情報セキュリティ対策

1. 人的対策（教育・契約・入退社の手続）

どんなに高価な機器を入れても、扱う人が油断すれば情報は漏れます。教育・契約・手続という人的対策を、時期ごとに整理します。

情報セキュリティ対策は、大きく人的対策・技術的対策・物理的対策の三つに分けて考えます。人的対策とは、人の行動をあるべき方向へ向けるための対策で、教育と啓発、契約や規程による約束事、入社・異動・退職といった節目の手続がその中心です。情報セキュリティリーダーの仕事は機器の設定よりも、この人的対策を回し続けることに重心があります。

教育は、相手によって伝えるべきことが変わります。新入社員には、まず自社の情報セキュリティ方針と、業務で守るべき規程（持出しの申請、パスワードの扱い、SNSでの発信）を、業務を始める前に伝えます。管理職には、部下の権限を承認する立場としての責任、部下の様子の変化への気づき、インシデント発生時に報告を受けてエスカレーションする役割を伝えます。全社員には、最新の攻撃の手口と、自社で実際に起きた事例（誰が悪いかではなく、どこで防げたか）を、年1回など定期的に繰り返します。一度やって終わりにせず、繰り返すことが効果を生みます。

標的型攻撃メール訓練は、業務を装った訓練用メールを従業員に送り、開封や添付ファイルの実行、リンクのクリックがどれくらい起きるかを測る訓練です。目的は開封した人を責めることではなく、あやしいと思ったときに『開かない』『すぐ報告する』という行動を体に覚えさせることと、報告の窓口と経路が実際に機能するかを確かめることにあります。訓練の結果は個人の処罰に使わず、組織全体の傾向として教育の改善につなげます。開封率だけでなく報告率を指標にするのが良い訓練です。

約束事は文書で結びます。従業員とは入社時に秘密保持契約（NDA）を結び、退職後も一定期間は秘密を守る義務が続くことを明示します。アルバイトや派遣社員も、雇用形態にかかわらず情報に触れる以上は同じ教育と誓約が必要です。委託先には、契約書に秘密保持、再委託の可否と条件、事故時の報告義務、契約終了時のデータ返却または消去を定め、自社と同等の管理水準を求めます。契約を結んだら終わりではなく、報告書の確認や訪問などで実施状況を確かめます。

節目の手続では、入社時に必要最小限の権限を付与し、異動時には旧部署の権限を必ず削除してから新部署の権限を与えます。追加だけを繰り返すと、長く勤めた人ほど権限が積み上がる『権限の蓄積』が起き、内部不正や誤操作の被害を大きくします。退職時には、最終出社日までにアカウントの削除または無効化と、貸与したPC・スマートフォン・IDカード・鍵・書類の回収を行い、秘密保持義務が退職後も続くことを改めて確認します。退職者のアカウントが残っていると、外部から正規の利用者として侵入されても気づけません。

内部不正への備えでは、動機・機会・正当化という三つがそろうと不正が起きやすいと考えます。組織にできるのは主に『機会』を減らすことで、権限を絞る、一人だけで完結させない、ログを取得していることを従業員に周知する、といった対策が抑止として働きます。見られているという意識が生まれるだけで不正は減ります。逆に、監視していることを隠すと抑止にならず、後から発覚したときの不信も招くため、監視の目的と範囲は規程で明らかにして周知します。

退職手続チェックリスト（最終出社日までに完了させる）1. 業務システム・メール・クラウドサービスのアカウントを無効化する2. 共用ID・特権IDのパスワードを変更する（本人が知っている前提で）3. 入館用IDカード、鍵、社章を回収し、入退室権限を削除する4. 貸与したPC、スマートフォン、USBメモリ、記録媒体を回収する5. 業務データの引継ぎ先を決め、私物端末や個人アカウントに残していないか確認する6. 秘密保持義務が退職後も続くことを説明し、誓約書に署名を得る7. 上記の完了を人事部門と情報システム部門の双方で記録する

用語

人的対策

人の行動に働きかける対策の総称。教育・訓練、規程や契約による取決め、入社・異動・退職の手続、監視の周知による抑止などが含まれる。機器の導入では代えられない領域を担う。

標的型攻撃メール訓練

業務を装った訓練メールを従業員に送り、開封や報告の行動を確かめる訓練。処罰ではなく、開かない・すぐ報告するという行動の定着と、報告窓口が実際に機能するかの確認が目的。

秘密保持契約（NDA）

業務で知った秘密を外部に漏らさないことを約束する契約。従業員とは入社時に、取引先とは取引開始時に結ぶ。退職後や契約終了後も一定期間は義務が続くと定めるのが一般的。

権限の蓄積

異動のたびに権限を追加するだけで旧権限を削除しないため、本人の業務に不要な権限が積み上がる状態。最小権限の原則に反し、内部不正や誤操作の被害を広げるので、異動時の削除で防ぐ。

組織における内部不正防止ガイドライン

IPAが公開している、内部不正の防止と早期発見のための指針。経営者の関与、権限の管理、証拠となる記録の確保、退職者への対応、相談窓口の設置などを具体的に示している。

抑止

不正をしようとする気持ちを思いとどまらせる働き。ログを取得していることの周知、罰則の明示、監視カメラの設置などが該当し、実際に止める『予防』とは役割が異なる。

例題

出典・根拠：IPA「情報セキュリティマネジメント試験（レベル2）」シラバス Ver.4.1 科目A 大分類1：技術要素　中分類1：セキュリティ　小分類4 情報セキュリティ対策（人的セキュリティ対策・啓発活動）／JIS Q 27002（人的資源のセキュリティ）／IPA 組織における内部不正防止ガイドライン

2. 技術的対策と多層防御（入口・内部・出口）

ファイアウォールだけでは守れません。入口・内部・出口のどこで何を止めるのかという地図を持つと、対策の名前が意味を持って見えてきます。

ファイアウォール（FW）は、社内ネットワークとインターネットの境界に置き、通す通信と通さない通信を選り分ける仕組みです。基本となるパケットフィルタリングは、送信元と宛先のIPアドレス、ポート番号、プロトコルといったヘッダの情報を見て、あらかじめ決めたルールに従って許可または拒否します。ルールは上から順に評価され、最初に一致したルールが適用されます。そして最後には『どのルールにも一致しない通信はすべて拒否する』という暗黙の拒否を置くのが原則です。許可するものを列挙し、それ以外は通さないという考え方をホワイトリスト方式と呼びます。

ステートフルインスペクションは、通信の状態（コネクションの確立から終了までの流れ）を記憶し、内部から出ていった通信に対する応答パケットを動的に許可する方式です。一つ一つのパケットを独立に見るより安全で、戻りの通信のためにポートを広く開けておく必要がなくなります。外部に公開するWebサーバやメールサーバは、社内LANともインターネットともファイアウォールで隔てた緩衝地帯であるDMZに置きます。公開サーバが乗っ取られても、そこから社内LANへ直接入れないようにするためです。

境界だけでなく、守る対象ごとに専用の仕組みがあります。WAFはWebアプリケーションの前に置き、SQLインジェクションやクロスサイトスクリプティングのような、アプリの作りを狙う攻撃を通信の中身から見つけて遮ります。IDSは不正な通信や兆候を検知して知らせる装置、IPSは検知に加えてその通信を遮断する装置です。プロキシは社内から外部への通信を代理し、アクセス先の記録やURLフィルタリング・コンテンツフィルタリングによる制限を行います。EDRは、ネットワークではなくPCやサーバといった端末（エンドポイント）の動きを常時記録し、侵入された後のあやしい挙動を見つけて、隔離や調査を助けます。未知のファイルを隔離した環境で実際に動かして安全か確かめる仕組みがサンドボックスです。

対策は一つに頼らず重ねます。これが多層防御です。入口対策は、外からの侵入や不正なメールを入れないための対策で、FW、メールのフィルタリング、送信ドメイン認証（SPF・DKIM・DMARC）、アンチウイルスとパターンファイルの更新、サンドボックスなどが当たります。内部対策は、侵入されたことを前提に被害の広がりを抑える対策で、ネットワークの分割、権限の最小化、重要データの暗号化、ログの取得と監視、EDRによる挙動の検知、社内サーバへの多要素認証などです。出口対策は、盗んだ情報を外へ出させない、外部の指令サーバと通信させないための対策で、外向き通信のプロキシ経由の強制と記録、不審な宛先への通信遮断、DLPによる機密情報の送信検知、大量送信の検知などが当たります。

通信そのものを守る技術も欠かせません。WebアクセスはTLSで暗号化し、拠点間や在宅勤務からの接続にはVPNを使います。IPsecはIP層で暗号化と認証を行う仕組みで、拠点間接続によく使われます。無線LANでは暗号化方式の選択が重要で、WEPは解読方法が知られており使ってはいけません。現在はWPA2、より新しいものではWPA3を使います。このほか、社内に持ち込まれた端末をいったん別のネットワークに入れ、更新状況やウイルス対策の状態を確認してから社内に入れる検疫ネットワーク、機器やソフトウェアの状態を把握する資産管理ツール、社員が勝手に使うクラウドサービスの利用状況を可視化し統制するCASBも、管理者の道具として押さえておきます。

番号  送信元          宛先            サービス    動作------------------------------------------------------1     社内LAN         DMZ:Webサーバ   TCP/443     許可2     社内LAN         インターネット  TCP/80,443  許可3     インターネット  DMZ:Webサーバ   TCP/443     許可4     インターネット  社内LAN         すべて      拒否5     すべて          すべて          すべて      拒否

用語

パケットフィルタリング

IPアドレス、ポート番号、プロトコルなどヘッダの情報を見て通信を許可・拒否するファイアウォールの基本方式。ルールは上から順に評価し、どれにも一致しない通信は暗黙の拒否で通さない。

ステートフルインスペクション

通信の状態を記憶し、内部から出ていった通信に対する応答パケットを動的に許可する方式。パケットを1個ずつ独立に判断する方式より安全で、戻り通信のためにポートをあらかじめ広く開けておく必要がない。

DMZ

インターネットからも社内LANからもファイアウォールで隔てた緩衝地帯のネットワーク。公開Webサーバやメールサーバを置き、外部からの通信はDMZまでにとどめて、これらが侵害されても社内LANへ直接侵入されないようにする。

WAF

Webアプリケーションの前段に置き、通信の中身を見てSQLインジェクションなどアプリの脆弱性を狙う攻撃を遮る仕組み。IPアドレスやポートしか見ないファイアウォールでは防げない攻撃を担当する。

IDS／IPS

IDSは不正な通信や攻撃の兆候を検知して管理者に知らせる装置。IPSは検知に加えてその通信を自動で遮断する装置。検知のみか遮断まで行うかが両者の違い。

EDR

PCやサーバなど端末の動作を常時記録し、侵入後のあやしい挙動を検知して、端末の隔離や原因調査を支援する仕組み。侵入を前提とする内部対策の代表で、入口で防ぐ製品とは役割が違う。

多層防御

入口・内部・出口など複数の段階に対策を重ね、一つ破られても被害が広がらないようにする考え方。単一の対策に依存しないことが要点で、入口対策だけでは侵入後に無防備になる。

DLP

Data Loss Preventionの略。あらかじめ定めた機密情報の特徴を手掛かりに、メール送信や外部媒体への書出しなど情報が外へ出る動きを検知・制限する仕組み。出口対策として使われる。

CASB

利用者とクラウドサービスの間に立ち、どのクラウドが誰にどう使われているかを可視化し、統一した方針で制御する仕組み。無断利用（シャドーIT）の把握と統制に用いる。

検疫ネットワーク

社内LANに接続しようとする端末を、いったん隔離したネットワークに入れ、OS更新やウイルス対策の状態を確認してから接続を許可する仕組み。基準を満たさない端末は修正後に接続させる。

例題

出典・根拠：IPA「情報セキュリティマネジメント試験（レベル2）」シラバス Ver.4.1 科目A 大分類1：技術要素　中分類1：セキュリティ　小分類4 情報セキュリティ対策（マルウェア対策・不正アクセス対策・技術的セキュリティ対策）／JIS Q 27002（通信のセキュリティ）

3. 物理的対策と持出し・持込みの管理

情報は建物の中にもあります。入退室、机の上、可搬媒体、紙。手で触れられる範囲を守るのが物理的対策です。

物理的対策は、情報資産が置かれている場所そのものを守る対策です。まず建物や部屋を重要度で区画に分けます。誰でも入れる受付、社員だけが入れる執務室、限られた担当者だけが入れるサーバ室、というように層を作り、奥へ行くほど厳しい認証を課します。区画の境目には施錠、IDカードによる入退室管理、生体認証などを置き、入退室の記録を残します。記録は入室と退室を対で残すことが重要で、いつ誰がどこにいたかを後から確かめられるようにします。

入退室管理でよく問われるのが共連れ（ピギーバック）です。正規の利用者が扉を開けた直後に、認証を受けていない人が一緒に入ってしまうことを指し、記録の上では一人しか入っていないことになるため危険です。対策としては、入退室を対で記録させるアンチパスバック（入室記録のない人は退室できない、退室記録のない人は再入室できないという制御）、一人ずつ通す構造の扉（サークルゲートやマントラップ）、警備員や監視カメラによる確認、そして『知らない人を一緒に通さない』という従業員教育を組み合わせます。技術と人の両方が要るところです。

執務室の中では、クリアデスクとクリアスクリーンを徹底します。クリアデスクは、離席時や退社時に書類や記録媒体を机の上に放置せず、施錠できる場所にしまうことです。クリアスクリーンは、離席時に画面をロックし、内容を見られないようにすることです。あわせて、ノートPCの盗難を防ぐセキュリティワイヤ、周囲からの視線を遮るのぞき見防止フィルタ、来客の動線を執務室から分けることなども有効です。ICカードなどについて、内部の情報を無理に読み出そうとすると壊れて読めなくなるといった、解析を難しくする性質を耐タンパ性といい、機器そのものの物理的な守りとして押さえておきます。

可搬媒体の管理は情報漏えい対策の要です。USBメモリやノートPCの持出しは、申請と承認を必要とし、いつ・誰が・何を・どこへ持ち出したかを台帳に記録します。持ち出すデータは暗号化し、必要最小限にとどめ、返却時には確実に消去します。持込みも同様に管理し、私物のUSBメモリを社内のPCに挿すことは、マルウェアの持込み経路になるため禁止するのが一般的です。利用しない機器のUSBポートを物理的または設定で塞ぐ方法もあります。紙媒体も情報資産です。重要な書類は施錠できるキャビネットに保管し、廃棄するときはシュレッダーや溶解処理を使います。裏紙としての再利用や、そのままごみ箱に捨てる行為は禁止します。オフィスの外に出したごみから情報を得る手口をスキャベンジング（ごみ箱あさり）といいます。

可用性を守る物理的対策も忘れてはいけません。停電で機器が止まらないようにする無停電電源装置（UPS）は、瞬時の停電を乗り切り、長い停電では機器を安全に停止させる時間を稼ぎます。長時間の停電に備えるなら自家発電装置が必要です。地震に備えて免震・耐震の構造にする、サーバラックを固定する、水害の恐れがある地階に重要機器を置かない、といった配置の判断も物理的対策に含まれます。

申請日  媒体        持出先          暗号化  承認------------------------------------------------08-03   USBメモリ   A社（打合せ）   あり    課長08-05   ノートPC    自宅（在宅）    あり    課長08-07   紙資料      B社（提案）     －      部長

用語

共連れ（ピギーバック）

認証を受けた人が扉を開けた直後に、認証していない人が続いて入室してしまうこと。入退室記録と実際の在室者がずれるため、扉の構造・監視・教育を組み合わせて防ぐ。

アンチパスバック

入室記録のない利用者の退室を認めない（またはその逆を認めない）制御。入退室を対で記録させることで、共連れやIDカードの貸し借りを抑止する。

クリアデスク・クリアスクリーン

離席時や退社時に、書類や記録媒体を机上に放置せず施錠保管すること（クリアデスク）と、画面をロックして内容を見られないようにすること（クリアスクリーン）。

耐タンパ性

内部の情報を不正に読み出そうとしたり分解しようとしたりすると、動作しなくなる、情報が消えるなどして解析を困難にする性質。ICカードやセキュリティモジュールに求められる。

スキャベンジング

ごみ箱や廃棄物をあさって、書類や記録媒体から情報を得る手口。シュレッダーや溶解処理による確実な廃棄と、書類の裏紙利用の禁止が対策となる。

UPS（無停電電源装置）

停電時に一定時間だけ電力を供給し続ける装置。瞬時の停電では稼働を維持し、長い停電では機器を安全に停止させる時間を確保する。長時間の停電には自家発電装置が必要。

例題

出典・根拠：IPA「情報セキュリティマネジメント試験（レベル2）」シラバス Ver.4.1 科目A 大分類1：技術要素　中分類1：セキュリティ　小分類4 情報セキュリティ対策（物理的セキュリティ対策・情報漏えい対策）／JIS Q 27002（物理的及び環境的セキュリティ）

4. アクセス権とログの運用、情報漏えい対策

権限は与えるより見直すほうが難しく、ログは取るより守るほうが難しい。日々の運用で効く型を身につけます。

アクセス権の設計は、最小権限の原則とNeed-to-Knowの考え方から始めます。最小権限とは、業務に必要な最小限の権限だけを与えること、Need-to-Knowとは、知る必要のある人だけが情報にアクセスできるようにすることです。権限は職務や役割ごとに定義し、個人ごとに例外を積み上げないようにします。そして、与えた権限は必ず定期的に棚卸し（見直し）をします。異動や退職、プロジェクトの終了で不要になった権限が残っていないか、部門長など業務を分かる人が確認し、不要なものを削除します。棚卸しは年1回など時期を決めて実施し、実施した記録を残します。

システム管理者が使う特権ID（管理者権限を持つID）は、特に厳しく管理します。共用せず個人に割り当てる、やむを得ず共用する場合は使用の申請と承認を必要として貸出しと返却を記録する、使用時の操作ログを必ず取得する、パスワードを定期的に変更する、通常業務では特権IDを使わない、といった運用が求められます。承認する人と実行する人を分ける職務分掌も、内部不正を防ぐうえで効果があります。

ログは、何かが起きたときに事実を確かめる唯一の手掛かりです。誰がいつ何をしたかが分かるように、ログイン成功と失敗、重要データへのアクセス、権限の変更、管理者操作、外部への通信などを記録します。取得するだけでは足りず、改ざんや削除ができないように保護すること（書込み専用の領域や別のログサーバへの集約、アクセス権の制限）と、定期的に確認すること（見ていないログは抑止にも検知にもならない）が重要です。時刻がずれていると複数の機器のログを突き合わせられないため、時刻同期も欠かせません。保管期間は、法令や自社の規程、事故発覚までの時間差を考えて決め、期間中は消さない運用にします。

脆弱性への対応では、公開された修正プログラム（パッチ）を適用します。すべてを同時には適用できないため、優先順位を付けます。判断の材料は、外部に公開されているか、悪用が実際に確認されているか（実際の攻撃が観測されている脆弱性は最優先）、深刻度の評価、対象資産の重要度です。適用前に検証環境で影響を確かめ、適用できない事情がある場合は、通信を制限する、監視を強めるといった代替策（緩和策）を取ります。前提として、どの機器にどのソフトウェアが入っているかを把握する資産の棚卸しができていなければ、適用漏れは避けられません。

情報漏えいの原因として非常に多いのがメールの誤送信です。宛先の確認を送信前に声に出す、複数人に送るときは宛先が互いに見えないようBCCを使う、送信を数分保留して取り消せるようにする、大量の宛先には配信システムを使う、といった対策を組み合わせます。添付ファイルの扱いでは、パスワード付きZIPファイルを送り、そのパスワードを直後に別のメールで送る方式、いわゆるPPAPが長く使われてきましたが、問題が多い方式です。同じ経路で送るためメールを盗み見られれば両方とも入手される、宛先を間違えれば暗号化ファイルもパスワードも同じ誤った相手に届く、ZIPが暗号化されているとウイルス対策ソフトやゲートウェイが中身を検査できずマルウェアの侵入を許す、受信側の手間が大きい、といった点です。現在は、アクセス権を管理できるファイル共有サービスの利用や、S/MIMEなどによるメール自体の暗号化、TLSによる経路の暗号化に置き換えることが推奨されます。

クラウドサービスでは、設定ミスによる意図しない公開が大きな事故につながります。共有範囲を『リンクを知っている全員』や『インターネットに公開』にしたまま放置すると、検索エンジンから見つかることもあります。既定値のまま使わず、共有範囲を作成時に確認し、定期的に棚卸しします。従業員が会社の承認を得ずに使うクラウドサービスやアプリをシャドーITといい、管理の目が届かないため危険です。私物端末を業務に使うBYODを認める場合は、利用条件を規程で定め、MDM（モバイル端末管理）で画面ロックや暗号化を強制し、紛失時に遠隔からロックやデータ消去ができるようにします。印刷物の放置も見落としがちで、共用プリンタではICカードをかざしてから出力する認証印刷が有効です。

利用者（役割）    人事DB    給与DB    部内共有  全社共有--------------------------------------------------------人事部長          参照可    参照可    更新可    参照可人事担当者        更新可    不可      更新可    参照可営業担当者        不可      不可      不可      参照可システム管理者    不可      不可      不可      参照可

用語

最小権限の原則

利用者やプログラムに、業務の遂行に必要な最小限の権限だけを与える考え方。与えすぎた権限は内部不正や誤操作、アカウント乗っ取り時の被害を大きくする。

Need-to-Know

知る必要のある人だけが情報にアクセスできるようにする原則。役職が高いから何でも見てよい、ではなく、その業務に必要かどうかで判断する。

アクセス権の棚卸し

現在付与されている権限を一覧にし、業務内容を把握している責任者が必要性を確認して不要な権限を削除する定期的な作業。異動・退職・プロジェクト終了に伴う残存権限を発見できる。

特権ID

システムの設定変更やすべてのデータへのアクセスができる管理者権限のID。共用を避け、使用の申請・承認・記録、操作ログの取得、通常業務での不使用を徹底する。

ログの保全

取得したログを改ざん・削除されないように保護すること。別のログサーバへの集約、書込み後に変更できない領域の利用、アクセス権の制限、時刻同期などで実現する。

PPAP

パスワード付きZIPファイルをメールで送り、そのパスワードを別のメールで送る方式の通称。同じ経路のため盗聴や誤送信に弱く、暗号化により受信側でウイルス検査ができない問題がある。

シャドーIT

従業員が組織の承認を得ずに業務で使うIT機器やクラウドサービス。管理者が把握できないため、情報の所在が分からなくなり、退職時の回収も設定の確認もできない。

MDM（モバイル端末管理）

スマートフォンやタブレットを組織が一元管理する仕組み。画面ロックや暗号化の強制、アプリの制限、紛失時の遠隔ロックやデータ消去などを行う。

例題

出典・根拠：IPA「情報セキュリティマネジメント試験（レベル2）」シラバス Ver.4.1 科目A 大分類1：技術要素　中分類1：セキュリティ　小分類4 情報セキュリティ対策（アクセス管理・情報漏えい対策）／JIS Q 27002（アクセス制御・運用のセキュリティ）

5. 利用者としての実践（今日からできる対策）

規程を守るのは現場の一人ひとりです。自分の手元で今日からできることと、迷ったときの相談先を確認します。

パスワードは、長さが最も効きます。単語をいくつかつないだ長い文（パスフレーズ）にする、他人が推測できる誕生日や名前を使わない、そして何より使い回さないことが大切です。どこか一つのサービスから漏れたIDとパスワードを他のサービスで試す攻撃があるため、使い回しは一気に被害が広がります。数が多くて覚えられない場合は、信頼できるパスワード管理ソフトを使う、あるいは会社が認めた方法で管理します。付箋に書いて画面に貼る、共用ファイルに一覧を置くといった管理は避けます。可能なサービスでは多要素認証を有効にすると、パスワードが漏れても不正ログインを防ぎやすくなります。

フィッシングは、実在する企業や社内の部署をかたって、偽サイトへ誘導しIDやパスワード、クレジットカード番号を入力させる手口です。見分けるこつは、メールのリンクをクリックせず、普段使っているブックマークや公式アプリから確認すること、『至急』『アカウントを停止します』と急がせる文面を疑うこと、送信元アドレスやリンク先のドメインをよく見ることです。日本語が自然になっているものも多く、文面の不自然さだけでは判断できません。少しでも迷ったら操作せず、社内の窓口に相談するのが正解です。

外出先の公衆Wi-Fiは、暗号化されていないものや、正規のものに似せた偽のアクセスポイントがあり得ます。業務で使う場合は、会社が用意したVPNを通す、あるいはスマートフォンのテザリングを使うほうが安全です。やむを得ず使うときも、IDやパスワードを入力する操作は避け、通信がTLSで暗号化されている（アドレスがhttpsで始まる）ことを確認します。周囲からの画面ののぞき見にも注意し、のぞき見防止フィルタを活用します。

テレワークでは、自宅も職場と同じ扱いになります。業務用PCを家族と共用しない、離席時は画面をロックする、web会議で画面を共有するときは関係のない資料を閉じておく、家族に画面や会話が見聞きされない場所で行う、といった配慮が必要です。自宅のルータも見落とされがちで、初期パスワードのまま使わない、ファームウェアを更新する、無線LANの暗号化をWPA2以上にする、といった点を確認します。業務データは会社が許可した場所にだけ保存し、私物のクラウドストレージには置きません。

スマートフォンは小さなPCです。画面ロックを必ず設定し、OSとアプリを最新に保ちます。アプリを入れるときは公式のストアからにして、連絡先や位置情報、カメラなどの権限要求が、そのアプリの機能に照らして妥当かを確認します。提供元のはっきりしないアプリ（いわゆる野良アプリ）や、正規のストア以外から入手したアプリは入れません。紛失に備えて画面ロック、遠隔ロック、遠隔消去を使えるようにし、紛失したときはためらわず会社に連絡します。ソフトウェアの更新は、脆弱性をふさぐ最も基本的な対策なので、後回しにせず適用します。

バックアップは、ランサムウェアや機器の故障、誤削除から立ち直るための最後のとりでです。重要なデータは定期的に別の場所へ複製し、複製先を常時つないだままにしないこと（つないだままだと暗号化の被害が及ぶ）、そして復元できることをときどき試すことが大切です。最後に、対策と業務効率のバランスについて。厳しすぎるルールは現場で守られず、抜け道（私物クラウドの利用、パスワードの共有）を生んで、かえって危険になります。ルールを作る側は、なぜ必要かを説明し、現場が実行できる形にし、無理があるという声が上がったら見直します。おかしいと感じたときにすぐ相談できる窓口を周知しておくことが、結局は最も効く対策です。

こんなときは、自分で解決しようとせずにすぐ相談する1. あやしいメールを開いた、添付ファイルを実行した、リンク先でIDを入力した2. PC、スマートフォン、USBメモリ、書類を紛失した、盗まれた3. 見覚えのない警告や画面が出た、PCが急に遅くなった、勝手に再起動する4. 送るべきでない相手にメールやファイルを送ってしまった5. 社内の誰かから、電話やチャットでパスワードを聞かれた6. クラウドの共有範囲を全体公開にしてしまったかもしれない※ 報告が早いほど被害は小さくなる。隠すことが最大の損害につながる

用語

パスフレーズ

複数の単語をつないだ長いパスワード。記号を無理に混ぜた短いものより、長く覚えやすいものにするほうが解読されにくく、使い回さないこととあわせて効果が大きい。

パスワードの使い回し

複数のサービスで同じIDとパスワードを使うこと。どこか一つから漏れると、それを他のサービスで試す攻撃により連鎖的に被害が広がる。管理ソフトの利用や多要素認証で回避する。

偽のアクセスポイント

正規の公衆Wi-Fiに似せた名前で設置され、接続した端末の通信を盗み見る不正なアクセスポイント。業務ではVPNやテザリングを使い、機密情報のやり取りを避ける。

野良アプリ

公式のアプリストア以外から入手する、提供元や安全性が確認できないアプリ。不正な権限要求や情報の持出しの恐れがあるため、業務端末にも私物端末にも入れない。

セキュリティと利便性のバランス

厳しすぎる規則は守られず抜け道を生み、緩すぎる規則は事故を招くという関係。理由を説明し、現場が実行できる手順にし、実態に合わせて見直すことが必要になる。

例題

出典・根拠：IPA「情報セキュリティマネジメント試験（レベル2）」シラバス Ver.4.1 科目A 大分類1：技術要素　中分類1：セキュリティ　小分類4 情報セキュリティ対策（情報漏えい対策・利用者の対策・啓発活動）／IPA 情報セキュリティ10大脅威 解説資料

演習：この章の問題を解く

ランダム出題の演習ツールです（JavaScript が有効な場合に動きます）。上の「確認問題」はそのままでもすべて読めます。