セキュリティについて

セキュリティについて、どこまで対策すればよいか調べてみました。
ご自分の環境に照らして損害を想定し、どこまでの対策を行うべきか考えてみてください。

要点のまとめ

 新たなウィルス・不正アクセスの手口も巧妙化していくため万全はない
 使用しているOS、アプリケーションのアップデートが重要である
 セキュリティについての人的教育が大切である
 日々情報を収集して新たな手口に対して対策をしていくこと
 被害を想定して対策しておくこと
などが書かれています。

事象、損害、原因、対策に分けて想定しておくことで、セキュリティ対策の必要最小限が見えてくると思います。

事象と損害

被害の事象として、情報漏洩とシステム障害があげられます。
情報漏洩の代表的なものとして、ECサイトから氏名、住所、クレジットカード情報、セキュリティコードなど漏洩することが、損害の大きい代表的なものです。
損害の種類は顧客に対する事故対応、停止期間の機会損失、不正利用による損害賠償。
また、ニュースに取り上げられることによって会社の信用も失墜します。

システム障害では、ウィルスによるものや機器の障害により、データの暗号化も含めてシステムが使えなくなることです。
損害の内訳は、PCやサーバーなどの機器の入れ替えと機会損失、事後のウィルス対策など
漏洩する情報の種類や会社の規模、システムの利用台数によって損害は様々です。過去の事例では、軽微なもので損失金額600万、大規模なものでは億単位で損害が発生しています。
特にデータを暗号化し、その復旧に身代金を要求するランサムウエア（身代金要求型ウイルス）によるサイバー攻撃が猛威を振るっています。

発生原因

発生原因について資料を見てみます。

過去のデータと比べると、ウィルス感染・不正アクセスが増加傾向にあることと、継続して人為的ミスによるものが多い傾向にあります。

対策

 OS、ソフトウェア、アプリ、セキュリティソフトのアップデート
 パスワードの適切な設定と管理
 不審なメールに注意
 USBメモリ等の取り扱いの注意
 社内ネットワークへの機器接続ルールの遵守
 ソフトウェアをインストールする際の注意
 パソコン等の画面ロック機能の設定
 ブラウザーでのセキュリティ設定強化
以上、環境の整備と人への教育機会が必要です。

被害を想定した対策しておくことも大切です。
 データの同期のバックアップとオフラインへのバックアップ
 システムの回復方法の確立
 機器の代替方法
 回復期間の想定
 緊急の対応マニュアルの設定
などです。ここまで想定しておくことで、セキュリティ対策の必要最小限が見えてくると思います。
最終的には、ご自身で判断いただくこととなりますが、以下の記事も参考にしてください。

攻撃手口の傾向

分業が進み、不正侵入に必要な認証情報の窃取、ランサムウエアの作成、実際の攻撃など個人や集団が分担している。さほど高度なスキルを持たない犯罪者でも、認証情報やランサムウエアを調達すれば、攻撃を仕掛けられるようになった。

攻撃ノウハウを共有する「犯罪マニュアル」も作成されており、標的とする企業の事業や売上高などの情報を調べ上げる「事前作業」も推奨しているという。どの程度の金額であれば支払いに応じる可能性があるのか、標的の組織が盗まれると困る情報は何かも共有されている。

大手企業の取り組み

端末上の不審な振る舞いを検出するEDR（エンドポイント検知・対応）ツールや、SaaSの通信を可視化して不審なものを遮断する「CASB（クラウド・アクセス・セキュリティー・ブローカー、キャスビー）」、クラウドの設定不備を検出する「CSPM（クラウドセキュリティー状態管理）」。
XDRは振る舞い検知型のツールやサービスの一種。社内の端末やネットワークのログ（通信記録）を収集・分析し、「データを無断で外部に送る」といった不審な通信を検出する。
アタックサーフェス管理は、攻撃を受ける可能性がある領域の弱点を見つけ出す手法。
タニウムのサイバーハイジーン用ツールで端末の健康状態を見える化する。
などのツールを駆使して対策しています。

訴訟事例

過去の訴訟事例も参考になります、それまで誰も気づかなかったセキュリティホールを突いたウィルスが登場し、大きな被害を出したとします。この場合、ソフトウェア・メーカがそれを予想するのは困難であるため、ソフトウェア・メーカに過失があるとは言い難い。新たなウィルスに対しては訴訟も難しいということです。

Windows OS

Windows10＆11について、セキュリティソフトは要不要の意見があり、これも参考にしてください。
Windows10＆11にセキュリティソフトは不要派の意見
実際、今のWindows セキュリティ（旧Windows Defender）の基本防護能力は、非常に優秀です。AV-TESTなどの第三者機関による評価でも、常に優秀な成績を収め続けている。

Windows10＆11にもセキュリティソフトは必要派の意見
ウィルス・マルウェアの静的・動的スキャンにほぼ的を絞った機能になっていて、有償製品が持っているようなパスワードマネージャー機能、独自VPN、セキュアブラウザ、Webトラッキング防止、Webカメラ保護といったプラスαの機能を持っていない。
基本防護能力こそ高度なものになっていますが、Windows セキュリティが保護してくれる範囲・内容は基本的な部分に限定されています。

まとめ

上述した対策には、高額な費用がかかるものがあります。取り扱う情報の重要性、回復の困難さ、被害金額によって導入を検討しなければなりません。
そこまでのひっ迫した環境でない場合は、使用しているOS、アプリケーションのアップデート、セキュリティについての人的教育、オフラインへのバックアップなどの対策を徹底すれば、被害にあう可能性はかなり低くなると思います。