FINRAが定義するサイバーセキュリティとは？レポートに基づく実践ガイド

米国金融業規制機構（FINRA）は、サイバーセキュリティ慣行に関するレポートの中で、サイバーセキュリティについて独自の定義を示しています。本記事では、この定義をはじめ、サイバーセキュリティの基本概念、レポートの作成方法、チェックリスト、インシデントの報告先、実践的な対策までをわかりやすく解説します。

FINRAによるサイバーセキュリティの定義

FINRAは、同レポートにおいてサイバーセキュリティを「電子的・デジタルなメディア（インターネット、ソーシャルメディアなど）の利用によって、投資家や上場企業に関する情報が侵害されることから保護すること」と定義しています。この定義には、インターネット電話システム、スマートフォン、その他のインターネット関連技術も含まれます。

サイバーセキュリティの基本概念

サイバー攻撃とは

サイバー攻撃とは、データ、プログラム、デバイス、またはシステムに影響を及ぼすネットワークへの侵入を指します。サイバーセキュリティは、こうしたシステムを侵入から守るためのさまざまな技術、プロセス、管理策の総称です。これにより、サイバー攻撃を減少させ、システム・ネットワーク・技術の不正利用を防ぐことができます。

サイバーセキュリティの目的

サイバーセキュリティは、コンピューターネットワーク、サーバー、モバイルデバイス、電子システム、データネットワークを悪意ある攻撃から保護します。アプリケーションセキュリティの目標は、ソフトウェアやデバイスへの脅威の侵入を防ぐことです。理想的には、アプリケーションで保護されたデータは、たとえそのアプリケーションが侵害されても外部からアクセスできない状態であるべきです。

サイバーセキュリティレポートの作成方法

効果的なサイバーセキュリティレポートを作成するには、以下のポイントを押さえましょう。

• ガイダンスに従ってインシデントを報告する
• 組織が許容できるリスクの範囲を明確にする
• 脅威環境を明確に定義する
• 財務面への影響に焦点を当てる
• 成果物については現実的な期待値を設定する

セキュリティ分析レポートの構成要素

• 表紙
• 目次
• エグゼクティブサマリー（要旨）
• 注記
• 情報セキュリティ監査の結果
• 優先度順に整理した指摘事項の一覧

リスクベースのサイバーセキュリティレポートとは

組織のリスクに基づくサイバーセキュリティレポートは、企業のサイバーセキュリティリスクに焦点を当ててすべての結果を網羅します。重要な指摘事項にリスクスコアを割り当て、ビジネスへの影響という観点からリスクを提示するのが特徴です。また、業界のリーディングカンパニー、競合他社、ビジネスパートナー、ベンダーと自社のプログラムを比較できる詳細な情報は、リスクマネージャーにとって貴重な意思決定材料となります。

質の高いレポートは、サイバー脅威への露出を低減するための高度な洞察と指針を組織に提供し、優先順位の見直しを促します。主要な指摘事項や推奨事項にスコアを用いることで、解釈と比較がしやすくなります。

サイバーセキュリティチェックリスト

サイバーセキュリティチェックリストには、一般的に以下のような項目が含まれます。

• 利用規程（許容可能な使用範囲の定義）
• インターネットアクセス、メールおよびコミュニケーションポリシー
• リモートアクセスおよびBYOD（持ち込みデバイス）ポリシー
• 暗号化とプライバシーポリシー
• 災害復旧（ディザスターリカバリー）手順

チェックリストは、次のような流れで活用します。

• サイバーセキュリティの脅威を評価する
• 資産を保護するための適切な対策を講じる
• システムや資産が侵害されたタイミングを特定できる体制を整える
• 侵害発生後、速やかに対応計画を実行する
• 資産の紛失・盗難・利用不能時には復旧計画を実施する

サイバー攻撃や脅威の報告先

米国の場合

米国では、ネットワーク侵入、データ漏洩、ランサムウェア攻撃を受けた場合、最寄りのFBI支局に連絡するか、tips.fbi.govから報告できます。また、HSI（国土安全保障省捜査局）への報告は、866-DHS-2-ICE（866-347-2423）への電話または公式サイトのチップフォームから可能です。知的財産のデジタル窃盗や違法な電子商取引などのサイバー犯罪は、Internet Crime Complaint Center（IC3）に通報しましょう。

オーストラリアの場合

オーストラリアでは、オンラインでの攻撃、ハッキング、詐欺、盗難、なりすまし被害を受けた場合、Australian Cyber Security Centre（オーストラリアサイバーセキュリティセンター）にオンラインで報告できます。詐欺やサイバー犯罪の報告方法については、NSW Fair Tradingのウェブサイトも参考になります。

内部脅威の報告

政府職員、軍人、請負業者以外の方が内部脅威を疑う場合は、最寄りの法執行機関またはFBIに連絡してください。

サイバーセキュリティの主な種類

サイバーセキュリティは、大きく以下の5つの分野に分けられます。

• クリティカルインフラのセキュリティ：電力、水道、交通など社会基盤の保護
• ネットワークセキュリティ：ネットワークへの不正アクセスの防止
• クラウドセキュリティ：クラウド環境のデータとシステムの保護
• IoTセキュリティ：IoT（モノのインターネット）デバイスの保護
• アプリケーションセキュリティ：ソフトウェアレベルでの機密データ保護

また、サイバーセキュリティが防ぐべき攻撃には、サーバー停止を引き起こすDoS攻撃、マルウェア感染、SQLインジェクション、中間者攻撃（MITM）、ドライブバイダウンロード、パスワード窃取などがあります。

ネットワークセキュリティの具体例

ネットワークセキュリティの例としては、ウイルス対策ソフトやスパイウェア対策アプリ、ネットワークへの不正アクセスを防ぐファイアウォール、リモートアクセスの脅威から守るVPN（仮想プライベートネットワーク）などが挙げられます。

推奨されるサイバーセキュリティ対策

日常的に実践すべきセキュリティ対策は以下の通りです。

• ファイアウォールを導入する
• サイバーセキュリティポリシーを文書化する
• セキュリティ計画にモバイルデバイスを含める
• 全従業員にセキュリティ教育を実施する
• 強固なパスワードポリシーを運用する
• すべてのデータを定期的にバックアップする
• スパイウェア除去ツールを導入する
• 多要素認証でユーザーを確認する

ネットワークセキュリティの実践方法

• OSI参照モデルへの理解を深める
• ネットワーク上のデバイスの種類を把握する
• ネットワーク防御に関する知識を身につける
• ネットワークを適切に分割（セグメンテーション）する
• セキュリティ機器を正しい位置に配置する
• NAT（ネットワークアドレス変換）を活用する
• パーソナルファイアウォールを無効化しない
• 集中ログ管理を行い、即座に分析する

サイバーセキュリティの重要性

サイバーセキュリティとは、インターネットに接続されたシステムをサイバー空間の脅威から防御することです。ソフトウェア、データ、ハードウェアを保護するとともに、デバイスやネットワークがハッキングされるのを防ぎます。

あらゆる種類のデータの盗難や損害を防ぐために、サイバーセキュリティは不可欠です。その対象には、個人識別情報（PII）、医療情報（PHI）、機密情報、知的財産、政府・業界の情報システムが含まれます。

具体的には、サイバーセキュリティは以下のメリットをもたらします。

• 中小企業をサイバー攻撃やデータ漏洩から保護
• ネットワークとデータの安全確保
• 不正ユーザーによるシステムアクセスの防止
• 侵害からの復旧時間の短縮
• エンドポイントにおけるユーザーとデバイスの保護
• 規制要件へのコンプライアンス対応
• 業務の継続性確保

サイバーセキュリティ事業の始め方

サイバーセキュリティビジネスを立ち上げる際は、以下のステップを踏みましょう。

• 資格・実績の獲得：顧客となる企業は、信頼できる専門性を持つパートナーを求めます。まずは認定資格の取得や実績づくりから始めましょう。
• ビジネスプランの策定：サービス内容、収益モデル、成長戦略を明確にします。
• ターゲット市場の定義と分析：どの業界・規模の企業を対象とするかを決めます。
• 法的形態の選択：法人形態を選び、必要な登記や保険を整えます。