編集部からのお知らせ
New! 記事まとめ「ISMAP-LIU」
話題の記事まとめ「通信障害と社会リスク」

小規模企業のサイバーセキュリティ--不正アクセスを招く8つのミス

Danny Palmer (ZDNet.com) 翻訳校正: 川村インターナショナル

2022-07-04 07:30

 小規模企業なら、サイバー攻撃について考える必要はないと思うかもしれない。サイバー犯罪者の標的は多額の利益が見込める大手だけなので、小さな会社は相手にしないだろう、と考えていないだろうか。

 残念なことに、小規模企業も、悪意あるハッカーやサイバー犯罪者にとって非常に魅力的な標的になり得る。なぜなら、個人情報やクレジットカード情報、パスワードなど、大企業と同種のデータを保有しているからだ。

 しかし、小規模企業の性質として、情報の保護が大規模企業ほど強固ではない場合がある。スタッフに情報セキュリティの専門家がいない場合はなおさらだ。

 小規模企業は、サプライチェーン攻撃の一環として、より大きな規模の企業への侵入を狙うハッカーの標的になることもある。攻撃者は、大企業のサプライヤーかもしれない小規模企業に侵入し、そのアクセス権を利用して、大規模なビジネスパートナーのネットワークに侵入を試みる場合がある。

 フィッシング、ランサムウェア、マルウェア、攻撃者がデータにアクセスして改ざんする他のあらゆる悪意ある活動など、小規模企業が被害に遭うサイバー攻撃がどんなものであれ、結果として生じる損害は壊滅的なものになり得る。サイバー攻撃で受けた損害のために、組織が恒久的な閉鎖を余儀なくされるケースもある。

 幸い、ビジネスと従業員のオンラインでの安全を守ることは可能だ。以下では、回避すべきサイバーセキュリティの基本的な落とし穴を紹介する。

1. オンラインアカウントの保護に脆弱なパスワードを使用しない

 サイバー犯罪者が企業の電子メールアカウントやその他のアプリケーションに侵入するのに、高度なスキルは必要ない。侵入が成功してしまう理由は多くの場合、アカウント所有者が脆弱なパスワード、すなわち推測しやすいパスワードを使用していることだ。

 クラウドベースのオフィスアプリケーションやリモートワークへの移行には、サイバー犯罪者による攻撃の機会が増加するという影響もあった。

 パスワードをいくつも覚えるのは難しいので、単純なパスワードを複数のアカウントで使い回す人もいる。これをやると、アカウントやビジネスがサイバー攻撃に対して無防備になってしまう。特に危ないのは、サイバー犯罪者が総当たり攻撃を仕掛けて、よく使われるパスワードや単純なパスワードのリストを素早く試す場合だ。

 お気に入りのスポーツチームやペットの名前など、見つけやすい情報が入ったパスワードを使うのも絶対に避けてほしい。というのも、公開されているソーシャルメディアプロフィールから、そうした情報を入手できる場合があるからだ。

 英国家サイバーセキュリティセンター(NCSC)は、3つのランダムな単語で作成したパスワードを使うことを推奨している。この戦術によって、パスワードの推測が困難になるはずだ。

 パスワードはアカウントごとに異なるものを使用しなければならない。パスワードマネージャーを利用すれば、すべてのパスワードを記憶する必要がなくなる。

2. 多要素認証を無視しない

 強力なパスワードを設定しても、それが悪人の手に渡らないとは限らない。サイバー犯罪者は、フィッシング攻撃などの手口によってユーザーからログイン情報を盗もうとする。

 アカウントの侵害への防御を強化できるのが、多要素認証(MFA)だ。ユーザーはアラートに応答するように求められ(これには特別に設計されたMFAアプリケーションを使う場合が多い)、アカウントにログインしようとしているのが本人であることを確認する。

 この追加の防御層があれば、サイバー犯罪者は正しいパスワードを持っていても、アカウント所有者がアクセスを承認しない限り、そのアカウントを使用できない。自分のアカウントへのログイン試行があったという予期せぬアラートを受け取った場合は、ITチームやセキュリティチームに報告して、すぐにパスワードをリセットする必要がある。そうすれば、サイバー犯罪者は盗んだパスワードを悪用する試みを続けられなくなる。

 多要素認証は2要素認証(2FA)とも呼ばれ、その使用はサイバーセキュリティ関連の最も一般的なアドバイスの1つとなっているが、まだこの手法を使っていない企業が多い。こうした状況は変える必要がある。

3. セキュリティパッチとアップデートの適用を先延ばしにしない

 サイバー犯罪者がネットワークに侵入して動き回るために用いる最も一般的な手口の1つは、アプリケーションとソフトウェアのサイバーセキュリティ脆弱性の悪用だ。セキュリティ脆弱性が開示されると、OSの開発元は通常、それを修正するセキュリティアップデートをリリースする。

 セキュリティパッチによって脆弱性を修正することで、悪用を試みるサイバー犯罪者からシステムを保護できるが、それはアップデートを適用した場合に限られる。

 残念ながら、多くの企業はセキュリティパッチとアップデートの展開が遅く、ネットワークとシステムがハッカーに対して無防備な状態のままになっている。脆弱性にパッチを適用せずに何年も放置したせいで、簡単に防げたはずのサイバーインシデントのリスクに企業が(場合によっては顧客も)さらされることもある。

 したがって、小規模企業のサイバーセキュリティ向上においてカギとなる対策の1つは、重要なセキュリティアップデートを可能な限り早急に適用する戦略を立てることだ。

 このアプローチを実現するには、ソフトウェアアップデートが自動的に適用されるようにネットワークを設定してもいいし、ケースバイケースで処理することもできる。ただし、絶対に認識しておかなければならないのは、重大なセキュリティアップデートをできるだけ速やかに適用する必要があるという点だ。そのようなアップデートは、米サイバーセキュリティ・インフラセキュリティ庁(CISA)などのサイバーセキュリティ機関が詳細な情報を提供することが多い。

ZDNet Japan 記事を毎朝メールでまとめ読み(登録無料)

ホワイトペーパー

新着

ランキング

  1. セキュリティ

    【講演資料】Sentinel運用デモ-- ログ収集から脅威の検知・対処まで画面を使って解説します

  2. セキュリティ

    SASEのすべてを1冊で理解、ユースケース、ネットワーキング機能、セキュリティ機能、10の利点

  3. ビジネスアプリケーション

    北海道庁、コロナワクチン接種の予約受付から結果登録まで一気通貫したワークフローを2週間で構築

  4. セキュリティ

    Sentinel運用デモ-- ログ収集から脅威の検知・対処まで画面を使って解説します

  5. セキュリティ

    セキュアなテレワーク推進に欠かせない「ゼロトラスト」、実装で重要な7項目と具体的な対処法

NEWSLETTERS

エンタープライズ・コンピューティングの最前線を配信

ZDNet Japanは、CIOとITマネージャーを対象に、ビジネス課題の解決とITを活用した新たな価値創造を支援します。
ITビジネス全般については、CNET Japanをご覧ください。

このサイトでは、利用状況の把握や広告配信などのために、Cookieなどを使用してアクセスデータを取得・利用しています。 これ以降ページを遷移した場合、Cookieなどの設定や使用に同意したことになります。
Cookieなどの設定や使用の詳細、オプトアウトについては詳細をご覧ください。
[ 閉じる ]