セキュリティ対策の限界と訓練の必要性

新しいワーム型ランサムウェア、IoTへの攻撃、標的型メールをはじめとする標的型攻撃など、最近のサイバー攻撃は進化すると同時に多様化の様相を見せています。これらに対処し、会社の利益を守るには何をすべきなのでしょうか。
現状に対するセキュリティ対策の限界とセキュリティ訓練の必要性、そして新たなコンセプトのセキュリティソリューションについてご紹介します。

1. 最新のサイバー攻撃の種類
2. セキュリティ訓練の必要性
3. セキュリティ訓練のメリット
4. セキュリティ訓練の内容
5. セキュリティソフトを導入することも大切

最新のサイバー攻撃の種類

IT技術やインターネットサービスの普及が進むにつれ、サイバー攻撃やサイバー犯罪の種類も変化・急増しています。

サイバー空間における探索行為や、「WannaCry」などのWindowsを標的としたワーム型ランサムウェアによるサイバー攻撃、あるいはIoT機器を標的とした攻撃活動などが多く観測され、被害は増大し続けています。

中でも近年、目立っているのが特定の組織や個人をターゲットにした標的型攻撃です。特に普段の業務用メールをコピーしたような巧妙な偽メールが送信されてくる標的型メールはやっかいで、これによる被害が拡大しています。今後はさらにこうした新手のサイバー攻撃が増えていくでしょう。

セキュリティ訓練の必要性

被害件数の増加、攻撃手法の多様化を考えると、これらに対する技術的対策には限界があります。

標的型メールなどは、通常のアンチウイルスソフトなどでは見分けがつきづらく、通常通りに受信フォルダに送られてきます。そのため、攻撃を防ぐためのセキュリティ対策を講じるのも大事ですが、それと同時にまず個人個人がその存在を知り、疑う意識を持ち、対処法を心得ていることが求められます。

これを実現するのが「セキュリティ訓練」です。セキュリティ訓練とは、実際のサイバー攻撃を模した疑似攻撃を社員などに対して実行し、対処法を実地で学んでいく訓練です。

セキュリティ訓練のメリット

セキュリティ訓練にはどのようなメリットがあるのか、整理してみましょう。主に以下の3点が挙げられます。

1.ユーザーのセキュリティ意識をチェックできる

ユーザーが現時点でどのレベルのセキュリティ意識を持っているのかをチェックできます。現状把握のためのデータを収集し分析すれば、「何を訓練すべきか」がわかってきます。社員の知識レベル、リテラシーがわかるわけです。もしもレベルが低いとわかれば、そのことをまずアナウンスし、早急に対策を講じる必要があります。

2.セキュリティ意識を向上できる

セキュリティ訓練の最も重要な目的はここです。セキュリティに対する意識を向上させて、被害を回避するための情報や知識を与えます。標的型メールがいかに巧妙に作られているかを知り、その見分け方のポイントと対処法を知っているだけで、そこに添付されているファイルを不用意に開封しなくなる確率は飛躍的に高くなります。

3.長期的に考えると会社の利益を守ることにつながる

セキュリティ訓練の目的はサイバー攻撃やサイバー犯罪の被害に遭わないことです。そしてそれは会社の利益を守ることと深く関係しています。

セキュリティ訓練を受ければ、サイバー攻撃が会社に具体的にどのような被害をもたらすかがわかります。現在の職場、部門・部署、役職などで、どんな情報が漏洩したり、不正アクセスを受けたりするのかという知識を得られ、そこから、自分たち自身の手で会社を守る術を学んでいくことができます。

セキュリティ訓練の内容

では、セキュリティ訓練はどのようにして実施されるのでしょうか。主な内容をより具体的にみてみましょう。

1.講義

まず講義でサイバー攻撃やサイバー犯罪に関する知識を学びます。サイバー攻撃の種類や具体的攻撃方法、実際に被害に遭った事例などについてレクチャーを受けられます。特に最新の傾向や今後の予測について知るのはセキュリティ意識を高めるために役立つでしょう。サイバー攻撃は常に新しい方法が考え出され、臨機応変にそれに対処していくことが求められるためです。

2.ワークショップ

参加者同士で意見交換する、クイズ形式で出題された課題を解いていく、攻撃側と防御側に分かれてシステムの侵入の攻防戦を展開するといったワークショップでも、実践的なノウハウを身につけられます。サイバー攻撃というものを単に知識として知るだけでなく、体験することで、より臨場感を持ってその脅威を体感でき、守る術を身につけられます。

3.模擬練習

ワークショップと似ていますが、こちらはサイバー攻撃への対処法を学び、それを実践してみるものです。標的型攻撃メールを実際に受信したとき、どのようなポイントに気をつければ見分けられるのか、疑わしいと思った場合はどのように対応するのかを演習形式で体験して学びます。

セキュリティソフトを導入することも大切

以上のようなセキュリティ訓練を実施しても、それだけで完全にサイバー攻撃を防げるわけではありません。より万全なセキュリティ対策を構築するには、あわせて高性能なセキュリティソフトを導入することも求められます。

現在では通常のアンチウイルスソフトなどに加えて、悪意ある者による不正な侵入が発生したことを前提とし、侵入されたときにそれをいち早く察知し、迅速に必要な対応をすることを目的としたセキュリティソフトが注目を集めています。

IT変更管理ソリューション「Tripwire（*1）」もその一つです。Tripwireは変更管理プロセスに係わる運用業務に必要とされる、変更の検知／変更の評価／変更の承認／変更履歴の保管を効率的に支援するツールです。例えば外部からの不正アクセスによってシステムに何らかの変更が加えられると、それをすぐに感知できます。またバックアップデータを使って変更されたシステムを復旧する、変更の履歴（監査証跡）を提出することも可能です。

セキュリティ訓練を受けた人員を配すると同時にこうしたソリューションを活用すれば、多様化したサイバー攻撃にもより高度なレベルで対応できるようになるでしょう。

サイバー攻撃の多様化、巧妙化によって、求められるセキュリティ対策の内容もまた変化してきています。セキュリティに関する新たなフェーズに対処し会社の利益を守るため、個人の意識を高め、最新のセキュリティソリューションを活用してください。

*1　Tripwireは、米国、その他の国におけるTripwire,Inc.の登録商標です