- ネットワークを通じてコンピュータ・システム・データに対して情報の窃取・破壊・改ざん・妨害を行う悪意ある行為のこと
- 個人情報の窃取・金銭の詐取・システムの停止など目的は様々で企業・個人・行政機関を問わず標的になり被害が拡大している深刻な脅威だ
- マルウェア・フィッシング・ランサムウェア・DDoS攻撃・標的型攻撃など手口は多様化・巧妙化しており、技術的対策だけでなく従業員教育を含む組織的な対策が不可欠になっている
【深掘り】これだけ知ってればOK！
ランサムウェアの脅威を理解しよう。ランサムウェアはデータを暗号化して使用不能にし、復旧と引き換えに身代金（ランサム）を要求する攻撃だ。近年は、データを暗号化するだけでなく窃取したデータの公開をちらつかせて脅す「二重脅迫」も増えている。企業の事業停止につながる深刻な被害をもたらし、医療機関や製造業などが標的になる事例が相次いでいる。
標的型攻撃とソーシャルエンジニアリングを理解しよう。標的型攻撃は、特定の組織を狙って時間をかけて侵入する巧妙な攻撃だ。実在の取引先を装ったメールなど、人間の心理的な隙を突く「ソーシャルエンジニアリング」が多用される。技術的な防御をすり抜けて従業員を騙す手口のため、従業員一人ひとりのセキュリティ意識が防御の重要な要素になる。
サイバー攻撃への組織的対策を理解しよう。技術的対策：ファイアウォール・アンチウイルス・EDR・多要素認証・暗号化。組織的対策：セキュリティポリシー・インシデント対応体制（CSIRT）・定期的な脆弱性診断。人的対策：従業員へのセキュリティ教育・標的型攻撃メール訓練。事後対策：バックアップ・復旧計画。技術・組織・人の3層で備えることが重要だ。
よくある誤解
サイバー攻撃は大企業だけが狙われると思っている
中小企業や個人も標的になる。むしろ対策が手薄な中小企業は狙われやすく、取引先の大企業への侵入の踏み台にされることもある。規模を問わず、すべての組織・個人がサイバー攻撃に備える必要がある。
技術的な対策をすればサイバー攻撃は防げると思っている
フィッシングや標的型攻撃は、技術的防御をすり抜けて人間の心理的な隙を突く。従業員が騙されてパスワードを入力したり添付ファイルを開いたりすれば被害が生じる。技術だけでなく、従業員教育を含む組織的・人的な対策が不可欠だ。
会話での使われ方
ランサムウェアに感染してデータが暗号化されました。身代金は払わず、バックアップから復旧して警察に通報しましょう。
セキュリティ担当者がランサムウェア被害に対応している場面。
取引先を装った標的型メールが届いています。添付ファイルを開かないよう全社に注意喚起してください。
情報システム担当者が標的型攻撃への警戒を呼びかけている場面。
境界型防御では守りきれません。ゼロトラストの考え方で、すべてのアクセスを検証する体制に移行しましょう。
セキュリティ責任者が防御方針の転換を提案している場面。
【まとめ】3つのポイント
- ネットワークを通じてシステムやデータを狙う悪意ある行為：情報の窃取・破壊・改ざん・妨害を目的にマルウェア・フィッシング・ランサムウェア・DDoSなど多様な手口で企業・個人・行政を問わず標的にする深刻な脅威だ
- 手口は巧妙化し人間の心理的な隙を突く攻撃も多い：標的型攻撃やフィッシングは技術的防御をすり抜けてソーシャルエンジニアリングで人を騙すため従業員一人ひとりのセキュリティ意識が防御の重要な要素になる
- 技術・組織・人の3層の多層防御とゼロトラストの発想が重要：ファイアウォールやEDRなどの技術的対策に加えてセキュリティ教育・インシデント対応体制・ゼロトラストの発想で社内外を問わずすべてのアクセスを検証する多層的な備えが不可欠だ
よくある質問
-
Q主なサイバー攻撃の手口は何ですか？
-
A
マルウェア感染、フィッシング（偽サイトでの情報窃取）、ランサムウェア（データ暗号化と身代金要求）、DDoS攻撃（大量アクセスでサーバー停止）、標的型攻撃（特定組織への巧妙な侵入）などです。
-
Qランサムウェアに感染したらどうすればいいですか？
-
A
身代金は払わず、バックアップから復旧し、警察や専門機関に相談することが推奨されます。身代金を払ってもデータが戻る保証はなく、さらなる標的になる恐れもあります。
-
Q中小企業もサイバー攻撃の対象ですか？
-
A
はい。対策が手薄な中小企業はむしろ狙われやすく、取引先の大企業への侵入の踏み台にされることもあります。規模を問わず備えが必要です。
-
Qゼロトラストとは何ですか？
-
A
「何も信頼しない」を前提に、社内外を問わずすべてのアクセスを検証するセキュリティの考え方です。攻撃の巧妙化やテレワーク普及で従来の境界型防御の限界を補います。
この用語と一緒に知っておきたい用語
| 用語 | この記事との関連 |
|---|---|
| データ | 本記事のテーマと実務上セットで使われることが多い用語です。コンピュータが処理する数値や文字、画像といった事実や資料そのもの、それがデータだ |
| ランサムウェア | ランサムウェアとの関係を知ると全体像がつかみやすくなります。感染したPCのファイルを暗号化して使用不能にし、復号と引き換えに金銭（多くはビットコイン）を要求するマルウェアだ |
| 標的型攻撃 | 次のステップとして標的型攻撃を学ぶと知識が広がります。不特定多数ではなく特定の組織や個人を対象として、時間をかけて情報収集・侵入・潜伏・情報窃取を行うサイバー攻撃だ |
| フィッシング | 本記事のテーマと実務上セットで使われることが多い用語です。実在する企業になりすまし、偽のメールやサイトへ誘導してパスワードやカード情報を盗み取る詐欺、それがフィッシングだ |
| ゼロトラスト | 本記事のテーマと実務上セットで使われることが多い用語です。「決して信頼せず、常に検証する（Never Trust, Always Verify）」という原則に基づき、社内ネットワーク内であっても全アクセスを検証するセキュリティモデルだ |
【出典】参考URL
https://www.ipa.go.jp/security/ ：IPAの情報セキュリティ対策
https://www.nisc.go.jp/ ：内閣サイバーセキュリティセンター（NISC）
https://www.npa.go.jp/cyber/ ：警察庁サイバー警察局
コメント