日商 Assist Biz

更新

企業を襲うサイバー脅威 サイバー攻撃対策は、まず敵を知ることから

前回は、「情報セキュリティ対策の種類とその選択」について説明いたしました。今回からは、さまざまな情報セキュリティ対策について、より詳しく説明してまいります。最初は、意図的な脅威であるサイバー攻撃対策のあり方についてです。

サイバー攻撃などの意図的な脅威の対策にあたっては、まず「敵」を知ることが大事です。攻撃してくる者たちは、どのような目的でどのような手段を使ってくるか、それを知ることです。これらを知らなければ、どのように自分の会社が攻撃される可能性があるのか想定することができません。想定できないということは、その準備ができないことになります。準備ができないということは、適切かつ十分な対策ができなくなるということです。「敵」を知ることで、その目的を達成させず、手段を封じる対策を検討することが可能になります。

では、攻撃者の目的は、いったい何なのでしょうか。主な目的は、3つです。最も多いものが「金銭」です。つまり、攻撃をすることで、お金をもうけようとしているのです。攻撃により、企業の重要情報を盗み取り、それをお金に換えるなどで利益を得ています。次に、攻撃相手の企業や、そこに所属する人に対する不満や恨みです。企業側からすると、心当たりのないことや逆恨みなどで攻撃されることもあります。そして、3つ目は諜報(ちょうほう)活動、いわゆるスパイ活動です。昨年6月以降に発覚している標的型メール攻撃のほとんどは、諜報活動目的だと考えられています。いたずらなど興味本位によるものはごくわずかです。攻撃者は、これらの目的を達成するために、不正アクセスやウイルスなどによる攻撃をしてきます。つまり、これらは手段であり、目的ではないのです。そして、目的を達成するために、相手に見つからないように執拗(しつよう)に攻撃を続けてきます。新聞やテレビなどで、被害を受けた企業が「攻撃があったことに、(自分では)気が付かなかった」という報道があるのはそのためです。

また、サイバー攻撃を受けるのは、政府機関や公共機関、大企業だけではありません。その取引先である中小企業も大企業などに関する情報を業務で扱っているため、大企業と同様、もしくは攻撃者からセキュリティ対策レベルが低いと考えられていることから、それ以上に狙われる傾向にあります。

では、どうやって攻撃に気付くことができるのでしょうか。そして、攻撃されたことが分かったら、どうしたらよいのでしょうか。 次回は、攻撃に気付くための対策や、その際の対応について解説いたします。

長谷川長一(はせがわ・ちょういち) ソフトバンク、日本ユニシスを経て、株式会社ラックに入社。情報セキュリティ業界の先駆者として知られる同社で現在は、主にセキュリティ教育業務を担当している。『CISSP-行政情報セキュリティ公式ガイドブック』(アスキー出版)や『情報セキュリティ監査公式ガイドブック』(日科技連出版社)など著書多数

次の記事

企業を襲うサイバー脅威 サイバー攻撃に気付き、対応するには

長谷川長一

前回は、サイバー攻撃の「敵」を知ることについて説明しました。今回はサイバー攻撃に気付き、対応する方法について説明します。 気付くためには...

前の記事

企業を襲うサイバー脅威 情報セキュリティ対策の種類とその選択

長谷川長一

情報セキュリティ対策は、一般に「技術的対策」「物理的対策」「人的対策」の3つに分類されます。技術的対策は、ファイアウォール、侵入検知システ...

関連記事

企業を襲うサイバー脅威 企業内部の人的脅威③「ヒューマンエラー」

長谷川長一

今回は人的脅威の中の非意図的なもの、「ヒューマンエラー」について取りあげます。「ヒューマンエラー」には、「誤操作」「設定ミス」「紛失・置...

企業を襲うサイバー脅威 企業内部の人的脅威②「内部不正」

長谷川長一

今回は人的脅威の中の“意図的脅威”である情報セキュリティー上の「ルール違反」について取りあげます。「ルール違反」は、前回取り上げた「内部不...

企業を襲うサイバー脅威 企業内部の人的脅威①「内部不正」

長谷川長一

今月からは、企業内部の人的脅威について取り上げます。情報セキュリティーにおける人的脅威には、意図的なものと非意図的なものがあります。まず...