すべての企業がマイナンバー制度に対応していくということは、今まで大手企業を中心に行われていたサイバー攻撃が、中小企業にまで及ぶ可能性が出てきます。今回は、このことに関連する記事を集めてみました。
サイバー攻撃とは？
サイバー攻撃とは、コンピューターシステムやネットワークを対象に、破壊活動やデータの窃取、改ざんなどを行うこと。特定の組織や企業、個人を標的にする場合や、不特定多数を無差別に攻撃する場合がある。サイバー攻撃のうち、政治的な示威行為として行われるものを「サイバーテロ」、国家間で行われる攻撃を「サイバー戦争」と呼ぶことがある。具体的な手法としては、マルウェアが添付された(またはマルウェア配布サイトへ誘導するURLが記載された)電子メールを送信し、マルウェアに感染させたり、特定のシステムに侵入して情報を盗み出したり、Webサイトの内容を改ざんしたり、大量のアクセスを集中させてシステムを機能不全に陥らせたりするといったものが挙げられる。
サイバー攻撃「標的型攻撃」の特徴は、大きく分けて２つある。
すべての企業でマイナンバーのような重要情報を保存するようになれば、外部からの攻撃も活発になるだろうことは容易に想像できる。マイナンバーは、さまざまな要件にかかわる重要情報だけに、価値も非常に高い。ここ数年、各企業に特化したサイバー攻撃「標的型攻撃」の被害が続いており、重要情報の漏洩が後を絶たない。こうした情報漏洩事件は企業の業績に大きな影を落としている。もし「標的型攻撃」によって、マイナンバーを漏洩した場合、被害はこうした事件よりもさらに甚大なものとなるだろう。
いま活発化している「標的型攻撃」の特徴は、大きく2つ。社員を騙して自らウイルスをインストールするように仕向ける「詐欺」行為であること、ウイルスを攻撃対象の企業に特化して開発しているため「新種のウイルス」であること、があげられる。世界中のメーカーが出しているアンチウイルスソフトは「詐欺」や「新種のウイルス」にはまったく対応していない。そのためマイナンバー対応として、通常のアンチウイルスを導入するのは無意味だ。
相変わらずの「いたちごっこ」という感がします。
標的型攻撃を受けたら 感染を100％防ぐのはもはや不可能
「標的型攻撃メールが送られてきたら、開封してしまうのは仕方がないことです。攻撃側は開封するように巧妙にメールを作っていますので、100％防ぐことは不可能。もちろん、社員に『怪しいメールの添付ファイルは開かないようにしましょう』という教育を徹底し、感染の確率を下げることは必要です。しかし、それよりも重要なのは、攻撃メールを開封した際に『よくよく考えたらおかしかった』ということを社内で気軽に相談や報告ができる雰囲気を作ることなのです」
もし「攻撃メールを開いた人が悪い」という空気が社内にあると、「何かおかしかった」と報告しづらいものだ。それでは攻撃を見逃し、脅威を取り除くチャンスを自らつぶしてしまいかねない。
被害が拡大する前に、行動に移しましょう。
感染の防止だけではなく事後のインシデント・レスポンスが重要
多層防御の最後は「事後対応」だ。実はここが一番重要な部分である。というのは、感染や流出が分かったときの対応が悪いと、流出するデータが増えるなど被害が拡大してしまうからだ。日本年金機構の場合でも、外部からの指摘があった最初の時点での対応が甘かったため、他の部署宛てにも標的型メールが届き、流出被害を拡大させている。
ポイントは「事故前提の対策」を考えること。「絶対に流出を起こさない」ではなく、「ウイルス感染や情報流出は起きるもの」として、対応をシミュレートしておく。事故後の対応を決めておけば、いざというときも慌てずに判断できるようになる。
incident response
インシデント・レスポンス情報セキュリティに関する様々な(主として不正な)出来事への対応活動全般をいう。
だからと言って、流出後「しょうがないか」で済ましているのも問題があります。
事故後の対策を予め決めておくというのは、とても良いことだと思えます。
ウイルス感染を想定したセキュリティ対策と運用管理を！
ウイルス感染リスクの低減ウイルス感染の防止が難しいとは言え、ウイルス感染は極力回避する必要があります。そのためには以下の対策が有効です。
・ソフトウェアの更新の習慣化および徹底
脆弱性を狙ってウイルスを感染させる攻撃からPCやサーバーを保護するために、ソフトウェアの更新による脆弱性の解消を習慣化してください。必要に応じて端末の状態を監視する資産管理や更新管理（パッチ管理）製品を導入することも検討してください。・セキュリティソフトウェア（ウイルス対策ソフト）の導入
流行しているウイルスの感染を予防するためには必要不可欠であり、パターンファイルの常時更新も必要です。・メールの添付ファイルのブロック
メールサーバーやメールゲートウェイで不審な添付ファイルをブロックすることでウイルス感染するリスクを低減させます。・ウェブフィルタリング
業務に必要の無いウェブサイトの閲覧を制限することで、ウェブ経由でのウイルス感染するリスクを低減させます。・教育や訓練
手口を知るための教育や標的型攻撃などを想定した訓練の実施により、攻撃に気付く知見や能力を養うことで、ウイルス感染するリスクを低減させます。
敵の手口を知ることも大切ですね。
サイバーセキュリティ 2015(案)
■セキュリティマインドを持った企業経営の推進
サイバー攻撃によるリスクを投資家に開示することの可能性を検討 【内閣官房及び金融庁】経営ガイドラインの策定 【経済産業省】
「橋渡し人材層」としての能力向上を図るセミナー等を実施【内閣官房及び総務省 他】
ISACを活用した情報共有体制の拡充 【総務省】
■セキュリティに係るビジネス環境の整備
政府系ファンド等の活用検討 【経済産業省】
著作権法におけるリバースエンジニアリングに関する適法性を明確化 【文部科学省】
制御システムセキュリティ認証の拡大 【経済産業省】
一つでも多くの実現に期待したいです。
