中小企業のサイバーセキュリティ計画で必ずカバーすべき内容

Ponemon Instituteが実施した調査によると 過去12か月の間に、米国・英国・ヨーロッパの中小企業（SMB）の66%が悪意のあるサイバー攻撃を経験しています。米国の企業のみを対象にすると、この割合は76%にまで上昇します。

さらに、重要な企業データの侵害につながる、より巧妙な攻撃が着実に増えているようです。同じ Ponemon の調査で、調査対象となった SMB の 63% が 2019 年にデータ侵害を経験したと報告しており、2017 年以降にこうしたインシデントがほぼ 10 ポイント増加していることを示しています。

サイバー攻撃と データ侵害 は、中小企業にとって単に混乱をもたらすだけでなく、費用面でも大きな負担になります。Ponemon は、2019 年に SMB が攻撃後に IT 資産とインフラを修復・復旧するための平均支出が 120 万ドルだった一方で、通常業務の中断による追加の平均損失が 190 万ドルに上ったとも報告しています。推計によっては、およそ 60% の SMB が廃業 してしまい サイバー攻撃 を受けてから 6 か月以内に そうなるとされています。

フィッシング、ソーシャル エンジニアリング、そしてWebベースの攻撃が、特にSMB（中小企業）を狙うサイバーセキュリティ脅威のトップに挙げられます。これらの脅威は主に次の要因によって助長されています:

• 監視されておらず、セキュリティ対策も不十分なエンドポイント機器（特にノートパソコン、モバイル端末）と、「Bring Your Own Device（自分の端末を持ち込む）」の職場環境で利用される IoT 技術
• 弱いパスワード ユーザーアカウント向け
• 包括的なデータの棚卸し（インベントリ）なしに第三者と情報を共有すること
• 不注意な従業員および契約担当者の行動

幸いなことに、中小企業のインフラに対して強固なセキュリティ計画を導入することで、企業に対するリスクと脆弱性を軽減できます。

まずは、会社が現在直面している主なサイバーセキュリティ上の脅威を特定してください。次に、この記事を参考にして、会社のネットワーク、データ、エンドポイントのセキュリティを強化するために取れる最善の行動を判断します。

1. セキュリティポリシーを確立する

セキュリティポリシーは、企業内のすべての人員が、業務上重要なデータの取り扱い、使用、保存に関して同じ認識を持てるようにします。また、IT 専門家が、サイバー攻撃が発生した場合にデータを保護し、インフラへの被害を軽減するために、適切で合意済みの手順に従うことも保証します。

貴社の セキュリティポリシー は、IT 組織の最上位から策定され、すべての従業員および委託先に対して明確に周知されるべきです。周知され、そしてうまく定着したなら、セキュリティポリシーは組織のプロセスの中に効果的に組み込まれていくはずです。

データセキュリティポリシー

データセキュリティポリシー は、次のことを保証することで、企業データと顧客データの両方を保護します。

• 必要なデータのみが収集されます
• 機密情報は安全に保管され、権限のある人だけがアクセスできます
• データは不要になった時点で安全に破棄されます

データセキュリティポリシーと、データプライバシー ポリシー（GDPR など） への準拠には、密接な関係があります。要するに、前者が後者を保証するための手段を提供します。

データセキュリティポリシーには、ネットワークセキュリティ、アクセス制御、インシデント対応などに関連するすべての詳細とガイドラインも、そのほかのデータセキュリティ上の懸念事項とともに、明確に記載しておくべきです。

パスワードポリシー

パスワードポリシー は、ユーザーアカウントにおけるパスワードのセキュリティ強度、使用、および強制のためのルールを定めます。このポリシーには、たとえば次のような要件を含めることができます:

• パスワードは一定の最小文字数を満たし、大文字・小文字・数字・特殊文字の組み合わせを含める必要があります
• パスワードは再利用できず、定期的な間隔で変更する必要があります
• パスワードポリシーに従わない場合、アカウントへのアクセスが拒否され、さらにIT部門が課すその他の罰則が適用されます

データ分類ポリシー

データ分類ポリシー は、データの適切な保管、利用、削除を定める、企業の情報ライフサイクル管理の基盤となります。

すべてのデータ資産は、その機密性レベル、アクセスレベル、暗号化要件、またはその他のセキュリティ志向のカテゴリに基づいて棚卸し（インベントリ化）されるべきです。こうすることで、あなたの データ分類ポリシー は、対象となるデータの種類に応じて適切なアクセス プロトコルと侵害（ブリーチ）調査を開始する際に、データ セキュリティ ポリシーと連携して機能します。

2. 従業員を教育し、トレーニングする

従業員の教育は、データを保護するうえで重要です。たとえば、会社に正式な password policy があっても、従業員や請負業者が十分に遵守していなければ、情報を守るのには役立ちません。

中小企業（SMB）が経験するほとんどのデータ侵害において employee negligence lies at the root が根本原因である、という結論を踏まえると、小規模事業者向けのサイバーセキュリティ計画テンプレートには、社内向けの研修とセキュリティ意識を高めるための確実なプログラムを含めるべきです。従業員および請負業者にこの教育を必須にし、最新のリスクや潜在的な脅威に常に備えられるよう、研修資料は毎年見直して更新してください。

3. 環境内のユーザーアクティビティを綿密に監視する

企業全体で security best practices を評価し、遵守させるためにも、従業員の活動を監視することが重要です。これには、たとえば次のような対策が含まれます：

• アカウント作成やアカウントへのログインなどのイベントを追跡することで、不審な活動を特定し、先手を打った侵入検知を行えるようになります。
• 社内（プライベート）ネットワーク上の機密データのあらゆる保管場所（ファイルサーバー、SharePoint、SQLデータベースサーバーなど）を対象に、監査手順を拡張しましょう。機密データをめぐるアクセス試行と、その周辺で発生する活動の両方に目を配ります。
• Office 365 などのクラウド サービスを利用している場合は、これらのサービスへのログオンを監視するとともに、そこにおけるユーザーの活動も監視します。

4. Zero Trust に向けて

Zero Trust は、企業のプライベート ネットワークの外側でも内側でも、「何も」また「誰も」信頼できないという原則に基づいて動作するサイバーセキュリティのフレームワークです。

中小企業の多くはZero Trust のあらゆる技術や戦略を、十分な予算やリソースで実行できるわけではありません。しかし、中小企業の経営者には、IT の攻撃面を最小化するために活用できる、実証済みのベストプラクティスが幅広く用意されています。

企業の規模に関わらず、これらの必須の技術的コントロールを実装することをおすすめします

最小特権アクセス

「最小特権モデル」を採用し、徹底して運用します。このモデルでは、各ユーザーが職務を遂行するために必要な範囲でのみ、システムとリソースへのアクセス権を持ちます。

個別のアカウントではなく、特定の特権レベルを共有するユーザーグループにアクセス権を割り当てることで、監視と管理を強化してください。最小特権モデルを厳格に適用することで、ユーザーアカウントへの侵害の範囲を抑えるだけでなく、対抗（カウンターアタック）措置の効果も高められます。

権限（エンタイトルメント）のレビュー

権限（パーミッション）構造における異常や変更を常に注意深く監視してください。 非アクティブなユーザーアカウント を速やかに追跡して無効化し、攻撃ボットを引き寄せてしまう可能性のある弱いノードを排除します。

また、権限（パーミッション）構造を定期的に見直し、現在の人員構成との間で生じている脆弱性や不整合がないかを補強することも重要です。パスワードポリシー、パスワード設定、アカウント設定に対するすべての変更を監視してください。認可されていない変更は、攻撃者の存在を示している可能性があります。

強固なパスワードと認証

Ponemon が調査した中小企業（SMB）のほぼ半数が、従業員のパスワードが弱かったためにセキュリティ侵害を経験しました。

弱いパスワードは、「単一パスワードのドミノ効果」によって悪意のある攻撃者が複数のアカウントへのアクセスと制御を得ることを可能にします。とはいえ、先ほど説明したとおり、強力なパスワードポリシーはこの重要な脆弱性を解消します。

オフィスのセキュリティ要件やインターネットのセキュリティ要件に応じて、パスワードポリシーを多要素認証（multifactor authentication）のようなサイバーセキュリティポリシーで補強するとよいでしょう。これは、追加の認証方式を1つ以上要求することでパスワードを強化します。

パスワードポリシーは、それをどれだけ確実に運用（強制）しているかに対してのみ強くなることを忘れないでください。ここでは、ユーザーが義務付けられた基準を遵守し続けるためのベストプラクティスをいくつか紹介します：

• 複数回のパスワード不成功試行の後にユーザーアカウントを自動的にロックする
• group policy object を使用して Active Directory ドメイン向けのパスワードポリシーを強制します
• パスワード要件が設定されていないアカウント（または 期限が切れないパスワード）を特定し、ポリシーに従ってこれらの認証要件を強化してください

メールセキュリティ

メールによるやり取りは、うっかりしていたり注意がそれていたりするユーザーが、メッセージに埋め込まれた危険なリンクを開くよう頻繁に騙されてしまうため、サイバー犯罪者やマルウェアにとって脆弱な攻撃対象になりやすくなります。

フィッシングやマルウェアに関する従業員教育は、中小企業のメールチャネルのセキュリティ向上に役立ちます。その他の保護策としては、メッセージの暗号化に加え、潜在的な脅威がうかうかしているユーザーに届く前にふるい落とすスパムフィルターやアンチウイルスソフトウェアがあります。

システムとネットワークのセキュリティ

組織のソフトウェアおよびハードウェアに対してパッチと更新プログラムを定期的に適用することで、IT システムに最新のセキュリティ機能を備えましょう。

ファイル共有システムやデータベース サーバーを含む重要なシステムについて、変更やアクセス イベントを常に監視してください。適切なファイアウォールで会社のネットワーク境界を強化し、モバイルのセキュリティとエンドポイント保護を最大化できるように社内 Wi‑Fi 接続を構成します。さらに、IT 資産へのリモートアクセスを可能にするために、安全な VPN トンネルも設定してください。

システムとデータのバックアップ

重要なシステムやデータベースの冗長なバックアップ コピーを、IT インフラの外部にある安全な場所に保管してください。この実践により、攻撃後に資産を素早く復旧できるとともに、インシデントの影響が貴重なデータのすべてのコピーへ広がることを防げます。

たとえば、外部バックアップは、コンテンツを暗号化してシステムを利用不能にするランサムウェアの発生によって生じた被害を、組織が軽減するのに役立ちます。

5. 適切なツールでインフラを守る

中小企業のソリューションには、サイバー犯罪者から IT インフラを守ることを目的とした、有効な技術とツールのポートフォリオが含まれているべきです。高度なセキュリティツールの導入と運用サポートは、手間とコストがかかる場合があります。ですが、以下のツールを導入すれば、必要な対策は十分にカバーできます：

• ファイアウォール：ファイアウォールは最初の防御手段であり、単体のシステムとして導入することも、ルーターやサーバーなどの他の機器に組み込むこともできます。また、ハードウェア版とソフトウェア版の両方として利用できるソリューションもあります。
• ビジネス向けのアンチウイルス機能とアンチスパイウェア機能の両方を備えたマルウェア対策ソフト：このソフトウェアは、ウイルス、ワーム、ランサムウェア、ルートキット、スパイウェア、キーロガーなど、悪意のあるソフトウェアをシステムやデバイスからスキャンして検出し、除去します。PC、ゲートウェイサーバー、または専用のネットワークアプライアンスに導入できます。
• 暗号化ソリューション：暗号化ソリューションにより、ユーザーはデバイス、メール、データを暗号化できます。ソフトウェア型またはハードウェア型のいずれにも対応できます。デバイスを暗号化することで、デバイスが盗難・紛失した場合や不適切に利用された場合でも、これらのデバイスに保存されたデータが保護されます。メールを暗号化することで、メールアカウントやログオン情報が誤った相手の手に渡ったとしても、データが安全に保たれます。データについても同様です。データを暗号化することで、（復号鍵を持っていない限り）データが不正な行為者の手に渡った場合でも安全性を維持しやすくなります。
• バックアップおよびリカバリソフトウェア：重要な書類をうっかり削除してしまうケースから、ランサムウェア攻撃まで、あらゆる事態に対するソリューションです。オフサイトのバックアップを作成するバックアップソフトウェアを導入すれば、事業の継続性を確保できるだけでなく、攻撃者に法外な費用を支払う必要が決してないことも保証します。
• IT監査ソリューション：変更の追跡 とアクセスイベントを手作業で行う、またはシステムの標準機能を使って対応するのは面倒で時間がかかり、さらに時間は、中小企業が十分に確保できない貴重な資源です。そのため、活動やアクセスイベントへの可視性を迅速に提供し、脅威パターンについて常にアラートで知らせ、インフラの現状を把握するのに役立つ専門的なソリューションを用意することが、セキュリティ上とても重要になります。

Netwrix Auditor は、Active Directory、Office 365、SharePoint、データベースサーバー、そして ネットワークデバイス など、さまざまなシステムにまたがる IT インフラを監視するための集中型プラットフォームを提供します。Netwrix Auditor が、中小企業の IT インフラの各要素を追跡する負担をどのように軽減できるのかを確認してください。