情報セキュリティ事故が発生すると、金銭的な被害だけでなく社会的な信用の失墜にもつながり、業務に大きな影響を与えます。情報セキュリティ事故の原因となるのは、高度なサイバー攻撃だけとは限らず、業務上のうっかりミスによる情報漏洩も問題となっています。情報セキュリティ事故の代表的な3パターンについて、概要と対策をご紹介します。
ソーシャルエンジニアリングによる標的型攻撃
「標的型攻撃」とは、特定のターゲットに対して明確な目的をもって仕掛けるサイバー攻撃のことです。迷惑メールやマルウェアを添付したメールの多くは不特定多数をターゲットにしていますが、標的型攻撃では、人間の心理の隙をついた「ソーシャルエンジニアリング」を使い、標的を絞って攻撃を仕掛けます。
攻撃者は、あたかも仕事の関係者であるような内容のメールをターゲットに送信し、受信者に対して添付ファイルを実行させたり、不正なURLをクリックさせたりしようとします。これにより受信者のパソコンがマルウェアに感染し、場合によってはパソコンに保存されている機密情報の漏洩につながることもあります。
標的型攻撃への対策として、パソコンにセキュリティ対策ソフトをインストールしてマルウェアへの感染を防ぐ入口対策や、マルウェアに感染しても重要な情報が漏洩しないような出口戦略も有効です。しかし、最大の対策は社員や従業員への教育により、標的型攻撃に対する知識を身につけさせ、不審なメールに対する適切な対応ができるようになることです。
ランサムウェアの感染
「ランサムウェア」とは、ファイルやフォルダを勝手に暗号化して読み取れなくしてしまうマルウェアのことです。元に戻すために、ビットコインなどの仮想通貨をあたかも「身代金（Ransom）」として要求することにより「ランサムウェア」と呼ばれています。
ランサムウェアへの対策としては、セキュリティ対策ソフトを導入して既知のランサムウェアの検知を有効にしたり、不正サイトへのアクセスをブロックしたりすることで感染を防止する方法が有効です。また、定期的にファイルやフォルダのバックアップを取り、別の場所に保管しておくことで、万が一ランサムウェアに感染してしまっても、データの復元ができる体制を整えておくことも重要です。
ランサムウェアに身代金を支払うことで、実際にファイルやフォルダの暗号化が復元されたという例もありますが、それはごくまれなケースです。多くの場合、身代金を支払ってもデータは元に戻らず、金銭も失ってしまうという結果になってしまいます。
USBメモリの紛失による情報漏洩
業務で使用しているUSBメモリの紛失により情報が漏洩することもあります。たとえば外出先でUSBメモリを紛失したり盗まれたりすることで、USBメモリ内部の情報が漏洩するケースがあげられます。
本当にUSBメモリを外部に持ち出す必要があるのか、よく検討しましょう。外出先でデータをやり取りするのであれば、GoogleドライブやDropboxなどのクラウドツールで代用できます。どうしてもUSBメモリが必要な場合は、必要なファイルだけ保存しておき、不要になったファイルの削除を徹底するといった対策も重要です。また、USBメモリ内部に保存しているファイルやフォルダに対してパスワードを設定するのも有効です。USBメモリ自体に暗号化やパスワードロックなどのセキュリティ機能がついているものあります。
USBメモリ紛失による情報漏洩を防ぐためには、USBメモリの持ち出しを防ぐための対策と、USBメモリを紛失しても、第三者が情報を読み取れなくする対策を組み合わせることが重要です。
