マイナンバー制度が始まると、企業の心配ごとの一つに挙げられるサイバー攻撃。対策を練っておかないといけないとわかっていても、まだ動いていない事業主の方は今回の紹介記事を参考にして下さい。
企業の情報セキュリティー対策支援のため、地方公共団体や警察も動いている。
個人番号が通知される「マイナンバー制度」のスタートに合わせ、京都府や府警などは、企業の情報セキュリティー対策を支援するための連携組織を設立した。公益財団法人「京都産業２１」（京都市下京区）にＩＴ相談窓口を設置し、相談業務を開始。府内中小企業約１２万事業所を対象に相談を受け付ける。府警によると、こうした窓口の設置は全国初。オール京都態勢で、サイバー攻撃からの被害を食い止める狙いだ。
連携組織は、「京都中小企業情報セキュリティー支援ネットワーク」。府警のほか、大学や府内ＩＴ企業など１５団体が参加した。ＩＴ技術者や大学教授が対応策を講じるほか、事業所への定期訪問点検やセミナー開催も計画している。
連携組織として大学や府内ＩＴ企業が参加しているところも心強いです。
巧妙化、高度化する標的型サイバー攻撃に対抗するには？
マイナンバーを含む特定個人情報を狙う標的型サイバー攻撃に対しても、従来までの標的型サイバー攻撃対策と同様に3つのポイントでの対策が必要です。入口対策
出口対策
内部対策
入口対策とは？
入口対策は、外部からの攻撃による内部侵入を防止することを前提とされていましたが、高度化されている標的型攻撃では、これを突破し内部への侵入が増加しています。政府機関も内部への侵入を前提としたガイドラインを公開しており、ますます出口・入口対策以外に内部対策が必要不可欠な時代にあります。
政府も勧めている入口対策
従来、情報システムのセキュリティに関する設計対策では、情報システ ム内部への攻撃者の侵入を防止することを前提とした対策(以下「入口対 策」という。)が行われていた。しかしながら、攻撃者は、入口対策に用い られる製品等を事前に調査し、当該対策を回避・突破できることを確認し た上で攻撃してくることが想定される。このことから、標的型攻撃は、FW やメールゲートウェイ等の入口対策を回避・突破して内部に侵入すること を前提としたシステム設計対策を行う必要がある。また、標的型攻撃を回避し、不正プログラムに感染しないように対策を 行うことは必要であるが、標的型攻撃が巧妙化する中で、組織の職員全員 が不正プログラムへの感染を回避し続けることは困難である。
したがって、組織の端末は、常に不正プログラムに感染する可能性があ るという前提に立ち、攻撃者の最終目的(重要な情報の窃取や重要なサー バ等情報システムの破壊)を達成させないように、その前段階で攻撃に対 処することが重要である。情報システム内部への全ての攻撃を完全に防御し、遮断することを可能 とするような対策があればそれを実施すればよいが、残念ながらそのよう な対策は現在存在しない。そのため、ハッキング技術を用 いた情報システム内部への一連の攻撃手法を防御・遮断する対策(以下「防 御遮断策」という。)と、その攻撃の兆候を早期に検知したり、ログを定期 的に監視し攻撃の痕跡を見つけ出したりすることにより、情報システム内 部で攻撃が行われていることを早期に把握し対処する対策(以下「監視強 化策」という。)を組み合わせて実施する必要がある。
なお、標的型攻撃への対策が十分実施できているかどうかは、単に対策 の実施数で判断するのではなく、標的型攻撃を統制するために有効と考え られる目標(以下「統制目標」という。)を設定したうえで、防御遮断策・ 監視強化策の実施による各統制目標の達成状況によって判断する。
マイナンバー制度が定着していくにつれ、政府の言う防御遮断策・ 監視強化策を考慮した新しいセキュリティソフトが次々と現れることでしょう。
出口対策とは？
近年、日本企業や団体を狙った悪質なサイバー攻撃や新たに生まれ続ける未知のマルウェア等の脅威が増加傾向にあることに加え、標的型攻撃を目的としたマルウェアの30%超は、発生2か月後もウィルス対策ソフトで検知されないという調査結果が出ているなど、企業は早急なセキュリティ対策強化に追われています。これらの新たな脅威から企業の情報漏洩を防ぐには、セキュリティソフトによる「入口対策」に加え、組織内のネットワークから機密情報を外部に流出しないようにする「出口対策」が重要になります。
IPA（情報処理推進機構）は2013年8月29日、「『標的型メール攻撃』対策に向けたシステム設計ガイド」を公開した（IPAの文書配布ページ）。標的型メール攻撃について、攻撃の全体像や特徴、システム設計による対策手法をまとめている。2011年に公開された「『新しいタイプの攻撃』の対策に向けた設計・運用ガイド」の続編となる。2011年のガイドラインでは、仮にマルウエアに侵入されても、ネットワークの出口段階で情報を持ち出されないようにする「出口対策」を打ち出した（関連特集：急増する標的型攻撃から社内の情報流出を防げ）。今回の新ガイドラインでも方針は変わらない。マルウエアの感染を防ぐことより、攻撃を無効化することに重点を置いている。対象とするサイバー攻撃を標的型メール攻撃に絞ることで、攻撃の分析や対策手法の解説を詳細にしているのが前回との違いだ。
さらに前回のガイドラインにはなかった対策の解説も追加した。具体的には管理者アカウントを攻撃者に窃取されない対策と、攻撃に対してトラップ（罠）を仕掛ける方法を記している。また、攻撃の無効化手法に加えて、プロキシーサーバーのログ分析を詳細に解説している。普段からの監視や攻撃を受けた場合の事後対策にも記述内容を広げた。
要は、外に情報が出て行く前に処理してしまおうというのが出口対策なのですね。
内部対策とは？
不正侵入があった場合にも重要な情報へのアクセスを防ぐ対策内部対策は、マルウェアの感染後、内部での感染を広げないような端末隔離で実施します。そして、出口対策はWebフィルタリングやログ調査／遮断の仕組みで対応します」
