2017年に組織が直面したネットワークセキュリティ脅威トップ3と効果的な回避策

はじめに：2017年のサイバー脅威の動向

2017年は、サイバー攻撃の手口が大きく高度化・多様化した一年となりました。「WannaCry」に代表されるランサムウェアの世界的な感染被害をはじめ、IoTデバイスの脆弱性を悪用した攻撃、巧妙化するフィッシング詐欺など、企業や組織を取り巻くリスクは年々増加しています。
本記事では、当時特に注目されたネットワークセキュリティ上の主要な脅威を整理し、それぞれの特徴と実践的な対策をわかりやすく解説します。

ネットワークセキュリティの主要脅威トップ3

1. ランサムウェア（身代金要求型マルウェア）

ランサムウェアは、感染端末内のデータを暗号化し、復旧と引き換えに金銭を要求する悪質なマルウェアです。2017年には大規模な感染被害が世界中で発生し、多くの企業で業務停止やデータ損失が起こりました。
初期の段階ではメール添付ファイル経由の感染が中心でしたが、OSやソフトウェアの未修整の脆弱性を悪用して自動的に感染を広げるタイプへと進化しており、その危険性は一層高まっています。

2. フィッシング詐欺・ソーシャルエンジニアリング攻撃

偽のメールやWebサイトを使って従業員からIDやパスワードなどの認証情報を盗み出すフィッシング攻撃は、最も一般的かつ被害件数の多い手口の一つです。
この攻撃が厄介なのは、技術的な防御だけでは完全には防げず、人間の心理的な隙を突く点です。さらに、特定の組織や個人を狙い撃ちにする「標的型メール攻撃」も増加しており、従業員一人ひとりのセキュリティ意識が組織全体の防御力を左右します。

3. インサイダー脅威（内部者による脅威）

外部からの攻撃だけでなく、従業員・元従業員・協力会社など組織内部の人間による情報漏えいや不正行為も深刻な脅威です。
内部者による脅威には、悪意のある意図的な犯行だけでなく、設定ミスや誤操作といった過失による事故も含まれます。アクセス権限の管理不備や監視体制の不足は、被害を大きく拡大させる要因となるため、日頃からの体制整備が欠かせません。

その他に知っておきたい代表的な脅威

多様なマルウェアの存在

マルウェアとは、ウイルス、ワーム、トロイの木馬、スパイウェア、ランサムウェアなど、あらゆる悪意あるソフトウェアの総称です。
中には「偽セキュリティソフト」のように、ウイルス対策ソフトを装って利用者の不安につけ込み、逆に感染させようとする手口もあります。正規のソフトウェアやWebサイトを装った感染経路も増えており、ダウンロード元の信頼性確認が重要です。

DoS／DDoS攻撃

DoS攻撃は、大量のアクセスを送りつけてサーバーやネットワークに過剰な負荷をかけ、サービスを不能にさせる攻撃です。複数の「ゾンビPC」（乗っ取られたコンピュータ群）から一斉に攻撃を行うDDoS攻撃は、防御がより困難で、ビジネスへの影響も甚大になります。

中間者攻撃・SQLインジェクション・パスワード攻撃

通信の盗聴や改ざんを行う中間者攻撃（MITM）、Webアプリケーションの脆弱性を突くSQLインジェクション、総当たり攻撃などのパスワード攻撃も、今なお頻発している古典的かつ有効な攻撃手法です。また、システム連携が一般化したことで、APIの脆弱性を突いた侵入も新たなリスクとして注目されています。

IoTデバイスの脆弱性

IoT機器はインターネットに常時接続されているため、遠隔からアクセス可能です。初期パスワードのまま使用したり、ファームウェアを更新していなかったりすると、攻撃の踏み台として悪用される危険があります。接続するすべてのデバイスを資産として把握し、管理することが不可欠です。

見逃されがちな物理的な脅威

サイバー攻撃以外にも、ハードウェアや施設に対する物理的なリスクが存在します。

• 内部リスク：火災、電源供給の不安定さ、サーバー室の湿度管理不良、設備の老朽化など
• 外部リスク：落雷、洪水、地震などの自然災害

これらの物理的脅威への備えとして、無停電電源装置（UPS）の導入、耐震対策、適切な温湿度管理、そしてオフサイトバックアップの整備が挙げられます。

情報セキュリティの3つの管理カテゴリ

ITセキュリティの管理策は、次の3つのカテゴリに分類されます。

• 技術的管理：ファイアウォール、暗号化、ウイルス対策ソフトなど
• 運用（管理的）管理：セキュリティポリシーの策定、従業員教育、アクセス権限ルールなど
• 物理的管理：入退室管理、監視カメラ、施錠など

これらを組み合わせることで、「予防」「検知」「修正」「補償」「抑止」というセキュリティの主要目的を達成します。どれか一つだけに頼るのではなく、多層防御の考え方で全体を設計することが大切です。

脅威を回避するために組織がすべきこと

• OS・アプリケーションを常に最新状態に保ち、未修整の脆弱性を放置しない
• 強固なパスワードポリシーを定め、可能な範囲で多要素認証を導入する
• 全従業員を対象に、フィッシング詐欺やソーシャルエンジニアリングに関するセキュリティ教育を定期的に実施する
• ネットワーク境界とエンドポイントの両方でセキュリティ対策を強化する
• 重要データのバックアップを取得し、復旧手順を含むインシデント対応計画を整備する
• サイバーセキュリティ活動を継続的にモニタリングし、異常を早期に検知できる体制を作る
• APIやクラウドサービス、第三者製ソフトウェアの脆弱性診断を定期的に行う

まとめ

2017年のネットワークセキュリティを語るうえで、ランサムウェア、フィッシング詐欺、インサイダー脅威の3つは避けて通れないテーマでした。これらの脅威は今日においても進化を続けています。
完璧な防御は存在しませんが、技術的・運用的・物理的な管理策を多層的に組み合わせ、人・プロセス・技術の三位一体で取り組むことで、被害の可能性と影響を大幅に低減できます。まずは自社の現状を把握し、優先順位をつけた対策から着実に始めましょう。