社員・職員の情報セキュリティ対策

　IPA（独立行政法人情報処理推進機構）で公開している 情報セキュリティ５ヵ条 というものがあります。情報セキュリティの基本的な部分が列挙されていますので、一読してください。

1. OSやソフトウェアは常に最新の状態にしよう！
2. ウイルス対策ソフトを導入しよう！
3. パスワードを強化しよう！
4. 共有設定を見直そう！
5. 脅威や攻撃の手口を知ろう！

　OS、Webブラウザ、Officeアプリケーションなどのソフトウェアには、時間の経過とともに、脆弱性（ぜいじゃくせい）と呼ばれる不具合が発見されることがあります。

　脆弱性を放置していると、ウイルス対策ソフトを入れて、最新版のウイルス検知用データに更新しても、ウイルスに感染したり、ウイルス付きの電子メールを他の人に送ってしまったり、悪意のあるホームページを見ただけでパソコンの中のシステムが破壊されてしまったりすることがあります。

　自分のパソコンや社内のネットワークを防御するためには、ウイルスへの適切な対策が必要です。最近のウイルスは、電子メールをプレビューしたり、Webブラウザでホームページを閲覧したりするだけで感染するなど、多様かつ巧妙なものが多く、以前に比べて被害の深刻度や被害を受ける範囲が拡大しています。

　ウイルス感染の予防対策としては、OSやソフトウェアを更新して最新の状態に保つことが大切です。併せて、ウイルス対策ソフトをインストールし、ウイルス検知用データを常に最新のものに更新しておくことも大切です。

　企業・組織におけるパスワードは、ユーザ名と組み合わせることで企業・組織内の情報資産へのアクセスの可否を決める重要なものです。パスワードの重要性を再認識して、適切なパスワード管理を心がけましょう。

• 推測されにくいパスワードにする
• 他人の目に触れないよう適切な方法で保管する
• パスワードの使い回しはしない
• パスワードの定期的な変更は不要
• Webブラウザのパスワードマネージャー 又は パスワード管理ツール を使用する
  （ソフトウエアの信頼性やツール自体のパスワードには注意）
• SMS、メールアドレスなどを使った多要素認証が使用できる場合は使用する
• 所属する企業や組織の情報セキュリティポリシーで規程されている場合は、その指示に従う

パスワード解析（クラッキング）されるまでの時間

  電子メールは、企業や組織において、日常的にもっとも利用するツールのひとつですが、宛先アドレスの間違いや、宛先欄の使い方の誤りといったミスによる情報漏えいが頻繁に発生しています。

　宛先アドレスを誤って入力してしまう原因の1つとして、オートコンプリートと呼ばれる自動補完機能によるアドレスの誤入力があります。オートコンプリートは、文字入力を補助する機能の一つで、過去の入力履歴を参照して次の入力内容を予想し、候補を表示してくれます。電子メールでは、メールアドレスの先頭の部分を入力するだけで自動的に全部の文字列が入力される便利な機能です。しかし、この機能で表示されたメールアドレスをよく確認せず、間違った宛先を指定して送信してしまうというケースがあるので、注意が必要です。

　また、宛先欄の「TO」「CC」「BCC」の使い方の誤りによる情報漏えいがあります。電子メールの宛先欄には、以下の3つの種類がありますが、機能を理解して、用途に応じて使い分けてください。

　標的型攻撃メールとは、特定の組織から重要な情報を盗むことを目的として、巧妙に作り込まれたウイルス付きのメールのことです。　

　たった1人の社員や職員が、標的型攻撃メールの添付ファイルを開封したり、リンクをクリックしただけでも、情報を盗み出すウイルスに感染して拡散され、機密情報の漏えいや、ファイルが暗号化されて、身代金を要求される事態に陥ることがあります。

　特に、標的型攻撃メールのウイルスは、ウイルス対策ソフトでは検出されないものが多いため感染に気づきにくく、知らぬ間に被害が拡大しているケースがあり、深刻な問題となっています。

　標的型攻撃メールの文面は、業務でやりとりしているメールの送信者、よく使われているメールの件名、宛先、内容、添付ファイルの形式、署名などを真似て、受信側をだまそうとするものが主流です。一見して不審な点があまりなく、気がつきにくいのが特徴ですが、メールの件名や内容に「緊急」や「重要」など、受信側の興味を引いたり、読まなければならないと思わせたりするような細工がされています。

　インターネットには様々なホームページが公開されていますが、それらの中には個人情報を収集することや、いやがらせが目的のものもあります。また、ホームページによっては、閲覧しただけで、ウイルスに感染したり、パソコンを破壊されたりしてしまうものもあります。

　心がけなければならないのは、悪意を持ったホームページが存在するということを認識し、怪しいホームページはできるだけ開かないようにしてください。

　このようなホームページの被害を受けないために、OSやWebブラウザなどを最新の状態にしておくことが重要です。セキュリティソフトも利用するようにしてください。

　安全にパソコンを利用するためには、定期的なバックアップが不可欠です。ワープロソフトや表計算ソフトなどで作成したドキュメントファイルだけでなく、送信した電子メールや受信した電子メール、よく利用するホームページのURLなどの情報も、必要に応じてバックアップしておかなければなりません。

　バックアップには、ファイルサーバ（NAS）、インターネット上のオンラインストレージ、外付けのハードディスク（SSD）、USBメモリ、CD-R・DVDなどの外部の記憶媒体を利用する方法があります。

　バックアップは「取りっ放し」ではなく、定期的に復元方法を確認しましょう。バックアップがきちんと取れているかの確認にもなります。

　中古のパソコンに前の所有者が利用しているデータがそのまま残されていたという事例だけでなく、企業で利用していた形跡のある中古のパソコンを意図的に購入して、そこに保存されているデータを探し出すといった方法で、機密情報を入手する手口も行われています。

　特に注意が必要なのは、保存されているデータを削除したり、ハードディスクをフォーマットしただけで、パソコンを処分してしまう場合です。画面上でデータが消えているように見えても、実際にはハードディスク上にデータが残されたままになっていることがあり、特殊なソフトウェアを利用することで、削除したはずのファイルを復元することが可能です。

　不要になったパソコンのハードディスクの処理方法には、以下のとおりです。

• データ消去用のソフトウェアを利用する
• 信用できる専門業者のデータ消去サービスを利用する
• パソコンのハードディスクを取り出して、ディスクを物理的に破壊する
• 暗号化し、復号に必要な鍵を廃棄して読み出し不能にする

　取引先とのデータのやり取りにUSBメモリを利用するケースが増えました。USBメモリは、パソコンのUSB端子に接続するだけで手軽に利用でき、多くの利用者に支持されています。

　しかし、小さくて持ち運びが楽であるため、紛失してしまう危険性が高いという点に注意しなければなりません。また、データをそのままメディアに記録していた場合、紛失時にメディア内の情報が漏えいする危険性が非常に高くなります。もちろん、このことは外付けハードディスク、CD、DVDなど、持ち運び可能なメディア全般について言えることです。

　また、持ち運び可能なメディアが、自宅や外出先のパソコンからウイルス感染し、会社内のネットワークに感染を広げてしまう危険性も考えられます。これらのリスクを軽減するためには、次のような対策をしてください。

　ソーシャルエンジニアリングとは、ネットワークに侵入するために必要となるパスワードなどの情報を、情報通信技術を使用せずに盗み出す方法です。その多くは人間の心理的な隙や行動のミスにつけ込むものです。

　最近では、特定の組織を狙った標的型攻撃メールで、ソーシャルエンジニアリングの手法が用いられることが多くなっています。

　ユーザー名やパスワードが漏えいするということは、組織全体のセキュリティを脅かすということをきちんと認識して、ソーシャルエンジニアリングに対する適切な対策を心がけるようにしましょう。

　最近、企業や組織において、社内の情報資産をクラウドサービスに預けるという利用が進んでいます。

　一方で、利用者のIDやパスワードなどのアカウント情報の管理不備や、アクセス権設定の間違いなどが原因で、不正アクセスによる情報漏えいなどの事故が多く発生しています。

　クラウドサービスでは、誰もがどこからでも情報にアクセスしやすいことが利点ですが、場合によってはこのことがセキュリティ上の脅威にもなり得ます。正しい利用者のみが、許可された操作が行えるように、アカウントの管理には細心の注意が必要です。

　さらに、クラウドサービスでは、業者側での障害や運用の不備などが原因で、システム上に保存したデータが消えてしまったり、サービス自体が使えなくなってしまったりという事態も発生しています。クラウドサービスでは、保存したデータの保証までは行っていません。

　万が一、クラウドサービスで障害が発生し、データが消えてしまった場合のことも想定し、データのバックアップを取得しておく必要があります。また、サービスが使えなくなった時のために、代替の手段やサービスを用意しておくことも検討してください。

　SNSでは、好きなことや意見が似ている人同士が繋がりやすくなっています。価値観の近い人達と簡単に交流できること自体は、SNSなどがもたらす大きなメリットのひとつです。

　一方で、SNSには、過去に参照した情報を元に、好みの情報が表示されやすくなる仕組みが組み込まれています。好みでない情報に接しづらくなる状態のことを フィルターバブル と言います。

　「世界中の色々な人と繋がっているはず」と思い込んで、似た価値観の意見ばかりを見聞きし続けると「世の中のほとんどの人が同じ意見を持っている」と感じるかもしれません。このような現象を エコーチェンバー現象（閉じた小部屋で音が反響する現象）と言います。

　このような状態でSNSで情報を発信することは大変危険です。同じ考えの人は、実は少ないのかもしれません。