POS防御の推奨
POSの防御は、以前より改善してはいるものの、完全とも必要性を満たしているともいえない状況です。FlokiBotが示すように、標的が魅力的である限り攻撃者のイノベーションは続きます。あらゆる規模の組織にとって、既存の侵害を検知し、攻撃能力の強化・拡大を続ける敵に対する防御の強化を図るために、POSインフラのセキュリティの真剣な見直しが必要です。まずは、PCI-DSSのセキュリティ基準に準拠するとよいでしょう。
パートナー
基本的なセキュリティを取りそろえることで、脅威の対象領域（脅威サーフェス）を縮小することができます。何よりもまず、パートナーを優先的に検討するべきです。
図表：データ漏洩の97%が、認証情報の盗難、正当性の利用、パートナーによるアクセスを伴う「2016年度データ漏えい／侵害調査報告書」
ネットワーク上のアタックサーフェスを縮小するために、すべてのリモートアクセス接続を入念に監査・制限する必要があります。リモートサポートをデフォルトでは無効にし、必要な場合に有効にするのが理想的です。システム管理者が使用するリモートサポートやリモート接続には二要素認証を設けるべきです。
専用マシン
POSソフトウェアを稼働する基本マシンは業務専用機にします。導入前にオープンポートを制限し、中核機能に必要不可欠なアプリケーション以外のアプリケーションの利用を禁止して、マシンを堅牢にする必要があります。
従業員は、POS用マシンでも、POSシステムにつながっているマシンでも、POSシステムまたはそれに相当するバックエンドサーバーと信頼関係にあるすべてのマシンでも、インターネットの閲覧や、電子メールのチェック、ゲームといった不要なアクティビティを決して行ってはなりません。
インターネットからの分離
POSシステム自体は他のネットワークから分離されるべきであり、中核機能を促進するための送受信用の接続があれば十分です。正当なトラフィックの基準が構築された後で警告を発生させる異常トラフィックを用いて、ネットワーク監査を精力的に実施しなければなりません。
無線ネットワーク接続には特に注意が必要です。POSとバックエンドのインフラは監査が済んでいない無線ネットワークからはアクセスできないようにし、少なくともPCI-DSSに従って整備した完全なセキュリティコントロールを備えていなければなりません。
