もう他人事では済まされない、情報漏洩事件一覧
不正アクセスの件数は急増しております。
7/15 学研 (不正アクセス)
ケースによって様々ですが、ウイルス対策ソフトをすり抜けたとか、
webアプリケーションのぜい弱性が狙われたり、
というのが原因のようです。
「どうせ狙われるのは大手」
という考えに対し、セキュリティベンダーは
「頑丈なセキュリティを崩すのは骨の折れる作業になるため、
大手と取引のある、セキュリティの弱い(薄い)中小企業こそ狙われる」
と啓蒙してきましたが、そもそも大手の対策も するり と
抜けることができるレベルだった、ということが露呈されました。
今後、大手を狙った攻撃はもっと増えるでしょう。
もちろん、セキュリティ予算の少ない
中小企業は攻撃者にとって朝飯前でしょう。
今流行りの標的型攻撃対策は社内LANの入り口に挟むだけ、
ネットワーク構成を変更せずに導入できますが、
結局運用できなかったり、予算が追いつきません。(数百万円〜)
各社の製品比較
各社の製品比較
トレンドマイクロ社とマカフィー社は、アンチウイルスソフトでは6割程しか守ることができないため、サンドボックスや脅威共有サーバー(社内ネットワークで怪しい通信情報などを共有する仕組み)を導入し、今、自社が直面している状況を掴むことが大事と話しています。
そもそも、ウイルス感染に気づかないまま、対策が取れないまま漏洩してしまうケースもあるそうです。
ただし、サンドボックス製品は安くても数百万円かかってしまうため、導入は難しいです。
一方、振る舞い検知型のアンチウイルスソフトである、ESETやカスペルスキーは出展していませんでした。
後発ベンダーとして、大手とは異なる守り方をしているのが魅力的です。
相次ぐサイバー攻撃。日本年金機構のケース。
日本年金機構での情報漏洩を受けて、自社のセキュリティが安全か不安になった方は多いのではないでしょうか。
今回の事件は様々な要因が重なり、非常に大きな事件となっています。
一つ目は、従業員がウイルス付きのメール(exeファイル)を開封してしまったこと。開封と同時にウイルスが送り込まれる仕組みになっていました。
また、一度警告があったにも関わらず、繰り返しウイルス付きメールを開いてしまったということです。
セキュリティ教育の限界を感じます...。
二つ目は、機密情報のコピー(リスト)が共有サーバー上に保管されていたこと。
もし、ネットワークで繋がっていなければ、ウイルスに感染しても情報を盗み取ることは難しく、より巧妙かつ高度な手口が必要でした。
三つ目は、ファイルそのものにパスワードがかかっていなかったこと。ファイル暗号化やパスワードの措置が取られていれば、ファイルを盗まれてもゴミ同様です。
今回の事件を受け、カスペルスキーは真っ先に記者会見を開き、以下のように報告しています。
氷山の一角にすぎない。サイバー攻撃を受けることは恥ずかしいことではないので、情報を共有し、日本全土のセキュリティを強化しよう
通常のアンチウイルスソフトでは、増え続けるサイバー攻撃を防ぐには限界があります。対策としては大きく2パターンです。
- トレンドマイクロ社やマカフィー社のように別製品(アプライアンス)を導入し、社内状況の把握を行い、早期発見に徹する対策
- カスペルスキーやyaraiのように、振る舞いをベースにウイルスを検知するため、未知のウイルスにも対応できるソリューションの導入
セキュリティ担当者がいるような企業では、複数の製品を連携させるトータルセキュリティ、そうでない企業は振る舞い検知型のアンチウイルスソフト、という感じでしょうか。
Windows XP サポート終了で騒がれた理由
今回脆弱性についてご紹介します。
NetApplicationsから 2015年２月のデスクトップOSシェアが発表されました。
なんとWindows XPの使用率が増えており、20％近く残っております。
XPのサポートを要望する声が高まっていますが、開発元であるマイクロソフトが
アップグレードを推奨しています。このままXPを使い続けるユーザーからは使用料(維持管理費)を従来の倍にすると発表しております。
マイクロソフトセキュリティインテリジェンスレポート第14版(2012年)によるとWindows XP SP3とWindows8 を比較したところ、感染率に約14倍の差があります。
2012年時点でXPにおけるウイルス感染率は高かったといえます。
まして、2014年4月でサポートが終了した今、今後発見される脆弱性は
見つかってもケアされないまま放置されます。攻撃者の温床にです。
「サポート終了」のことを「電話サポートが終了すると」勘違いされている方が
いらっしゃいますが、まったく違います。
「バグが見つかっても治しません」という発表です。
Windows XPが危ないことは知っていながらXPでなければ動かない
アプリケーションがあるということでXPの移行を延命している企業もあります。
繰り返しになりますが、XPを使い続けることはセキュリティリスクを
「受容する」という選択をされていることをご理解ください。
リスクマネジメントにおいて、対応策は以下の４つがあります。
※括弧内はその一例です。この限りではありません。
①受容 (未対策)
②軽減 (機密情報・アクセス権限の分散)
③回避 (製品導入、システムの見直し)
④移転 (外注やSaaS)
もちろん、情報漏洩が発生する確率と損害賠償額、企業価値の減少を
加味した上でセキュリティ対策費用と手間の方が大きいと判断されるのであれば
問題ありません。
一般的に、情報漏洩が起きると20億円の損害が発生すると言われています。
主に信頼喪失による売上減少、企業価値(株価)の減少です。
情報漏洩による賠償額の平均は1億円とされています。
今後、Windows Server 2000 が 2015年7月に、Windows7は 2020年にサポート終了
を迎えます。XPと同じで、終了時期が公式に発表されている以上、
その時期までにアップグレードできるように準備を進めるのが求められます。
直前になってから対応することはできません。計画的な移行お願いします。
画面の右下に「アップデートしてください」という表示がでませんか？
標的型攻撃をはじめ、脆弱性を狙った攻撃が増えています。
脆弱性を放置したままにするのは、
玄関のドアを開けたまま警備員を雇っているような状態です。
根本的な対策はできておらず、対策した気になっているということです。
実際、感染事例を調査すると、アプリケーションのバージョンを管理し、
パッチ適用(バージョン更新)さえできていれば防げた事件は数多くあります。
例えば、従業員が正規のウェブサイトを訪問し、そのサイトに
Adobe Flash Player の脆弱生を突いたアドウェアが仕掛けられていた場合、
最新のバージョンでなければ、閲覧するだけで感染してしまいます。
他にも、仕事に関するメールだと思い、メールを開封しただけで
ウイルス感染してしまうこともあります。
従業員にセキュリティ教育を受けさせるのは相当の労力とコストが
かかってしまいます。
仕事中、画面の右下に「1時間以内に再起動してください」や
「アップデートしてください」という表示がでることはありませんか？
それがパッチ管理(バージョン更新)です。
しかし、従業員の多くは「今仕事中だから、後回しでいいや」と考え、
放置したままにするケースが非常に目立ちます。
特に、よく脆弱生が発見される、
Adobe Flash, Adobe reader, Oracle JAVA の管理は徹底する必要があります。
「2014年度情報セキュリティ事象被害状況調査」によると、
クライアントPCに対するセキュリティパッチの適用率は以下の通りです。
7割を越える企業はセキュリティパッチの重要性を認識しており、
４割を越える企業では既に対策が施されています。
資産管理ソフトでバージョンを管理されている企業も多いとは思いますが、
「Adobe 10.1」といわれそれが最新かどうか確認する必要があります。
パッチ情報の収集が手間になるため、遅れや漏れが生じているのが現状です。
そこで、最近は、AdobeやJAVAのパッチ管理を自動化する製品を導入し、
効率化しながらセキュリティ強化を実現したいという企業が増えています。
他にも、コールセンターのように電話とExcelさえ使えれば、
他のアプリは必要ないというパソコンからは AdobeやJAVAを
アンインストールすることもオススメです。
パッチ管理を徹底し、防げる事件は事前に対応することで防ぎましょう。
【随時更新】2015年に開催されるセキュリティイベント
Security Days
日程：3月5日(木)、6日(金)
場所：JPタワーKITTE (@東京)
Security 2015 Spring Tokyo
日程：3月12日(木)、13日(金)
場所： ザ・プリンスタワー東京(@芝公園)
経営者必読！そんなセキュリティブログを目指します。
はじめまして。
この春からセキュリティ業界に飛び込む、新卒の社会人です。
インターン期間中に数十社の企業を訪問しましたが、
新卒の私からしても「え？」と思ってしまう程、
セキュリティ対策が不十分な企業が多くありました。
もちろん、中には相当の知識と経験を元に、
セキュリティの抜本的な改革を実現されている方もいらっしゃいます。
しかし、セキュリティ担当者だけでは限界があることを強く感じました。
例えば、積極的にセキュリティ対策を実施しようとする担当者の場合、
「情報漏洩したわけでもないのに、なぜそんなに投資する必要があるのか」
「ウイルス対策ソフトをいれているからもう大丈夫だろ」
など経営者の理解を得られず、話が進まないケースが多くあります。
また、部署移動でたまたまセキュリティ担当を命じられた方の場合、
積極的にセキュリティ対策を検討・実施しない(できない)ため、
十分な対策が施されていないまま放置されているケースもあります。
そこで、経営者に求められることは、
セキュリティ担当者の後ろ盾となり必要なリソースを確保する
or トップダウンでセキュリティの方針を打ち出す
それにも関わらず、「セキュリティのことは担当者に任せている」
ということで丸投げしている経営者が多くいます。
安全な環境でビジネスを進めていくためにもセキュリティは重要です。
その実現には、経営者の理解が必要です。
情報収集のためにネット検索すると、
・セキュリティベンダーが書くウイルスや脅威に関する記事
・エンジニアが書くコーディングに関する記事
・IT系メディアが書くスマホセキュリティなどのTips記事
だいたい、このどれかにアクセスすることになるのではないでしょうか。
言ってしまえば、セキュリティオタクを対象にしたものであり、
ある程度の知識がない限り、読むのが難解でした。
そこで、本ブログでは、経営者をはじめとするビジネスパーソンを対象に
セキュリティに関する情報を提供していきたいと思います。
2020年には東京オリンピックを控えております。
他にも、サイバーセキュリティ基本法やマイナンバー制度など
セキュリティにまつわる激動の5年間を迎えます。
本ブログを通じて、日本企業のセキュリティレベルが向上し、
セキュリティ市場の拡大と共に、理不尽なサイバー犯罪や情報漏えい事故が
減ることを願っております。
