も情報セキュリティ対策として対策すべき部分です。企業としてサービスや業務は継続し続ける必要があり、可用性に通じる要素となります。

サイバー攻撃の種類としては、サービス停止を狙ったDDoS／DoS攻撃が有名であり、災害や機器故障によるシステム停止を防ぐためにはシステムの冗長性が重要です。

情報処理推進機構（IPA）が公表する10大脅威2021でも、組織部門における第7位に“予期せぬIT基盤の障害にともなう業務停止”が挙げられています。 情報セキュリティにおける脅威として、サービスや業務の停止は回避すべき重要な事項であることがわかるでしょう。

具体的なセキュリティ対策方法

先ほど紹介した脅威に対して、具体的なセキュリティ対策方法としてはどのようなものがあるのでしょうか。次に紹介する対策方法はそれぞれ行なうのではなく、全体的に実施することが重要です。

セキュリティ対策ソフトの導入

マルウェア感染に対しては、セキュリティ対策ソフトの導入が有効です。近年のセキュリティ対策ソフトは、マルウェア対策だけでなく、フィッシングメール対策や情報漏えい対策としての機能を持つものも存在します。

一昔前はウイルス対策ソフトとして存在していましたが、近年では総合的なセキュリティ対策を実現するためのソフトとなっています。日々進化し続けるマルウェアに対抗するために、振る舞いによる検知を可能とするセキュリティ対策ソフトも多く、企業におけるエンドポイントの情報セキュリティ対策として有効です。

ファイアウォールなどによるネットワーク上の対策

企業のシステムやネットワークは規模が大きいため、セキュリティ対策ソフトによるエンドポイントのみの対策では不十分です。そもそも、不正な通信を社内ネットワーク内に侵入させないための仕組みとして、ファイアウォールなどのネットワーク上を流れる通信を監視・制御するための対策が必要となります。

加えて、DDoS／DoS攻撃のようなサービス停止を狙った攻撃には、WAF（Web Application Firewall）やIDS／IPSが有効です。これらのセキュリティ対策を実施し、ネットワーク上の対策も併せて実施するとよいでしょう。

従業員のセキュリティ教育

情報セキュリティ対策を実施する上では、従業員のセキュリティ教育も重要です。情報漏えいや盗難などは、人的要因によって引き起こされることも多いため、しっかりとしたセキュリティ教育が必須となります。

例えば、機密情報をノートパソコンに保存し、移動中の電車に忘れることによる情報漏えい事故も報告されています。システム的な対策だけでなく、セキュリティ事故を起こさないためにルールを策定し、従業員のリテラシーを向上させることも重要です。

システムの冗長性の確保

サイバー攻撃や災害による業務停止への対策としては、システムに冗長性をもたせることが有効です。例えば、1台のサーバーでサービスの提供や業務に必要なシステムを稼働させていると、対象のサーバーが故障しただけでサービス・業務が停止してしまいます。

複数台のサーバーを用意したり、バックアップを取得したりしておけば有事の際でもシステムが停止することなく、復旧も容易に行なえます。いまやシステムの冗長化やバックアップの取得は企業のシステムとしては当たり前のものです。

システムの冗長性の確保も情報セキュリティ対策の一環として、非常に重要なものとなっています。

機密性・完全性・可用性を考慮した情報セキュリティ対策が必須に

情報セキュリティとは、サイバー攻撃や災害などの脅威に備え、利用者が安全にIT環境を利用できる状態にすることです。企業は守るべき資産が多く狙われやすいため、情報セキュリティ対策は必須となっています。

情報セキュリティにおけるおもな脅威としては、不正アクセスや情報の漏えい・盗難・改ざん、マルウェア感染、サイバー攻撃や災害による業務停止などが挙げられます。これらの脅威に対しては、セキュリティ対策ソフトやファイアウォールなどの導入、従業員のセキュリティ教育、システムの冗長性の確保が有効です。

情報セキュリティにおける3大要素である機密性・完全性・可用性をバランスよく実現することが、情報セキュリティ対策に求められます。

掲載日：2022/01/20