情報セキュリティ対策とは、企業の情報資産を外部から守ることに他なりません。そこには悪意ある不正アクセスや地震などの災害によるダメージから情報資産を守ることも含まれます。

しかし近年のサイバー攻撃は、巧妙化かつ複雑化しており、セキュリティ対策に割くべき予算も年々増加傾向にあります。もちろん、だからといってセキュリティ対策を怠るべきでないことは明らかです。

今回は、情報セキュリティ対策の重要性を、過去のセキュリティ事故の事例を確認しながら解説していきます。最低限必要な事故を防ぐための対策も合わせて紹介するので、いま一度セキュリティ対策を見直すキッカケにしてみてください。

過去の事例を知ることは情報セキュリティ対策につながる

情報セキュリティ事故による被害は、どのような企業でも遭遇する可能性があります。万全なセキュリティ対策を講じていても、リスクがゼロになることはあり得ません。

ただ、過去のセキュリティ事故の事例を少しでも把握しておくことで、事前に対策を立てることができます。ソフトウェアのセキュリティ対策なども重要ですが、従業員のささいなミスや不注意が事故につながった事例も少なくありません。

そのようなヒューマンエラーは、意識を変えれば防げる部分もあるはずです。事故による損害の大きさを知る意味でも、過去の事例を参照してみることをおすすめします。

情報セキュリティ事故の発生事例

ここからは過去の情報セキュリティ事故の事例を7つほど紹介します。ぜひ過去の事例を踏まえて、自社のセキュリティ対策の参考にしてください。

事例1. 公式SNSアカウントが乗っ取られる

最近、「著名人や企業の公式SNSなどのアカウントが乗っ取られた」というニュースを耳にしたことのある方も多いでしょう。この事例も、そういった事態を招いてしまった事件です。

特に、いわゆる「インフルエンサー」と呼ばれるレベルの影響力を持つようになると、乗っ取られた当事者だけでなく、多くのフォロワーやファンを混乱させる事態につながってしまいます。

多くの場合、パスワードやIDを何かしらの形で盗まれることで不正なログインを許してしまいますので、両者を適切に管理することが一番の対策となるでしょう。

事例2. 社員による内部不正や不注意での情報漏えい

■社員の内部不正による事例

この事件は近年の情報漏えい問題のなかでも特に話題になったもので、ニュースなどで耳にした記憶のある方も多いのではないでしょうか。

顧客情報や技術情報を手土産として、転職先に提供する行為は「手土産転職」とも呼ばれています。こういった用語が生まれる程度には一般的な行為ですが、言うまでもなく立派な不正行為で、犯罪でもあります。

社員に限らず、役職者へのコンプライアンス教育も徹底したうえで、役職者といえどもアクセスログなどを参照し、監視するシステムが必要なことを示した事件でもありました。

■社員の不注意による事例

こちらも2022年に非常に大きなニュースとなった一件。USBの紛失は具体的な被害につながらなかったものの、情報管理の甘さが世間から猛批判を浴びることになってしまいました。

情報漏えいが発覚した場合、今回のように直接的な被害が出なくても、組織の社会的信用は失墜してしまいます。また、損害賠償などにより、組織に多大な損害を与えることにもつながりますので、機密情報の取り扱いには細心の注意を払いましょう。

事例3. 自動車メーカーでのランサムウェア被害

サイバーレジリエンス：サイバーセキュリティー・インシデントに対する企業の防止力、耐性力、回復力のことを指す。事業の継続性や情報セキュリティ、組織の回復力などをひとまとめにした概念

自動車の製造ラインに甚大な被害が出たこの事件で用いられた攻撃スタイルのことを「サプライチェーン攻撃」と呼びます。

サプライチェーンとは、原料の調達から商品の製造、流通を経て消費者に届くまでの一連の流れのことを指しますが、攻撃者はこうしたつながり（チェーン）を狙い、取引会社や関連会社を通じて不正アクセスを行います。

セキュリティ対策という面で言えば、大手企業だけでなく、大手企業と取引のある中小企業も同様のセキュリティリスクにさらされていることを示す事例でしょう。

事例4. 病院でのランサムウェア被害

VPNとは、「Virtual Private Network」の頭文字を取った略称で、日本語に直訳すると「仮想専用線」という意味になります。インターネット回線を利用して、社外から社内ネットワークにアクセスできるVPNは、今やビジネスシーンではなくてはならない存在です。

しかし、社外から社内ネットワークに接続する性質上、どうしても攻撃者に狙われやすくなります。警察庁の発表によると、2022年の1月～6月の半年間で、感染経路が判明しているランサムウェア被害の約7割が、VPNからの侵入とされています。

VPNに対するセキュリティ対策は必須といえるでしょう。

事例5. 仮想化ソフトウェア製品への攻撃

古くから世界中で愛されてきたオープンソースソフトウェア「Apache」にまつわる脆弱性を悪用されたことで、この事件は発生しました。オープンソースソフトウェアはソースコードが公開されており、うまく使いこなせば非常に便利なツールです。

一方、利便性ゆえにセキュリティ意識の低いユーザーが多いことから、脆弱性を突かれた攻撃により甚大な被害が発生しやすい側面もあります。

開発者も脆弱性が発見されればそれを対策するセキュリティパッチを公開しますが、実際はパッチが公開されているにもかかわらず、アップデートを放置している企業も多いのが実情です。常に最新のセキュリティパッチを適用するよう心がけましょう。

事例6. オンラインショップの顧客情報漏えい

SQLインジェクション：アプリケーションの脆弱性により本来の意図ではない不当な「SQL文（データベースを制御するための命令文）」が作成されてしまい、データベースのデータを不正に操作される攻撃のことを指す

大量の顧客の個人情報が流出するという、甚大な被害が発生したこの事件。用いられたのは「SQLインジェクション」という攻撃手法です。ログインページの脆弱性を突かれたことで、パスワードを知らなくても、会員ページにログインできる状態ができてしまいました。

この攻撃をされると、パスワードやユーザーIDを複雑にしていても意味はありません。ただ、メジャーな攻撃手法としても知られているので、セキュリティ更新アップデートなどを適切に行えば、十分に防げる攻撃ともいえます。

事例7. クラウドサービスに預けていた重要データが消滅

レンタルサーバー内の重要データが完全に消失するという、想像しただけで背筋が凍る事件です。

このA社はデータのバックアップや復旧責任がレンタルサーバー事業者にあると考えていたようですが、利用規約を読み返してみると、データのバックアップや復旧は最終的にはユーザーの責任であると記載されていました。

もちろん、データを消失させた事業者の責任は甚大です。しかし、A社も不測の事態を想定し、バックアップや非常時の対応などを準備していなかったという点で落ち度がありました。

情報セキュリティ事故を防ぐために重要な4つの対策

情報セキュリティ対策に関して言えば、「発生してから徹底します」は「絶対NG」です。事故を発生させないことが何よりも大切で、それには事前の予防が必要です。

最後に、情報セキュリティ事故を事前に防ぐために、これだけはやっておきたいと筆者が思う対策を4つ紹介します。

対策1. 情報資産を把握し、管理体制を見直す

情報セキュリティ事故の対策では、まずは守るべき情報資産を明確にすることが求められます。

「そんなことわかっているよ！」と思うかもしれませんが、筆者の経験上、とくに中小企業では明確にできていないケースが多いと考えています。

情報資産を明確にできたら、管理体制を見直し、脆弱性がないかをチェックします。

委託先のエンジニアなどがPCを持ち込むケースなど、自社で管理していないデバイスがある場合、社内ネットワークには絶対に接続させないなどのルール作りも大切です。

また、貸与したデバイスの持ち出しルールや保管方法、廃棄方法なども明確にしましょう。ルールが周知されれば、社員の情報セキュリティへの意識を高めることにもつながるはずです。

対策2. ハード・ソフトのセキュリティを強化する

ハード・ソフトウェアともにセキュリティの強化を行うことも有効な対策となります。

最新のOSやソフトウェアを使用し、アップデートは欠かさずに行いましょう。OSやソフトウェアなどの脆弱性を解消するセキュリティソフトを利用することも選択肢のひとつです。

最近では、コロナ禍の影響でテレワークが浸透してきますが、テレワークに不可欠なのがVPNです。事故事例でもVPNから攻撃者の侵入を許すケースを紹介した通り、VPNには最新のセキュリティパッチをあてることも忘れてはいけません。

また、重要な情報資源には、アクセス権限やログイン制限を設けてセキュリティレベルをさらに上げます。 それでも、上記のように権限のある人物が「手土産転職」を行うケースもありました。対策としては、役職員へのコンプライアンス教育を徹底したうえで、アクセスログなどの監視システムの導入も不可欠でしょう。

対策3. 全社員へセキュリティ教育を実施する

情報セキュリティ事故の対策には、従業員に対するセキュリティ教育も不可欠です。どのような脅威があり、どのような被害に遭うのかを周知します。

大手企業では、情報セキュリティ教育は浸透してきている印象です。自社の社員だけでなく、派遣社員や委託先社員などにも、同様の情報セキュリティ教育を行っているところも多く存在します。

事故事例でも紹介したように、委託先企業の社員の不注意で情報漏えいにつながることもあります。「委託先企業だから関係ない」では済まされません。全従業員、派遣社員、委託先社員など、雇用形態などを問わずにセキュリティ教育は徹底したいところです。

「不審なメールは開かない」「定期的にバックアップを行う」「パスワードは適切に管理する」など言葉にすれば簡単なことばかりですが、できていない人も多いのが実情です。ルールが浸透するまで、何度でもセキュリティ教育は繰り返しましょう。

対策4. 事故発生後の対応フローを明確にする

情報セキュリティ事故の対策を万全に行っていたとしても、事故が発生する可能性はゼロではありません。仮想化ソフトウェア製品への攻撃など、こちらでは防ぎようがないケースもあります。

そんな時にパニック状態にならないためにも、あらかじめ事故発生後の対応フローを決め、社内に周知しておくことは大切です。

以下の例が、事故発生後の基本的な対応フローです。まずは下記の内容だけでも決定・周知することをおすすめします。

1. 情シスなど情報セキュリティ担当者へ速やかに報告する
2. 社内ネットワークをすぐに外部と切り離す
3. 情報セキュリティ事故の内容と現状を把握する
4. 問題箇所の復旧対応をする
5. 分析結果を社内で共有し、防止策を徹底する
6. 取引先や顧客、株主などステークホルダーへ丁寧に説明する

情報セキュリティ対策はGIGにお任せください

「うちに限って情報漏えいやランサムウェアの被害にあうことはないだろう」誰もがこう思っています。ですが、本当にその油断は禁物です。こういった事故は、自然災害と同じで忘れた頃にやってきます。

情報漏えいやウイルス感染などは、絶対に起こしてはいけません。起こさないためにも予算や計画をしっかりと立て、セキュリティ対策はまんべんなく実施する必要があります。

しかし「どのような対策が自社にとって本当に効果的なのか」の判断は難しい部分でもあります。株式会社GIGは、Web制作、Webマーケティング、コンテンツ制作、サービス開発、保守運用など、Web戦略をトータルで支援するデジタルコンサルティング企業です。情報セキュリティについてご支援が必要な場合は、ぜひGIGにお問い合わせください。

■株式会社GIG
お仕事のお問い合わせはこちら
会社紹介資料のダウンロードはこちら
採用応募はこちら（GIG採用サイト）
採用応募はこちら（Wantedly）

■サイト保守事例
三菱UFJIP - コーポレートサイト制作・多言語サイト制作
ミクシィ - コーポレートサイト制作 / デザイン・保守運用
トレタ - リクルートサイト制作 / システム開発 / インフラ保守

GIG BLOG編集部

株式会社GIGのメンバーによって構成される編集部。GIG社員のインタビューや、GIGで行われたイベントのレポート、その他GIGにかかわるさまざまな情報をお届けします。