サイバーセキュリティについて
株式会社コモドジャパン
営業推進部

川口

1．はじめに私達の生活に欠かすことのできないイン
ターネットは、なくてはならない社会基盤と執行役員 COO

部長

賢 Ken Kawaguchi

について紹介します。

2．サイバー攻撃の脅威についてして、その利用率がますます高まってきています。
そうした中、日本企業に対するサイバー攻撃が急激に増加しています。

サイバー攻撃は、組織に対し様々な悪影響を連鎖的に及ぼす経済リスクであり、主に事業サイバーリスクに備えセキュリティ対策が阻害リスク、情報漏えいリスク、賠償責任リス急務とはいえ、その対策を行うためにシステク、風評リスクの四要素があげられます（図1）。

ムの改修やアップグレードなど、新たなリス

その中でも、風評リスクについては株式時クが発生するケースも珍しくありません。

価総額下落、企業ブランドの失墜、顧客喪失

また、高い費用を掛けても100％の万全な対などにより、重大な影響を与えるケースが少策が望めないことから、費用対効果が見えづなくありません。リスクをあらかじめ試算しらく予算の確保が難しいという声もよく耳ににくい面もあることから、情報漏えいなどにします。そのため攻撃のターゲットは、厳重より企業の存続ができなくなるケースも少なに対策された大企業から、十分な施策を講ずくありません。

ることのできない中小企業にシフトしています。

中継地点（踏み台）として、ほかのサーバをサイバー攻撃に関する事前対策と事後対策
図1

また、サーバを乗っ取られサイバー攻撃の攻撃するケースも数多く確認されており、こサイバー攻撃が及ぼす経済リスク

SE 190 March 2018 9

図4

情報漏えい先の実態

は特別な知識や技術は不要で、その組織の社員や契約社員、関係者などがパスワードを本人から直接聞いたり、キーボードにパスワードを打ち込むのを後ろから盗み見たり、パスワードが書かれたメモをゴミ箱から入手するなど、あの手この手でパスワードを入手し、社内ネットワークに侵入することで個人情報や機密情報を盗み出し、競合他社や関連企業
2）に転売する犯行が多く見受けられます（図4）。

組織内関係者が犯行に関わる場合、その被害や情報は外部に公開されないケースが多表1

主な内部不正事件の例

報道月事件の概要

動機
製品を製造販売
2017年2月 J 社の社員が製品の技術情報を漏洩し逮捕しようとしたオンラインショップのプラットフォーム提供会社の社員がネットショップ運営者
2017年2月
不明
情報を含む32,800件の個人情報、営業関連データを社外に持ち出しプロパン会社の社員が顧客情報等を不正 所属企業への不2016年6月に取得し同業他社に開示し逮捕
満執行役員が子会社に出向中、主力製品の2016年2月
利益取得
情報を転職先企業に開示し逮捕
市職員が約68万件の有権者情報を自宅に システム開発販
2015年9月
持ち帰り、外部に流出させ懲戒免職処分 売
顧客 DB を管理するグループ会社の業務
2014年7月
金銭取得
委託先社員が個人情報を流出させ逮捕

く、また報道もされないことから、あまりご存知でない方もいらっしゃいますが、近年、非常に多くなっています（表1）。

5．内部対策（トリガー対策）

米国のインターネットセキュリティ対策機関（CERT：Computer Emergency Readiness

独立行政法人情報処理推進機構によるアンTeam）によると、外部または内部犯行によ

ケートの結果、その犯行動機は「会社や上司るインシデント発生時について、どちらの被への不満・恨み」、「待遇の不満」、「プレッ

害額が大きいかの質問に対し、外部からの攻シャー」から発生するケースが多く、一個人撃が38％、内部犯行が33％であるとの回答

が情報にアクセスできる環境が身近にあり、から、組織が受ける被害額の大きさでは同程犯行に及ぶにあたり、自分に都合の良い理由度の割合となっており、外部と同様、内部対付けまたは正当化ができる場合に発生します。

策についても有効な対策を講じる必要がありインターネット向けの対策は様々あり、専ます。

門のベンダーに依頼しコストをかけることでセキュリティレベルを向上させることができますが、内部犯行については、トリガーとなSE 190 March 2018 11

図5)))))

内部犯行のトリガーの対策を行うことで被害を最小限に抑えるこ• 動機：不満、プレッシャー、経済的理由とが可能です。

• 機会：情報にアクセスできる環境がある。
• 正当化：自分都合の理由付け、倫理観の欠如る要素を一つ一つ排除する努力を行うことが組織として重要です（図5）。
それは、職場のストレスを低減する対策や7．内部施策（セキュリティ教育）
セキュリティ対策に高いコストをかけても、たった一人の行為でセキュリティインシデントが発生します。

職場環境の改善、社員それぞれのコミュニ

ウイルスメールによる感染、USB メモリケーション向上、モチベーションアップの推などによるマルウエア感染、不正サイト閲覧

進があげられ、その効果は生産性にもプラスによる感染など、個人の操作や行為をトリとして作用する最良の施策であると考えガーとするインシデント予防には、社員一人ます。

一人のセキュリティ意識の底上げが必要で、6．内部対策（アクセス管理）

システムを安全に利用し情報漏えいを防ぐことを目的としたセキュリティ教育が重要です。

社内ネットワークには機密情報が保存されデータに関する取り扱いルールの策定、周ています。その情報は、経営層、経理や研究知、実行、定期的な評価と見直し、再教育を開発など、それぞれの部署以外の社員が閲覧行い継続的な改善が必要であり、トレンドとできてしまう状態や上書きまたは削除されるなるサイバー攻撃に関する基礎知識を含めることがあってはなりません。

ためにも定期的な勉強会が有効です。また、

社内ネットワークのセキュリティを担保す

リテラシーの高いと思われる管理職に対してるには、適切なアクセス管理・機密情報へのは「慣れ」や「習慣」によるセキュリティリ

アクセス制限、アクセスログの記録、定期的スクの理解を深めることも重要な要素です。

な監査・監視が必要です。
また、犯罪を予防するためには、アクセス8．事後対策

ログを監視（記録）していることを社員に周知させることも有効です。

12

サイバーリスクに備えセキュリティ対策を

これらの対策は、情報を取り扱う部署の業行うためにシステムの改修やアップグレード

務内容および職務の変化や、人員の増減などを行うには、ソフトウエアの相性や周辺機器により、アクセス制限にセキュリティホールの挙動など、新たなリスクが発生するケースが生じてくるケースが見受けられるので、定も珍しくありません。そして、高い費用をか期的な診断と改善が必須となります。また、けても100％の万全な対策は望めず、残存リ外部からの攻撃に備え、インターネットからスクがゼロになることはありません。

完全に分離したイントラネットを構築するこ

残存リスクが存在する以上、組織として何とは最も重要です。仮にデータが盗まれたとらかの対策を講ずる必要性があり、突発的なしても犯罪者がそのままでは利用できない形

予期しない出来事が発生した際、資金的なイに暗号化し、データを分散して保存するなどンパクトを最小限に抑えるための対策が重要図6

リスクとセキュリティ投資額の関係

リスク

リスクとセキュリティ投資額の関係

高低
少多セキュリティ投資額です（図6）。に把握せず契約してしまった」、「必要な補償リスクの顕在化による予想以上の損失は、がオプション扱いだった」などを耳にします

財務基盤の劣化を招き事業継続計画（BCP）

ので、保険の加入や見直しの際は、信頼のおや企業存続に大きな問題となるため、それらける保険会社と営業担当者の選別が重要リスクを社外に移転するツールとして有効なです。のが保険の活用です。保険の活用は「残存リスクに対応することができる」ことと「実損9．最後に害額の見える化」の2点が最も大きなメリットです。
前述のソーシャルハッキングや、ソフトウエアのセキュリティホールが公開され、そのセキュリティ対策に完璧はありません。そして、完璧を目指すほどに費用対効果が悪くなります。

修正プログラムが提供される前にアタックす

少ない予算、限られたリソースの中で対策るゼロデイ攻撃など、事前に十分な対策がでを行うには、絶対に失えない資産、失ってもきない残存リスクや、予算やソフトウエアの再構築できる資産など、資産の優先付けを再相性などで物理的にシステムを改修できない確認した上で事前対策を行い、残存するリス場合にも有効です。

クを自社で担保できるのか、または保険を活

また、実損害額の見える化については、事故が発生した際、様々な費用負担が大きくの用するのか、トータルで計画するのが最善の方法です。

しかかってきますが、それら直接的な対応費用は保険で対応できるため実際に支払わなければならない金額があらかじめ想定することができ、対策しやすいというのが組織にとっ

参考文献
1） 警察庁：平成27年・平成28年におけるサイバー空間をめぐる脅威の情勢について，2016.
2）（独）情報処理推進機構：企業における営業秘密管理に関する実態調査報告書，2017.て大きなメリットとなります。
企業を守る保険にはいろいろな商品があり、すでに何らかの保険に加入されている組織がほとんどかと思いますが、そこにも落とし穴があります。実際に事故が発生し保険会社に相談したら、保険が下りなかったというケースも多々あります。「保険の内容を正確

かわぐちけん

2002年インターネットサーバサービスを基盤事業とするプロックスシステムデザイン（株）に入社。2008年同社とインターネットセキュリティにおけるリーディングブランド COMODO が出資する（株）コモドジャパン設立後、しばらく2社の業務を兼務するが、現在は専任で世界規模でのセキュリティ向上に積極的な支援と活動を行っている。

SE 190 March 2018 13