We support browsers, not dinosaurs. Please update your browser if you want to see the content of this webpage correctly.

攻撃面とは?

攻撃面とは、攻撃者がデバイスまたはネットワークに侵入してデータを抽出することが可能な、さまざまな方法のことです。攻撃面は、中小企業にとって特に重要な対策です。規模が小さければターゲットになりにくいと考える企業が多いですが、その攻撃面は大きいことが多く、高いリスクにさらされていることになります。

2 つの主な攻撃面:デバイスと人

デバイス - ビジネスで使用するデバイスの数が増えるにつれ、サイバー犯罪者たちがサイバー攻撃を仕掛ける出入口が増えています。2020 年には、ノート パソコン、スマートフォン、IoT など、ビジネスで使用するデバイスがインターネットに接続する数は 60 億台に達すると予測されています。必然的に、攻撃を受けやすいオペレーティング システムやアプリケーションの使用によって、一般的な中小企業の攻撃面が大幅に増加することが予想されます。

デバイスに対して最も多いセキュリティ脅威は、ハイブリッド ランサムウェア攻撃です。ランサムウェア攻撃によってハッカーがデバイスをコントロールできるようになり、復旧と引き換えに身代金を要求されるだけでも大きな被害です。しかし最近では、ハイブリッド形式のランサムウェアが広まってきています。ランサムウェアにウイルスの性質を組み合わせることで、1 台のデバイスだけでなく、ネットワーク全体に簡単に拡散されます。

- デジタル セキュリティ チェーンにおける最大の弱点は社員であるため、熟練のサイバー攻撃者は主に社員をターゲットにします。実際、セキュリティ違反の 37% が、ヒューマンエラーによるものです。パスワード ポリシーや多要素認証といったユーザーを守るための他のセーフガードが、標準的に取り入れられている中小企業は多くありません。実際、Ponemon Institute による調査では、中小企業の 57% がパスワード ポリシーを実施しておらず、それによって攻撃面が増すことを認識していません。

ユーザーに最も影響を与える脅威であるソーシャル エンジニアリングは、ユーザーを誘導して社内の機密情報を漏えいさせます。ハッカーは Fedex や銀行など信頼ある組織、時には同僚を装い、メール経由で社員に接触してきます。ほとんどの社員には、こういった高度なソーシャル エンジニアリング攻撃から身を守るための知識がありません。

攻撃面を減らすためのベスト プラクティス

攻撃面を減らすには、中小企業が定期的に脆弱性を評価し、弱点を保護し、異常を監視する必要があります。

評価 - 潜在的な脆弱性を評価する最初のステップは、組織内のすべての物理的および仮想的なコンピューター デバイスを特定することです。リストには、攻撃面となる可能性のある以下のすべてを含めます。

  • ワークステーションとノート パソコン
  • ネットワーク ファイル サーバー
  • ネットワーク アプリケーション サーバー
  • 企業のファイアウォールとスイッチ
  • マルチ機能搭載プリンター
  • モバイル デバイス

このインフラ評価では、クラウドとオンプレミスのシステムとデバイスを区別する必要があります。これにより、データの保存場所を明確にできます。

次に、すべてのビジネス データを分類し、3 つの場所(クラウド、オンプレミス システム、デバイス)に分けます。例:

クラウド

  • クラウド メールとアプリケーション
  • クラウド ストレージ
  • ウェブサイトとソーシャル メディア

オンプレミス システム

  • データベース
  • ファイル共有とストレージ
  • 知的所有権

デバイス

  • プレゼンテーション
  • 企業のメモ
  • 統計とレポート

次に、誰がどのようなアクセス権を持っているかを調べます。攻撃面の評価における最後のステップは、組織内の各部門またはユーザーの行動を詳しく把握することであり、不明なユーザーも対象とします。調査から得た内容を同じ 3 つのカテゴリに分類し、以下の点を含めます。

  • ユーザー固有のアクセス
  • マルチユーザーのアクセス
  • 不明なユーザーのアクセス

保護 - 評価を終えたら、次は現在の攻撃面を考慮してどのようなセキュリティが必要かを見極めます。以下は、一般的に中小企業で必要となる主なセキュリティ サービスの概要です。

データ

コンテンツ フィルタリング
コンテンツ フィルタリングでは、社員が安全に閲覧できるウェブサイトを制限できます。

メールの暗号化
エンドツーエンドの暗号化を使用して、復号キーを持つ送信者と受信者のみがメールと添付ファイルの内容を表示できるようにします。

データ損失防止
データ損失防止ソリューションでは、転送できるデータを規制して、機密データを社内ネットワーク外で共有できないようにします。

クラウド バックアップ
あらゆる防止策を講じていたとしても、オペレーションをすばやく簡単に復元できる強固な BDR ソリューションを持っておくことが重要です。

デバイス

アンチウイルス
攻撃面を減らすには、PC、モバイル、スマートフォンなどすべてのデバイスにおいて、アンチウイルスのインストールと監視が必須です。

パッチ マネジメント
どんなソフトウェアにも脆弱性はありますが、パッチをインストールしてソフトウェアを常に最新に保つことでその問題を解決できます。

定期的な脆弱性のスキャン
脆弱性のスキャンは定期的に行い、スキャンにはアンチウイルス ソフトウェア、パスワード ポリシー、ソフトウェアの更新のステータスを含める必要があります。

ウェブ サーバーの強化
通常、ウェブ サーバーはネットワークの端にあるため、より攻撃を受けやすい状態になっています。適切に強化することによって、デフォルトの構成の変更、特定のサービスや表示の無効化が確実に行えます。

安全な認証
方法はいろいろありますが、中小企業が最初に取るべきステップは、SSO や MFA を使用したパスワード ポリシーの定義です。

安全なリモート ワーク
リモート ワーカーには社内ネットワークへの VPN ネットワーク接続が必要です。すべてのトラフィックを暗号化することにより、社内のデータやアプリケーションに安全にアクセスできます。

プロセスとポリシーの定義
保護すべきデータと保護方法を定義します。この情報を周知し、職場を安全に保つための役割を全員が理解しておく必要があります。

セキュリティ トレーニングの実施
認識していない脅威に対して人が防御することはできません。そのため、破られにくいパスワードの作成方法やフィッシング詐欺の認知など、自らを守る方法について教育する必要があります。

結論

中小企業は、絶え間なく進化する脅威に直面しています。自らの攻撃面と、それを減らす方法を正確に把握しておくことが重要です。脅威が巧妙化し、従業員の認識が不足しているために、セキュリティと保護が不十分になっていることがよくあります。管理されたセキュリティ対策を実施することで、中小企業が攻撃面を減らし、現代のオンライン ビジネス世界におけるリスクを低減するのに必要な、強力かつ費用対効果の高いサイバーセキュリティ保護が可能になります。