情報セキュリティ対策の方法とは？重要性や被害事例、ポイントを紹介

・機密性（Confidentiality）

機密性（Confidentiality）とは、許可された者だけが情報にアクセスできるようにすることです。許可されていない利用者は、コンピュータやデータベースにアクセスすることができないようにしたり、データを閲覧することはできるが書き換えることはできないようにしたりします。

・完全性（Integrity）

完全性（Integrity）とは、保有する情報が正確であり、完全である状態を保持することです。情報が不正に改ざんされたり、破壊されたりしないことを指します。

・可用性（Availability）

可用性（Availability）とは、許可された者が必要なときにいつでも情報にアクセスできるようにすることです。つまり、可用性を維持するということは、情報を提供するサービスが常に動作するということを表します。

中小企業も情報セキュリティは必須の時代になってくる

情報セキュリティ対策は、今や大企業だけが取り組むべき課題ではなくなりつつあります。セキュリティ対策が手薄なメーカー関連企業や、商品サプライヤーなどの取引先企業（サプライチェーン）を経由して、ターゲット企業への不正侵入を企てる「サプライチェーン攻撃」が昨今大きな問題となっているからです。

また、サイバー攻撃の手口が多様化していることも重要なポイントです。「サプライチェーン攻撃」は大規模なサプライチェーンを構築している業界ほどリスクが高まります。大規模なサプライチェーンを擁する自動車業界を例にすると、車両を遠隔操作できる手口が存在する（※3）ことも明らかになっています。
これまでサイバー攻撃の対象とならないと思われていた業種や業態であっても、ネットワークに接続された機器を使用している企業は、こうした攻撃を防ぐための手立てを講じておく必要があるでしょう。中小企業にとってサイバー攻撃や不正侵入は決して対岸の火事ではなく、各社が早急に対策を講じるべき重要な課題となっているのです。

（※3）出典：J-STAGE「自動車を取り巻くIoTセキュリティーとその課題」|名古屋大学 大学院情報学研究科附属組込みシステム研究センター特任准教授倉地亮

標的型攻撃メールによる被害

標的型攻撃とは、攻撃者が何らかの悪質な意図を持って、特定の企業、個人の情報資産などを狙うサイバー攻撃です。無差別ではなく、価値の高い情報を持った相手を選別して狙うところに特徴があり、綿密な計画にもとづいた攻撃であることが多いとされます。

標的型攻撃の手口としてよく使われるのがメールです。メールに記載したURLや添付ファイルなどを起点としてマルウェアに感染させたり、フィッシングサイト（攻撃者がユーザーの個人情報を不正に入手するために用意された偽サイト）へ誘導したりします。
マルウェア感染後は個人情報・機密情報の抜取や、不正な動作によるデータ破壊などが起こる可能性があります。

標的型攻撃メールによる被害では、従業員の業務用アドレスあてに100通を超えるメールが送られ、うち数通の添付ファイルが開かれたりURLがクリックされたりしたことによって、大規模な個人情報流出につながった例があります。
この例では、特定の拠点の従業員あてに、関係者を装った巧妙なメールが送られていました。

ランサムウェアの感染による被害

ランサムウェアは、前述したマルウェアの一種で、感染させたコンピュータのデータを暗号化するなどして利用できない状態にした上で、元に戻すことと引換に身代金を要求する手口です。
独立行政法人情報処理推進機構が公表した「情報セキュリティ10大脅威 2023」（※4）では、組織向け脅威のトップに「ランサムウェア」が挙がっています。

2021年、国内の病院にランサムウェア攻撃があり、電子カルテが暗号化されて閲覧できなくなる事件がありました。診療報酬計算や電子カルテ閲覧のための基幹システムも利用不能になり、当該病院は新規患者の受入を一時停止せざるをえませんでした。
また、2022年には、自動車製造企業の関連取引先にランサムウェアの被害が出たことで、自動車製造企業の生産ラインが停止してしまうという事態も発生しています。

（※4）出典：独立行政法人情報処理推進機構「情報セキュリティ10大脅威 2023」

サイト改ざん・不正アクセスによる被害

悪意の第三者によって、ウェブサイトに管理者の意図しない変更が加えられることをサイト改ざんといいます。また、本来アクセス権限を持たない者が、社内システムや情報システムの内部へ侵入を行う行為を不正アクセスといいます。
ある組織のウェブサイトで、顧客ごとの専用ページである「マイページ」が改ざんされており、不正アクセスにより入力された氏名や住所などが攻撃者の手に渡る被害がありました。

企業情報や顧客データを守る

まずは、ランサムウェアなどのマルウェア感染や、サイト改ざん、不正アクセスを防止するための対策を講じましょう。利用しているアプリケーションのバージョンを常に最新にする、社内システム上の不要なサービスを停止して攻撃者が狙える脆弱性を減らすなど、具体的な対策が必要です。併せて、マルウェア対策ソフトを導入するなど、パソコンやモバイルを情報漏洩から守ることも大切です。

従業員教育を行う

情報資産を守る上で、従業員の情報リテラシー向上は欠かせません。情報資産を守ることの重要性を社内で共有し、被害発生時の対処方法についても、事前議論しておくことが重要です。

コストや手間を抑えて、できるところから情報セキュリティ対策を

情報セキュリティに関しては万全の対策を講じておくのが理想ですが、今すぐにあらゆる脅威に対策を講じるのは難しいでしょう。それでも、無理のない範囲で、できるところから情報セキュリティ対策に取り組んでいくことが重要です。
後述する具体策を参考に、コストや手間を抑えて実践できることからぜひ取り組んでいってください。

セキュリティ対策サービス導入をご検討されている方は、こちらもご参照ください。

情報処理推進機構の情報セキュリティ対策情報を参照する

独立行政法人情報処理推進機構は、中小企業向けに「情報セキュリティ対策ガイドライン」を公開しました。中小企業が取り組むべき具体的な対策が「経営者編」「実践編」の2部構成でまとめられており、付録には自社の現状診断に活用できるチェックリストやリスク分析シートなども掲載されています。
情報セキュリティ対策を講じる上で必要とされる基本的な情報を確認する資料として、こちらを参照しながら対策を進めてみてはいかがでしょうか。

独立行政法人情報処理推進機構の情報セキュリティ対策情報については、「中小企業の情報セキュリティ対策ガイドライン」をご参照ください。

中小企業庁の情報セキュリティ対策情報を参照する

中小企業庁では、どのようなセキュリティ対策を講じるべきかをまとめたウェブサイト「中小企業の情報セキュリティ」を公開しています。中小企業が情報セキュリティ強化に取り組む際の手順を、わかりやすく4つのステップで解説しています。

中小企業庁の情報セキュリティ対策情報については、「中小企業の情報セキュリティ」をご参照ください。

修正プログラム適用

社内システムやプログラム、OS、各種ソフトウェアは、修正プログラムを適用の上、最新バージョンに更新しておきましょう。

セキュリティソフトの導入と定義ファイルの最新化

パソコンや社内システムにはセキュリティソフトを導入し、ソフトの定義ファイルを常に最新にしておくことを忘れないでください。

パスワードの適切な設定・管理

パスワードは、大小英数字や記号を混ぜて、できる限り長い文字列で設定をします。1つのウェブサイトで使ったパスワードは、ほかのサイトで使い回さないようにしましょう。

定期的なバックアップ

データのバックアップは、外部記憶媒体に定期的に行う必要があります。運用データのバックアップを必ず行い、運用データとバックアップデータを保存した外部記憶媒体は、設置する場所を変えるのが望ましいです。

不要なサービスやアカウントの削除

外部から接続される社内システムを使ったサービスの中で、不要なものは停止・削除をしましょう。また、不要なユーザーアカウントがあれば、それらも停止・削除をしたほうが安全です。

情報持ち出しのルールを決定

パソコンやモバイルなど情報資産の入った機器を持ち出す際のルールを社内で決定し、情報漏洩対策を図りましょう。

社内ネットワークへの機器接続ルール徹底

マルウェア感染したパソコンや外部媒体などを社内ネットワークに接続することで、マルウェアをネットワーク内に拡散してしまうおそれがあります。社内ネットワークに接続する場合のルールは明確にしておき、周知徹底しましょう。社内ネットワークに接続する機器については、マルウェア対策がなされているか、脆弱性対策が実施されているかといった点も確認します。

不審なメールに注意する

メールの中には、フィッシング詐欺やマルウェア感染につながるURLが文面に含まれていたり、あやしいファイルが添付されていたりする場合があります。「おかしいな」と感じたら絶対に開封せず、すみやかに管理者に報告しましょう。

USBメモリは安易に接続しない

所有者がわからなかったり、他社から受け取ったりしたUSBメモリにも、マルウェア感染の危険は潜んでいます。外部記憶媒体を安易に接続するのは避けましょう。勝手に接続せず、必ず管理者の許可を取るようにしてください。

ソフトウェアをインストールする際は許可を取る

自分のパソコンに外部ソフトウェアをインストールして使いたい場合は、勝手にインストールせず、必ず管理者の許可を取りましょう。

パソコンなどのロック機能を活用する

第三者に簡単に利用されないよう、普段からパソコンやスマートフォンのロックを徹底しましょう。
パソコンの前を離れる際にデータを表示したままにしたり、スマートフォンのロックを解除したまま目の届かない場所に放置したりしないよう、十分に注意してください。