セキュリティ対策と IT 機器

一般的に企業では、以下のような機器の構成でインターネットへの接続を行っています。

1. PCから「社内LAN」へ
   社員がPCでWebサイトを開こうとしたり、メールを送信したりすると、そのデータは有線（LANケーブル）または無線（Wi-Fi）を通じて、会社などのローカルなネットワークである社内LAN（Local Area Network）に入ります。ここはまだ、外部のインターネットとは直接繋がっていない「身内のネットワーク」です。
2. 社内LANから「ルーター」へ
   社内LANに集まったデータは、次にルーターという機器にたどり着きます。
   ルーターは、ネットワークの「交通整理役（あるいは案内所）」です。PCから送られてきたデータを見て、「これは社内のプリンターへ向かうデータか、それとも外の世界（インターネット）へ向かうデータか」を判断し、外部へ行くべき通信を適切な出口へと案内します。
3. ルーターから「モデム」へ
   ルーターを通過して外の世界へ向かうデータですが、実はPCやルーターが扱う「デジタル信号」のままでは、屋外の通信ケーブル（電話線や光ケーブルなど）を通ることができません。そこで登場するのがモデムです。
   モデムは「翻訳家」のような役割を果たします。デジタル信号を、外の回線を通れる信号（アナログ信号など）に変換して送り出し、逆に外からやってきた信号をPCが読めるデジタル信号に変換してくれます。
   ※現在主流の光回線では、モデムの代わりに「ONU（光回線終端装置）」という機器が使われますが、データを外の回線に通せるよう「変換する」という根本的な役割は同じです。
4. モデムから「プロバイダー」へ
   モデム（またはONU）によって変換されたデータは、屋外のケーブルを通って、契約しているプロバイダー（ISP：インターネットサービスプロバイダ）の設備へと向かいます。
   プロバイダーは、インターネットの世界へ入るための「関所」であり「窓口」です。ここでユーザーの認証（正当な契約者であるかの確認）が行われ、問題がなければ、世界中のネットワークが網の目のように繋がる広大なインターネットの世界へとデータを送り出してくれます。
5. インターネットの世界へ
   プロバイダーを経由したデータは、目的のWebサイトのサーバーなどに無事到着します。そこで得られた情報（Webページの画像やテキストなど）は、今度は全く逆の経路をたどります。

このように、それぞれの機器やサービスが自分の役割（案内、変換、関所）を確実にこなすことで、私たちは一瞬で世界中のインターネットと繋がることができます。

事前対策としては、前述のネットワークの各所に対して、異なる役割を持ったセキュリティソリューションを導入することが一般的です。これは「多層防御」と呼ばれ、ひとつの壁が突破されても別の壁で脅威を防ぐための仕組みです。

1. UTM（統合脅威管理）
   UTM（Unified Threat Management）は、ファイアウォール、Webフィルタリング、迷惑メール対策など、複数のセキュリティ機能を一つにまとめた機器です。多くの場合、ルーターの役割も兼ねるか、ルーターのすぐ後ろ（社内側）に設置されます。
   外部（プロバイダー・インターネット）から社内LANへ入ってこようとする不審な通信やサイバー攻撃を、入り口の関所でまとめてブロックする役割を果たします。
   ＜メリット＞
   ・管理が一元化できる
   ・中小規模でも導入しやすい
   ・コスト効率が良い
   ＜デメリット＞
   ・個別製品より機能性能が劣る場合がある
   ・高度な攻撃への対応は困難
   ・攻撃の防御機能がない
   ＜ポイント＞
   ・社内ネットワーク内の横断感染は防御できない
   ・USB経由の感染は防御できない
   ・情報機器端末の不正挙動は感知できない
2. NDR（Network Detection and Response）
   UTMが「入り口」を守るのに対し、NDRは社内LANを行き交うデータの流れ（トラフィック）を監視します。
   万が一、UTMの目をすり抜けて脅威が社内に入り込んでしまった場合や、社内の誰かが意図せず不正な動きをしてしまった場合、「普段と違う怪しいデータのやり取りがないか」をAIなどを駆使してネットワーク全体から検知し、被害の拡大を防ぎます。
   ＜メリット＞
   ・ネットワーク全体の脅威を検知できる
   ・EDRでは検知できない脅威もカバーできる
   ・サイバー事故対応を迅速化できる
   ・事故時の原因究明や影響範囲の特定に役立つ
   ＜デメリット＞
   ・導入および運用に専門知識が必要
   ・導入コストがかかる
   ・過検知や誤検知の恐れがある
3. EDR（Endpoint Detection and Response）
   EDRは、ユーザーのPC（やサーバー）の中にインストールされて働きます。
   PC内で不審な「動き（振る舞い）」がないかを常時監視するのが特徴です。例えば、未知のウイルスがPC内でこっそり重要なファイルを暗号化しようとする（ランサムウェアなどの）怪しい動きを検知すると、即座にその動作を止めたり、PCを社内LANから自動的に隔離したりして、被害を最小限に食い止めます。
   ＜メリット＞
   ・既知/未知問わず不審な挙動を検知し対応
   ・感染端末を自動的に社内ネットワークから隔離して他のデバイスへの感染拡大を防ぐ
   ＜デメリット＞
   ・導入コストがかかる
4. アンチウイルス（従来型のウイルス対策ソフト）
   こちらもユーザーのPC内で働きますが、EDRとは得意分野が異なります。
   アンチウイルスは、過去に見つかったウイルスの「特徴（シグネチャ）」が記録されたブラックリスト（指名手配書）を持っています。PCにダウンロードされたファイルやメールの添付ファイルとリストを照らし合わせ、一致する「既知のウイルス」がいればその場で駆除・ブロックします。
   ＜メリット＞
   ・導入コストが安い
   ＜デメリット＞
   ・既知のウイルスやマルウェアしか対応できない

このように、入り口（UTM）、通信経路（NDR）、そして最終目的地である端末（EDR・アンチウイルス）のそれぞれに警備を配置することで、強固なセキュリティを築くことができます。

企業がサイバー攻撃を受けてしまった場合、被害を最小限に抑え、社会的な信用を守るためには、予め定められた手順に沿って冷静に対処することが必要です。対応のプロセスは、大きく分けて「初動対応」「調査・特定」「報告・公表」「復旧・再発防止」「賠償」の5つのフェーズに分類されます。

1. 初動対応（被害の拡大を止める）
   ・ネットワークの遮断：感染疑いのある端末のLANケーブルを抜き、Wi-Fiをオフにします。
   ・電源は切らない：証拠保全（フォレンジック調査）のため端末の電源を入れたままにします。
   ・対策本部の立ち上げ: 社内チームや経営陣に報告し、全社的な対応体制を構築します。
2. 調査・特定（何が起きたのかを把握する）
   ・証拠（ログ）の保全: アクセスログや操作履歴などを安全な場所に隔離・バックアップします。
   ・デジタルフォレンジック調査: 外部の専門業者に依頼し、侵入経路、情報漏洩の有無、影響範囲などを専門的に調査します。
3. 報告・公表（透明性を持って対応する）
   ・関係省庁・警察への届出: 個人情報保護委員会への報告（速報・確報）や、管轄の警察署への相談を行います。
   ・ステークホルダーへの報告: 被害を受けた可能性のある顧客や取引先へ速やかに通知し、必要に応じてプレスリリースを発表します。
4. 復旧・再発防止（安全を取り戻し、未来に備える）
   ・システムの復旧: 安全が確認された後、クリーンな環境からシステムを復元します。
   ・再発防止策の策定と実施: セキュリティソフトの強化や従業員教育など、根本的な原因に対する対策を講じます。
5. 賠償・補償対応（被害への責任を果たし、自社を守る）
   情報漏洩やシステム停止によって第三者に被害を与えた場合、企業として法的な責任や社会的な道義的責任を果たす必要があります。この対応は「3. 報告・公表」と並行して長期的に行われることが通常です。
   ・被害者（顧客）への対応: 情報が漏洩した顧客に対し、専用窓口を設置して対応します。
   ・取引先からの損害賠償請求への対応: サプライチェーン攻撃などで自社を踏み台にされ取引先が感染した場合や、自社のシステム停止により取引先の業務を止めてしまった場合、損害賠償を請求されるリスクがあります。弁護士と連携し、法的な交渉にあたります。
   ・保険の活用: サイバー保険に加入している場合、速やかに保険会社へ連絡し、損害を保険でカバーするための請求手続きを行います。

万が一、サイバー攻撃の被害にあってしまった場合、被害が拡大する前に、迅速に事後対応を行う必要があります。一刻を争う状況の中で、対応を行うためには、平時から社内体制を構築し、備えておくことが重要です。

組織・体制

経営陣、法務、広報なども含めた横断的な体制を事前に決めておきます。有事の際の役割分担（誰がネットワーク遮断を判断し、誰が外部へ連絡するか、情報収集や意思決定をどう進めるか、など）を明確にしておきます。

教育・ルール

ランサムウェアやフィッシング詐欺の最新の手口について、全従業員向けに定期的な教育を実施して、知識を伝達すると共に、ルールの周知を図ります。訓練を行っておくことも重要です。

システム・技術

事前対策として導入したセキュリティソリューションが有効に働いているか、更新が行われているか、などの検証を行います。より安全性の高いバックアップの実現や、ログ確認ツールの導入なども、万が一のときの備えになります。

外部連携・資金

有事の際にすぐ対応を依頼できるように、平時から相談ルートを確立しておきます。他社への賠償金、被害者対応費用、調査費用などをカバーできるよう、サイバー保険の見直し・加入しておきます。

当組合では、サイバーセキュリティとサイバー保険をカバーする総合セキュリティ対策サービス「都損保サイバーパック」を提供しています。

サイバー攻撃の被害

• 情報漏えい被害
  組織や個人が管理すべき機密情報や個人情報が、意図せず外部に流出したり、権限のない第三者に不正に取得される被害です。
  外部からの攻撃だけでなく、内部関係者による情報抜取りも含まれます。
• 情報漏えいによる損害
  ◇金銭的損害
  個人情報や企業情報の漏えいに伴い、それらの情報に起因して他者に被害が生じた場合は、法律上の損害賠償責任が発生します。被害の内容によって損害賠償額は異なりますが巨額な損害賠償が請求されることがあります。
  また、情報漏洩が発生すると、企業は被害者への慰謝料や、謝罪のための金券や物品購入費用などを支払う必要があります。一般的な連絡先情報の漏洩では1人あたり3,000円〜5,000円程度、病歴や信用情報などのセンシティブ情報では1人あたり約3万円、クレジットカード情報の場合は1件あたり約10万円が相場です。漏洩規模が大きい場合、総額は数千万円〜数億円規模に達することもあります。また、フォレンジック調査や外部専門業者への依頼費用も発生します。
  
  ◇社会的信用の失墜
  顧客や取引先からの信頼が低下し、ブランドイメージや事業継続に影響を与える可能性があります。過去の事例では、情報漏洩後に企業が迅速かつ誠実な対応を行わなかった場合、裁判で不利に働き、賠償額が増加することもあります。
  
  ◇行政処分
  個人情報保護法違反や安全管理義務違反が認められた場合、罰金や行政指導の対象となります。
  2022年改定の個人情報保護法では、法人に対する罰金は1億円以下と規定されています。
  
• サイバー攻撃費用損害
  ・フォレンジック調査費用：事故原因や影響範囲の特定にかかる費用。PC1台あたり100万円程度、サーバは300万円程度。
  ・復旧費用：攻撃を受けたサイバー機器やソフトおよびデータの復旧費用が必要。
  ・法律相談費用・訴訟費用：顧客データの情報漏洩が発生した場合、訴訟の可能性があり、法律相談費用や訴訟費用がかかる。
  ・業務停止による逸失利益：企業が業務を停止する間に発生する損失。
  

サイバー攻撃の兆候

• PCの動作が異常に 遅くなる
  通常以上にPCが遅い場合、バックグラウンドで悪意あるプロセスが実行されている可能性があります。
• 異常なポップアップや広告が表示
  スパイウェアやアドウェア感染の典型的な兆候です。
• ネットワークトラフィックの急増
  DDoS攻撃や外部との不正通信が発生している可能性があります。
• セキュリティシステムのアラート
  異常や注意すべき事象が発生した際に、セキュリティシステムからユーザーや担当者に警告や注意喚起が行われます（UTMアラート、EDRアラートなど）。
  ※メールで送られてくるアラートやWebサイトから発せられるアラートは偽の警告の場合が多く、対応するとマルウェア感染やフィッシング被害のリスクがあります。

マルウェア感染の経路と被害

• マルウェアの主な感染経路
  ・メールの添付ファイル
  ・ネットワーク経由での侵入
  ・不正サイトや悪意あるWebサイトへのアクセス
  ・不正なソフトウェアやアプリのインストール
  ・ソフトウェアの脆弱性
• マルウェア感染被害の例
  ・個人情報の抜き取りや情報の流出
  ・デバイスに保存されているファイルの改ざん
  ・デバイスを勝手にロックされて持ち主でも操作ができなくなる
  ・外部と勝手に通信を行われる
  ・デバイスを乗っ取られ、サイバー攻撃の「踏み台」として使われる

サイバーセキュリティ対策ルール・運用

• 社内にセキュリティインシデント発生時に迅速かつ的確な対応を行う専門チームをおく
• サイバーセキュリティ装置やソフトは、常に最新バージョンにアップデートしておく
• PCの場合には、インストールしているOSを最新版に保っておく
• 怪しいURLはクリックしない
• 不審なメールや不審な添付ファイルは開かない
• 重要なファイルは漏洩しても、開けないように暗号化しておく
• 機密情報を保存してあるサーバーは、許可のないデバイスから隔離しておく
• 退職者や組織異動者のログインアカウントは削除または変更する
• ランサムウェアからの攻撃対策として、データを定期的にネットワーク外にバックアップしておく

サイバーセキュリティ体制

• 社内セキュリティ体制
  ・CSIRT（Computer Security Incident Response Team）の整備：サイバー攻撃に対する迅速な初動対応を行うため、CSIRTを組織化し、マニュアルを策定する
  ・情報共有ガイドラインの策定：サイバー攻撃に関する情報を適切に共有し、被害の拡大を防ぐためのガイドラインを作成する
  ・定期的な演習：情報セキュリティインシデントに対する対応体制を整えるために、定期的な演習を実施し、全社員が対応できるように準備する
  ・攻撃情報や事例の管理：攻撃情報を管理して他の専門組織と連携して情報を共有することで、効率的にインシデントを解決する
  ・データの定期的なバックアップ（ネットワークから切り離したバックアップストレージ保管）の設定　　※ランサムウェア対策では最重要
• 社内機器の管理体制
  ・どこにどのような機器が配置されているか等、社内のネットワーク構成をマップ化しておき複数者によるシステム管理体制を整備する
  ・各機器の、メーカー、シリアル番号、導入年月、購入（レンタル）先、サポート連絡先、担当ITベンダー等をリスト化しておく
  ・各機器に最新の保護が適用される状態を維持する体制を整備しておく

マルウェア関連用語

用語	説明
マルウェア	ユーザーのデバイス（情報機器）に不利益をもたらす悪意のあるプログラムやソフトウェアを総称する言葉です。英語のmalicious（マリシャス：悪意のある）にsoftware（ソフトウェア）の2つの単語が組み合わさった造語。 ・ウイルス（コンピューターウイルス） ・ワーム ・トロイの木馬 ・スパイウェアなど
ウイルス	コンピュータのウイルスとは、プログラムの一部を書き換え、自己増殖していくマルウェア。ウイルス単体では存在することができず、プログラムの一部を改ざんして入り込み、分身を作って増殖していく。このように増殖する形態が病気の感染に似ているために、ウイルスと名付けられている。
ワーム	自身を複製して感染させていく形態はウイルスと同じですが、ウイルスのように他のプログラムを必要とせず、単独で存在することが可能なマルウェア。ワームには、ネットワークに接続しただけで感染するものも数多く存在する。
トロイの木馬	一見しただけでは問題のない画像や文書などのファイル、スマートフォンのアプリなどに偽装して、デバイスの内部へと侵入し、外部からの指令（遠隔操作）によって、そのデバイスを操るマルウェア。名称は、古代のトロイア戦争で、ギリシャ軍がとった計略に由来している。
スパイウェア	本人も気付かないうちにPCなどのデバイスにインストールされ、ユーザーの個人情報やアクセス履歴などを収集するマルウェア。データ流出の原因となるため、特に顧客情報を多く持つ企業やサービスなどでは対策が必要。
エモテット	主に電子メールを通じて感染する遠隔操作型のマルウェア。感染後は外部からの遠隔操作などによりメールアカウントやパスワード、メール本文などの情報を窃取し、また他のマルウェアやランサムウェアの感染に利用される。
ランサムウェア	ランサムウェアは「Ransom（身代金）」と「Software（ソフトウェア）」を組み合わせた造語で、マルウェアの一種。感染した端末のデータやシステムに制限をかけ、その解除と引き換えに金銭（主に仮想通貨）を要求する。従来のコンピュータウイルスとは異なり、営利目的で組織的に運用されることが多く、企業や自治体など重要インフラを狙った標的型攻撃も増加している。
アドウェア	広告表示で収入を得るマルウェア。他の破壊的なマルウェアと比べ直接被害は少ないが、感染すると大量の警告やポップアップ広告などが閉じてもすぐ反復継続的に表示され通常作業効率を著しく低下させる。

サイバー攻撃関連用語

用語	説明
ハッカー	コンピューターやネットワークについて深く高度な技術的知識を持ち、その知識を利用して操作する技術者。専門的知識を生かして社会貢献するハッカーを「ホワイトハッカー」、悪意ある犯罪的行為を行うハッカーを「ブラックハッカー」という。
フィッシング攻撃	正規のウェブサイトやメールを偽装し、個人情報を入力させ、入手した情報を悪用する。
DDoS攻撃	複数のコンピューターを使い大量のデータを送り、サーバーやネットワークを過負荷にさせる。
SQLインジェクション	Webアプリケーションの脆弱性を悪用し、入力フォームや検索ボックスから開発者が想定していない不正なSQL文（データベースを操作する命令）を送信して、データベースを不正に操作する。
C2サーバー通信	サイバー攻撃者がマルウェアに感染させたパソコンやサーバーなどの端末を遠隔から操作し、指令を送ったり盗み出したデータを受け取ったりする不正な通信のこと。「C&C通信」ともいう。攻撃者はこのサーバーを通じて、感染端末に命令を送り、情報を盗んだり、さらに攻撃を広げたりする。

インターネット関連用語

用語	説明
サイバー	コンピュータとネットワーク（インターネット含む）を介した電子情報技術の仮想空間環境全般。
コンピュータ	ハードウェアおよびソフトウェアという2つの要素から構成される、電子的計算機能・電子的記憶機能・入出力機能等を備えた情報機器や装置。
デバイス	情報を受け取り、処理し、出力するために使用される機器や装置。 ◇情報端末：単体で情報を処理、表示する機能を持つデバイス（エンドポイントともいう） 　パソコン／スマートフォン／タブレット等 ◇周辺機器：情報端末と接続して使用する補助的なデバイス 　・入力機器：キーボード、マウス、タッチペン等 　・出力機器：プリンター、モニター、ヘッドフォン等 　・記録/拡張機器：外付けハードディスク、USBメモリ、グラフィックカード等
ストレージ	パソコンやスマートフォンなどのデバイスでデータを保存する場所（記憶装置）のこと。ハードデスク・USBメモリー・クラウド等。
モバイル端末	小型・軽量で持ち運びが容易な情報機器。バッテリー駆動により電源コードなしでも一定時間使用可能で、外出先でもインターネット接続やアプリ操作ができる。「ポータブルデバイス」「モバイルデバイス」とも呼ばれる。
サーバー	複数の端末機利用者からのリクエストを受けて対応するデータ等を提供するコンピュータ。情報を処理したりデータを記録したりといった専門的な役割を持つ。サーバーとは英語で「Server」となり、直訳すると「提供する側」という意味。
クラウド	インターネット上のサーバーにデータやソフトウェアを保存し、必要なときに利用できる仕組み、またはインターネットを通じてサーバー、ストレージ、ソフトウェアなどのIT資源を利用できるサービス形態のこと。 従来は企業や個人が自分のPCやサーバーにソフトウェアをインストールして利用していたが、クラウドではクラウドベンダーが管理するサーバー上のリソースを借りて利用できるため、物理的な機器を所有・管理する必要がなく、初期投資や運用コストを抑えられる。
ネットワーク	主に無線や有線でコンピュータ機器を互いに繋げ、情報をやりとりできる通信システムのこと。限られた情報機器だけの閉じた情報システムだけでなく、インターネットを通じた外部と接続された環境も含む。
ネットワークトラフィック	インターネットやローカルネットワークを通じて送受信されるデータの流れ（通信）。ウェブサイトの閲覧、動画ストリーミング、メールやデータの送受信などが含まれる。トラフィックの量や質は、ネットワークのパフォーマンスに直接影響を与える。
社内LAN	社内LAN（Local Area Network）は、オフィスや作業場などの特定の範囲内で社内のデバイスを接続するネットワークのこと。インターネットを介さずに社内で通信できるため、情報の迅速な共有が可能で、ネットワークのセキュリティを自社で管理できる。
WAN（広域通信網）	Wide Area Networkの略称。複数の都道府県をまたぐような地理的に離れた場所にある支社などの社内LAN間を、プロバイダーが保有している回線を利用して事業所間での相互通信できるようにした広範囲のネットワーク。
インターネット	世界中のコンピュータなどの情報機器を接続するネットワーク。インターネットで繋がっているWebサイトやメールの利用が可能。
電子メール	インターネットを通じてメッセージやファイルを電子的に送受信する通信手段。 電子メールを送るには、送信先者のメールアドレスが必要で、メールアドレスは通常「ユーザー名@ドメイン名」の形式で表され、ドメイン名は所属する組織やサービスを示し、ユーザー名が個人を識別する。
プロバイダー	光回線やＡDSLといった固定回線、およびモバイル回線を通じてインターネットに接続するためのサービスを提供する事業者。 通信の物理的回線があるだけではインターネットへ接続できず、プロバイダー事業者との契約が必要。荷物の配送に例えると、プロバイダーは荷物を運ぶ運送業者、回線事業者は道路の管理運営を担う事業者に相当する。
ルーター	複数の端末をインターネットや異なる社内ネットワークに接続し、データの最適な経路を判断して中継する装置。無線LANの機能を備えたルーターを、Wi-Fiルーターという。
モデム	アナログ信号とデジタル信号を相互に変換する通信機器で、インターネット接続の基盤となる装置。モデムが利用される回線としては、主に以下の例がある。 ・ADSL（アナログ電話回線を利用したインターネット回線） ・VDSL方式（集合住宅の共用部から各戸までをアナログ電話回線で接続する方式）の光回線 ・同軸ケーブルを利用したケーブルテレビインターネットの接続サービス
ONU	光ファイバーで送られてきた光信号をデジタル信号（LAN信号）に変換する機器。インターネットと自宅の中継機器で、NTTなどの回線事業者からレンタルで提供されることが一般的。 ※ONUは光回線専用の装置であり、モデムは電話回線用の装置。
バックアップストレージ	パソコンやサーバーなどの外側に、重要なデータのコピーを保存するため記憶装置（ストレージ）。日常の作業データ、写真、動画、文書などを定期的にコピーしておく（バックアップ）ことで、機器の故障、紛失、ウイルス感染、誤削除などのトラブルが発生しても、データを復元できるようになる。ランサムウェア対策として重要で、ネットワークから切離された（オフライン）ストレージにバックアップすることが推奨されている。

サイバーセキュリティとサイバー保険をカバーする総合セキュリティサービス「都損保サイバーパック」を是非ご検討ください。