DXの発展とセキュリティリスク

セキュリティに課題を抱える企業を対象に独自のセキュリティサービスを提供されている、株式会社CISO 代表取締役 那須慎二様によるセキュリティコラム第2回。今回は、DXの発展とセキュリティリスクについて、ご説明いただきます。

前回の記事は以下よりご確認いただけます。

• どうなる？2023年以降のサイバー攻撃情勢予測

DXの発展とセキュリティリスク【セキュリティコラム第2回】

DX推進上のセキュリティリスクとは

これら世の中の動きは、サイバー攻撃者にも好都合です。

貴重な情報がPCやサーバ、クラウド内に保存されているということは、インターネットに接続できる環境さえあれば、攻撃者はいつでもどこでもサイバー攻撃を仕掛けられます。

「デジタル情報の価値が高い=破壊されると事業が停止する」ことに繋がるため、攻撃者はランサムウェアなどを用いた攻撃により身代金の支払いに応じる可能性が高くなると見込んでいます。
また、サーバやクラウド内に機密情報が多く蓄積されているほど、情報流出時のリスクも莫大なものになります。

最近のランサムウェアは、企業が保有する情報の価値の高さを認識しており、暗号化前に窃取した情報を公開すると脅した上で身代金を要求するものがほとんどです。

自社内にサーバを保有する環境(オンプレミス)では、メールやVPN機器を介したサイバー攻撃によって、サーバ内データが破壊されたり、情報の窃取が行われたりすると、業務が完全に停止してしまいます。
実際に、DXの取り組みを進めようとしていた矢先にサイバー攻撃によってサーバが複数台破壊されてしまった企業の経営者は事業停止を余儀なくされ、「DXどころではない、会社が終わってしまうほどの恐ろしさを感じる」とおっしゃっていました。

クラウドサービスそのもののセキュリティは問題ないものの、単純なセキュリティ上の設定ミスなどによって情報が流出してしまったり、会社で支給している以外の私用端末(例えば個人所有の自宅PC)でログインできる状況になっている場合、クラウド内に保存されている情報は自宅のPC内で閲覧、保存できてしまうリスクを孕みます。

その方が退職した場合、情報漏洩に直結します。アカウントの単純な管理ミスで退職者のIDがそのまま残っていたり、共有IDを用いて複数の方が同じIDとパスワードを利用している場合、その共有ID利用者が退職した場合にパスワード変更がなされていないと情報漏洩に直結するなど、人的なミスで情報漏洩に繋がるリスクも把握しておく必要があります。

更に、クラウドサービスの利用は、提供するベンダのセキュリティ対策が十分に行われているのかも合わせて確認する必要があります。
実際に、クラウドサービスベンダのセキュリティが脆弱だったことで、サービス停止に追いやられるケースが出ています。

DX推進上のセキュリティ対策、必須5項目

このように、DXが進めば進むほど、サイバー攻撃による破壊・漏洩リスクや内部からの情報漏洩リスクが高まります。オンプレサーバ、クラウドサービス利用の如何に関わらず、事業リスクが高まることを認識した上で、セキュリティ対策を講じていく必要があります。

通常のセキュリティ対策に加え、以下の5項目は必須として取り組んでください。

①オンプレミス環境でのDXの場合、PCやサーバの脆弱性を潰す(セキュリティパッチを必ず当てる)、バックアップは必ず取得し、ランサムウェア被害に遭わないようにする(オフライン・クラウド活用など)

②VPN機器を用いて社内環境にアクセスする場合は、VPN機器のファームウェアのバージョンを最新状態にした上で、不要なIDがないことを確認する

③クラウドサービスを活用したDXの場合は、ID管理に特に気を付ける。パスワードの使い回しリスクを回避するために、シングルサインオン(1回のID・パスワード入力で複数のクラウドサービスを活用できる仕組み)サービス等を活用する

④会社で貸与したPC以外はクラウドサービスへのアクセスができないように制限する

⑤退職者が発生した際は、アカウントのロックを確実に行う/共有IDがある場合はパスワードの変更を行う

今後の掲載予定トピック

本コラム連載の今後の掲載予定トピックは以下のとおりです。ぜひご期待ください。
前回の記事はこちら：どうなる？2023年以降のサイバー攻撃情勢予測

【第3回】Web3.0の発展とセキュリティリスク
【第4回】Chat GPTの利用に伴うセキュリティリスク
【第5回】攻撃者の侵入経路
【第6回】具体的な攻撃シナリオ
【第7回】特に気をつけてほしいサイバー攻撃（ランサムウェア）
【第8回】特に気をつけてほしいサイバー攻撃（Emotet）
【第9回】セキュリティエンジニアに必須となる「ネットワーク」基礎知識その1
【第10回】セキュリティエンジニアに必須となる「ネットワーク」基礎知識その2
※内容は変更の可能性がございます。