IPA「情報セキュリティ10大脅威」と 必ず押さえておきたい5つの基本対策

１　対策の第一歩は、どのような脅威があるのか知ることから

サイバー攻撃によって通常業務ができなくなってしまう。そんな恐ろしい事態が突然やってくるかもしれません。もはや誰もが無関係ではいられないのです。

足下では、出版大手KADOKAWAで、グループ会社のデータセンターのサーバーがランサムウェアによるサイバー攻撃を受けるなどしてシステム障害が発生し、「ニコニコ動画」や書籍の出版といったグループ全体の事業に影響が出ています。

大企業などと比べて情報セキュリティが弱いとされる中小企業こそ、サイバー攻撃の格好の餌食にならないよう、適切な対策を講じなければなりません。

その第一歩は、自社を取り巻く環境にどのような脅威があるのかを知ることです。

IPA（情報処理推進機構）が毎年公表する「情報セキュリティ10大脅威」で、社会的に影響の大きい情報セキュリティの脅威を確認してみましょう。

■IPA「情報セキュリティ10大脅威2024」■
https://www.ipa.go.jp/security/10threats/10threats2024.html

（図表）【情報セキュリティ10大脅威2024】

（出所：IPA「情報セキュリティ10大脅威2024」）

特に注目すべきは、「組織」に対する10大脅威です。これを見ると、1位は前年と同じく「ランサムウェアによる被害」です。ランサムウェアとは、

PCやスマートフォンに保存されているファイルの暗号化や画面のロックなどを行い、「金銭を支払えば復旧させる」と脅迫する手口に使われるコンピューターウイルスの一種

です。脅迫の際に「暗号化や画面のロックの解除」に加え、

暗号化前に窃取したデータの暴露の取りやめを条件に、身代金を要求する

など、複数の脅迫を組み合わせる手口が増加しています。

また、「犯罪のビジネス化（アンダーグラウンドサービス）」の脅威も増しています。ダークウェブなどと呼ばれる闇市場でサイバー犯罪に使用するためのサービスやツール、IDやパスワードの情報などが取引されています。専門知識が無くとも、これらのサービスやツールを使ってサイバー犯罪に手を染める輩が現れています。また、特殊な加工を施したリクエスト（プロンプト）を生成AIのチャットボットに与えることで、ポリシー違反に相当する要求を受け入れさせる「脱獄」をサービスとして提供する動きも出てきており、被害の拡大が懸念されます。

２　必ず押さえておきたい5つの基本対策

1）ソフトウェアの脆弱性への対策：ソフトウェアの更新

ソフトウェアに脆弱性が見つかった場合、通常、ソフトウェア開発業者は脆弱性の情報とともに、脆弱性をカバーするためのプログラムである「セキュリティパッチ」を一般公開します。速やかにセキュリティパッチを適用するためには、

ことが求められます。

IPAのウェブサイトでも、主な製品の脆弱性対策情報が「重要なセキュリティ情報」として公開されています。自社で利用している製品があったら、緊急度・重要度に応じて関係先（組織内や顧客など）への周知、ソフトウェアの更新などの対応を行います。

2）ウイルス感染への対策：ウイルス対策ソフトの導入

既知のウイルスの感染を未然に防止するためには、

ウイルス対策ソフトの導入が不可欠

です。ウイルス対策ソフトの導入によって膨大な種類のウイルスを検知できますが、一方で、ウイルスを作成する者も新しい手口を模索しているので、検知できないウイルスも多くなっています。つまり、ウイルス対策ソフトを導入すれば完璧というわけではないので、

万が一感染してしまった場合に備えて、重要情報のバックアップを取るなど、多段階の対策が必要

となります。

3）パスワード窃取への対策：パスワードの適切な管理と認証の強化

パスワードは、他人が分からないように作成し、他人に使われないように管理しなければなりません。

作成については、8桁以上など一定の桁数以上で、英数の大文字・小文字と記号を組み合わせるといった対策が有効です。

短いパスワードだと総当たり（ブルート・フォース・アタック）でログインを試行され、不正にログインされてしまいます。また、誕生日や名前、「123456」「password」「qwerty」といった、推測されやすい文字列をパスワードにするのもやめましょう。

管理ついては、使い回しをしないのが鉄則です。そうしないと、いかに強度の高いパスワードを設定しても、どこか1つのサービスから漏れた場合に「パスワードリスト攻撃」を受け、不正ログインを防げないからです。

以前はパスワードの定期的な変更が推奨されていましたが、今では、

定期的な変更でパスワードの作成方法がパターン化することのほうが問題である

と考えられています。内閣サイバーセキュリティセンター（NISC）からも、パスワードを定期変更する必要はなく、流出時に速やかに変更する旨が示されています。

サービスによっては、「多要素認証」（MFA：Multi-Factor Authentication）が使えるので、積極的に取り入れましょう。多要素認証とは、

ログインなどの際、パスワードの他に、あらかじめ登録しておいたスマートフォンやハードウェアトークンに表示される認証コードの入力を求めるもの

です。

4）設定不備への対策：設定の見直し

ソフトウェアをインストールした直後や、サーバーやネットワーク対応機器などの購入時点では、不要な機能が有効になっていたり、機能へのアクセス制限が設定されていなかったりする場合があります。情報漏洩や乗っ取りなどの被害を防止するために、

設定の確認と定期的な見直しが必要

です。特にブロードバンドルーター、複合機、ウェブカメラなどのネットワーク対応機器の設定は見落としがちです。実際、ネットワークに接続された複合機の設定に不備があり、機器内に保存されたデータが外部から閲覧できてしまう問題も指摘されています。必要なければ、オフィス機器を外部ネットワーク（インターネット）に接続しないようにしましょう。

この他、社員の退職時には速やかにユーザーアカウントを抹消する、異動時にはアカウントに付与したアクセス権限を見直すといった対策も必要です。

5）わなにはめる誘導への対策：脅威や手口を知る

メールやウェブサイトを使って言葉巧みに誘導する手口は年々巧妙化しています。ただし、

どのような手口があるのか知っていれば、攻撃者が仕掛けたわなに気付き、被害を未然に防げる可能性が高まる

ことになります。IPAでは情報セキュリティに関する脅威や対策などを学ぶことができる映像コンテンツを、YouTubeの「IPA Channel (ipajp)」で公開しているので、参考にしてみてください。

■IPA Channel（ipajp）■
https://www.youtube.com/user/ipajp

以上（2024年7月更新）

pj60098
画像：Song_about_summer-Adobe Stock