セキュリティーインシデントとは？企業が知っておくべきリスクと対策

一般的にセキュリティーインシデントとは、セキュリティー上の脅威になる事象のことを指しています。セキュリティーインシデントの例としては、「マルウェア感染」「不正アクセス」「情報漏洩」「情報改ざん」「データの物理的破損」などが考えられます。

独立行政法人情報処理推進機構セキュリティセンター「IPA」の調査「情報セキュリティ10大脅威2021」では、さまざまなセキュリティーインシデントの事例がまとめられています。

例えば、社内データが盗まれただけでなく暗号化され、メールやサーバーを使用できなくなり、一時業務停止の事態に追い込まれたケースが報告されています。また、メールの添付ファイルにウイルスが仕込まれ、メールの開封によりPCがウイルスに感染するといった事象も発生しています。そのほか、顧客情報が記載された紙媒体のデータを紛失し、情報が流出したという事例などもあります。

セキュリティーインシデントを未然に防ぐには、企業が自社の機密情報を十分に把握・管理し、セキュリティーを強化することが大切です。不正アクセス対策においては、システムの強化やマルウェア対策といった環境改善が有効ですが、紛失や置き忘れ、誤操作などは社員の意識次第で防ぐことが可能なインシデントと言えます。そのため、システム面での強化に加えて、社員のインシデントに対する意識改革を推進していくことが重要です。

情報セキュリティ10大脅威 2021（独立行政法人情報処理推進機構、IPA）

セキュリティーインシデント対策が不十分である場合、企業の機密情報が漏洩してしまったり資産の盗難の被害にあったりする恐れがあります。情報改ざんなどのインシデントも発生する可能性があるので、危機管理において細心の注意が必要です。

セキュリティーインシデントに直面し、十分な処置を取ることができずに顧客の信頼を回復できなかった企業は、社会的な信用も失い、最悪の場合は事業の継続が困難となるリスクがあります。リスクを管理し、発生しうるインシデントに対し入念な対策を施すことで、有事の際もスムーズに対応することが可能です。

セキュリティーインシデントの原因として、まずマルウェア感染が考えられます。マルウェアはコンピューターに不正な動作を行わせる悪質なソフトウェアの総称を指しており、コンピューターウイルスやワーム、スパイウェア・トロイの木馬などのことです。マルウェア感染は、メールの添付ファイルやWebサイトの閲覧、ファイルの共有ソフトなどから感染するケースがあります。

自社サーバーやネットワークが不正なアクセスを受けることで、個人情報が流出したりデータを改ざんされたりする恐れがあります。不正アクセスは、サーバーやネットワークの脆弱性によって発生するケースが多く、IDやパスワード漏洩に繋がる危険があるので注意が必要です。

印刷した資料が放置されていると、紛失や不正な持ち出しにつながり、機密情報が社内外に漏洩する恐れがあります。そのため、印刷物の放置を防ぐための対策を施しておくことも大切です。

例えば、印刷の際にIDカードの認証を必須にすれば、紙の放置を防ぎやすくなります。また、機密情報を印刷すると外部に持ち出すリスクが高まるため、紙の資料をスキャンし、データで厳重に管理することで、情報漏洩を防ぐ方法もあります。

何らかの原因で、データの物理的破損が発生するケースがあります。例えばPCなら、経年劣化のほか、不注意やぞんざいな取り扱いによっても破損が生じることがあります。定期的にメンテナンスを行い、正しく取り扱うことが大切です。

また万が一に備えて、データのバックアップを取るといった対策も必要になってきます。

自社の機密情報を閲覧できる人を制限すれば、情報の機密性を高めることができます。例えば、情報システム管理者の許可制で機密情報の閲覧、持ち出しを管理する方法もあります。他にも、情報システムの管理部署への入室を制限すれば、情報漏洩のリスクを低減させることができます。

第三者から不正アクセスを受ける可能性のある機密情報などは明確にしておき、一覧化して管理する方法があります。例えば、顧客情報・社員の個人情報・履歴書・研究データ・開発中のデータなどは、情報漏洩すると企業の信用問題に関わるので、機密性を高めることが重要です。

セキュリティーソフトを導入して、ネットワーク環境の安全性を高める方法があります。マルウェア対策・ランサムウェア対策・フィッシング対策・迷惑メール対策・ネットバンキング保護などの機能があるので、安全にWebサイトの閲覧などが可能です。何らかのウイルスに感染するリスクが低減できるので、安全に業務を遂行できます。

研修の場を設けて、セキュリティーインシデントのリスクや日々の業務中に注意すべきルールを伝え、社員のセキュリティーリテラシーを高めることも大切です。例えば、機密情報の定義や取り扱う際のルール、添付ファイルをメールで送信する時の注意点などが挙げられます。

また、新たにセキュリティーソフトを導入した際は、導入の必要性、運用方法などを伝達しても良いでしょう。社員の意識が変われば、企業が一体となってセキュリティー対策を強化しやすくなります。定期的に教育の場を設け、社員のセキュリティーリテラシー向上に向けて取り組んでいきましょう。

天災や不意の事故によってサーバーがダウンしてしまうケースがあります。そのような事態に備えるためにも、耐久性の高いサーバーを使用したりサーバーの転倒を予防したりしておくことが大切です。また万が一、データが物理的に破損してしまうリスクに備えて、定期的にデータバックアップを取っておくことも対策になります。

他にも、機密情報が盗難にあってしまう可能性もあるので、機密情報は鍵のかかっている場所に保管するなどの対策が有効です。加えて、普段から機密情報が記載されている紙は、不要になったらすぐにシュレッダーにかけるなどの対応を徹底しておくとよいでしょう。可能であれば印刷は控え、スキャンしたデータ保存のみに留めるなどのセキュリティー対策を講じれば情報漏洩のリスクを低減できます。

より安全に業務を推進していくためには、使用する機器のセキュリティーにも着目する必要があります。その際は、導入機器のセキュリティー規格への対応有無について確認するのも一つのポイントです。例えば、コモンクライテリア（ISO/IEC 15408）や、ISMSクラウドセキュリティー認証などの規格が挙げられます。

情報漏洩のリスクを低減させるためにも、セキュリティー対策が施された機器の導入をおすすめします。