サイバーハイジーン(サイバー衛生)とは?企業が知っておくべき基本と実践ステップ

提供するサービスの種類に関わらず、すべての企業がサイバーセキュリティを真剣に考える必要があります。これは議論の余地のない事実です。

そして、多くの人が心に抱く共通の疑問がひとつあります。

「なぜ攻撃者は自分をターゲットにするのか?」

興味深いことに、実際にハッキング被害に遭った人々の思考は、「当社は100%安全だ」という過信か、「小規模なビジネスだから、攻撃者にとって価値のあるものは何もない」という楽観のどちらかに傾きがちです。

まだそう考えている方のために、中小企業がスクリプトキディから国家支援型の攻撃者まで、ハッカーの格好の標的となっているという統計データをご紹介します。

Symantecのレポートによると、従業員250人未満の企業は、近年の標的型攻撃全体の36%のターゲットとなっています。

自社の脆弱性を理解する

セキュリティ確保への第一歩は、自社がどれほど脆弱であるかを理解することです。

この問いに対する完璧な解決策をお探しなら、すでにどのようなセキュリティ対策を導入していても、定期的なペネトレーションテスト(侵入テスト)を実施してアプリケーションセキュリティを向上させることが答えとなります。

脆弱性の原因は、不注意な小さなコードの断片、古い依存関係、あるいは製品や組織内の脆弱なデバイスなど様々です。

また、たとえ組織やネットワークが攻撃の直接的な影響を受けていなくても、気づかないうちにサイバー攻撃の拡散経路の一部になっていた可能性もあります。

これは、通路上のあらゆるネットワークを無差別に乗っ取って大混乱をもたらす自己増殖型ボットネット攻撃や、より大きな標的への踏み台として貴社を利用するハッキングによって起こり得ます。

適切な対策を見つける

脆弱性の分析の次のステップは、それらすべて(少なくとも可能な限り多く)を修正する方法を決定することです。

そのためには、ビジネスにおけるリスクの優先順位をつけ、セキュリティチームの助言に従って是正措置を実施する必要があります。

優先順位をつける際には、PCI準拠のクレジットカード情報やHIPAA準拠の健康情報など、組織に関連する規制で保護されている最も機密性の高いデータに影響を与える脆弱性から着手するのがよいでしょう。

さらに、ネットワークに接続されているアプリケーションやデバイスもスキャンする必要があります。これはしばしば見落とされがちですが、怠ると攻撃者にネットワーク構成への明確な地図を与えてしまうことになります。

脆弱なネットワーク要素をすべて分類できれば、自社の攻撃対象領域(アタックサーフェス)についてより深く理解できるようになります。

対策を実行する

中核となるのは、シフトレフト(開発の早期段階でセキュリティを組み込む)のアプローチを採用して脆弱性を分析することです。適切なツールを活用すれば、コードやその他の依存関係の中の脆弱な部分を効率的に特定できます。

次に行うのは、適切なパッチで脆弱性を解消することです。しかし、多くの組織はパッチ適用のコストを聞くと、この重要な工程を後回しにしがちです。

組織は忘れがちですが、サイバーインシデントの発生後に修復・復旧にかかるコストは、予防的な是正措置への投資と比べて桁違いに高くなります。

古い依存関係については、最新バージョンへ更新することが最善の解決策です。コードに関しては、開発者とセキュリティチームの専門家による提言を連携させることが理想的です。

さらに、従業員へのセキュリティ教育を実施し、全員が遵守すべきサイバーセキュリティポリシーを作成することも極めて有効な取り組みです。

このポリシーには、使用すべきソリューションだけでなく、強固なパスワードの作成やフィッシングメールの見分け方といったベストプラクティスも含めるべきです。

これらすべてを自社のみで対応するのが難しい場合は、サイバーセキュリティコンサルタントやマネージドサービスプロバイダー(MSP)に委託するのも選択肢です。ただし、契約時にはサービスレベル合意(SLA)をよく読み込み、相手が提供する内容と自社側が担う責任範囲を正確に把握しておきましょう。

まとめ

サイバーハイジーン(サイバー衛生)の実践は一日で完了するものではなく、脆弱性を発見しては修正を続ける、継続的なプロセスです。

市場には数多くの教育リソースや優れたアプリケーションセキュリティソフトウェアが存在するため、対策を怠る言い訳はもうありません。