社内の情報を守るためにやるべきセキュリティ対策の基本を解説

昨今は多くの企業がインターネットを活用しており、取引先企業や顧客の個人情報などを電子データとして管理するのが当たり前になってきました。

紙ベースで情報を取り扱っていた時代に比べ管理が楽になりましたが、インターネットを経由して外部からサイバー攻撃を受けてしまうリスクも高まっています。企業が保有する顧客の個人情報が外部に流出してしまった事件を耳にしたことがある方もいるのではないでしょうか。

インターネットや電子データを使って仕事をするためにはサイバー攻撃などのリスクを考えて、セキュリティ対策をすることが欠かせません。
そこで本記事では、セキュリティ対策とは何か、どのような対策方法があるのかなどの基礎知識を解説します。

SecureNaviを活用して、ISMS認証の取得や運用の工数を軽減しませんか？

SecureNaviは、ISMS認証やPマークの取得や運用を効率化できるクラウドサービスです。従来のようなExcelやWordによるアナログな運用を削減し、最低限のリソースで認証取得・運用が可能になります。
⇒SecureNaviのサービス紹介資料をダウンロードする

セキュリティ対策（情報セキュリティ対策）とは？

セキュリティ対策（情報セキュリティ対策）とは、データやシステムを保護し、安全に使うための対策のことを意味します。

目的は社外からの不正アクセスや、マルウェアと呼ばれる悪質なソフトウェアによるデータの改ざん・盗聴などを防ぐことです。

オンライン上の対策だけでなく、オフラインでの対策もセキュリティ対策に含まれます。データへの不正アクセスを防げたとしても、データを保存している端末（パソコンやスマートフォンなど）や、重要な情報が記載された書類が盗まれてしまう可能性も考えられます。

このような様々なリスクを取り除くことがセキュリティ対策です。

なぜセキュリティ対策が必要なのか？

なぜインターネットや電子データなどを取り扱う企業にセキュリティ対策が必要なのか、もっと詳しく見ていきましょう。

さまざまな理由が考えられますが、主に次の2つが挙げられます。

• 大きな被害を受ける可能性があるため

• 業務停止に追い込まれる可能性があるため

例えば、企業がサイバー攻撃を受けた場合、以下のようなリスクが考えられます。

• 顧客の個人情報などが社外に漏えいする

• 漏えいした情報を不正利用された顧客から損害賠償請求をされる

• 問題の解明やセキュリティの改善、信用を取り戻すためにお金や時間がかかる

社内で抱えている情報が膨大なほど、被害も大きくなることが予想されます。このような状況から回復するには、お金も時間もかかるでしょう。

また、社内の機密情報が漏れたことで業務停止（倒産）に追い込まれてしまった企業もあります。

原因として考えられるのは、情報の適切な取り扱いができていないと見なされて自社の社会的な信用が落ち、取引先や顧客が減った結果、売上がマイナスになってしまったということです。

このような状況になった企業では、従業員が対応に追われて業務がこなせなくなり、退職者も続出する傾向があります。そして企業としての活動ができなくなってしまう可能性もあるのです。

取引先や顧客、ひいては自社を守るためにセキュリティ対策が必要だといえます。

考えられる主な脅威（情報セキュリティインシデント）の例

企業などの組織が保有している情報資産を「盗難」「改ざん」「利用不可」といった危険にさらす可能性のある事象のことを「情報セキュリティインシデント」と呼びます。

では、情報セキュリティインシデントにはどのようなものがあるのでしょうか。代表的なものを挙げます。

• 迷惑メール・スパムメールが原因のマルウェア感染

• DoS・DoSS攻撃

• 不正アクセスによるデータの改ざん・盗難・消去

• ヒューマンエラーによる情報の紛失・盗難

• 自然災害によるセキュリティ設備の破損

それぞれの特徴については、こちらの記事で詳しくまとめています。本記事とあわせてお読みください。
情報セキュリティインシデントとは？主な種類や対策方法を解説

基本的なセキュリティ対策の例

情報セキュリティインシデントを取り除くためには、どのような対策を行えばいいのでしょうか。

ここからは基本的なセキュリティ対策の例を解説します。

不正アクセス対策

社外からの不正アクセスを許すと、保管しているデータを盗まれたり、改ざんされたりといったリスクが高まります。

特に注意したいのが、退職者による不正アクセスです。例えば、退職者が在職中に利用していた IＤ・パスワードを放置してしまうと、社内データが保存してあるフォルダに、退職者が社外からアクセスできてしまうことが考えられます。

また、不正アクセスが行われるのは社外からだけではありません。社内の人が悪意をもって不正アクセスを働く場合もあります。

このような不正アクセスを避けるためにできる対策として、以下の方法があります。

• ID・パスワードは覚えにくい複雑なものにする

• 1つの ID・パスワードを使い回さない

• フォルダにアクセス権限を設けて、社内の関係者以外はアクセスできないようにする

• データ通信を暗号化する

• 「ID・パスワードは誰でも見れる場所に残さない」というルールを作る

• 「不審なメールは開かない」というルールを作る

• 「一時的でも離席する際は、パソコンにログインしたままにしない」というルールを作る

• 退職者の ID は速やかに削除する

ソフトウェアの脆弱性の対策

アプリケーションや OS といったソフトウェアの脆弱性を狙って、第三者がサイバー攻撃を仕掛けてくる可能性もあります。

使用しているソフトウェアの脆弱性を解消するために、このような対策も必要です。

• アップデートを欠かさず行い、最新版を使用する

• 会社から指定されたソフトウェア以外は使用しない

マルウェア（コンピュータウイルス）感染対策

コンピュータなどに忍び込み、悪事を働くソフトウェアを「マルウェア」と呼びます。コンピュータウイルスもマルウェアの一種です。

コンピュータがマルウェアに感染するとユーザーの意図に反した動作をしたり、保存してあるデータが盗まれたりといった事態を招きます。

マルウェアによる被害は自分のコンピュータだけが受けるとは限りません。コンピュータが外部から不正に操作され、DDoS などのサイバー攻撃に利用されてしまうこともあります。つまり自分のコンピュータがさらなるサイバー攻撃に加担してしまう可能性もあるということです。

マルウェア感染を避けるための対策としては、以下のような方法が考えられます。

• 不審なメールは開かない

• 怪しいリンクはクリックしない

• ソフトウェアを最新バージョンにアップデートする

• ウイルスセキュリティソフトをインストールする

• ウイルスセキュリティソフトも最新バージョンにアップデートする

ヒューマンエラー対策

情報漏えいや不正アクセスといった情報セキュリティインシデントは、故意的に引き起こされるものばかりではありません。人的なミス（ヒューマンエラー）によって引き起こされることもあります。

例えば、通勤電車の中に社用の携帯電話を忘れてしまった従業員がいた場合、その携帯電話に入っている取引相手の連絡先や社内で共有された重要なメールなどの情報が危険にさらされてしまいます。

どんな人でも、ついうっかりしていてミスをしてしまうことはあります。そのため事前にヒューマンエラーを避ける対策を練っておくことがとても重要です。

具体的には、以下のようなルールを作ることが有効だと考えられます。

• 電車内など人が多い場所で社用携帯電話は使わない

• 勤務中以外は社員証を携帯せず、厳重に保管する

• 勤務中は SNS への投稿は控える。特に自社や取引先の情報が読み取れるような投稿は絶対にしない

• 会社からの貸与物を紛失した場合は、分かった時点ですぐ上司に連絡する

また、こういったヒューマンエラーが発生した際、責任の重さから会社へ報告しない従業員も少なからずおり、被害が深刻化してしまうケースもあります。上記のようなルールとあわせて失敗を報告しやすい環境を作ることも重要です。

端末や設備の盗難・破損対策

本記事の前半で少し触れたとおり、情報が端末ごと盗まれてしまうケースも考えられます。

また、自然災害などによって端末や社内の設備が破損し、業務の遂行が難しくなってしまうこともあるでしょう。

セキュリティ対策には、物理的に情報を守ることも含まれます。主に以下のような対策が考えられます。

• 夜間・休日の社内の施錠を徹底する。

• オフィスの出入り口や窓だけでなく従業員の個人用ロッカーも必ずカギをかける

• 人が多い場所にパソコンやスマートフォンなどの端末を放置しない

• 社用のノートパソコン・スマートフォンはプライベートで使用しない

• サーバールームを施錠し（入室権限を設け）、限られた人しか入れないようにする

• 定期的にデータのバックアップをとり、有事の際でもすぐに復旧できるようにする

管理者・利用者それぞれがセキュリティ対策を徹底しよう

企業で取り扱う情報を守るためには、社内システムの管理者はもちろんのこと、システムの利用者となる社員一人ひとりの対策も欠かせません。

例えば、社内データへの不正アクセスを防ぐために管理者が予想しにくい複雑なパスワードを設定したとしても、利用者である社員がそのパスワードを外部に漏らしてしまったら、情報セキュリティインシデントを生んでしまう可能性があります。

システムの管理者、利用者、それぞれがやるべきセキュリティ対策を理解し、実践しましょう。

また、あなたがプライベートで利用しているデータやシステムにも同じことがいえます。個人情報を盗まれたり、改ざんされたりといったリスクが考えられるため、仕事で使うデータと同じくセキュリティ対策を徹底しましょう。

システム管理者がやるべきセキュリティ対策と、利用者（個人）ができるセキュリティ対策、それそれ以下の記事で解説しています。

システム管理者向け

企業の情報セキュリティ管理者に初めてなった人がやるべきセキュリティ対策を解説

システム利用者（個人）向け

社員一人ひとりができる情報セキュリティ対策の例（プライベートでも応用可能）

SecureNaviを活用して、ISMS認証を効率的に取得しましょう

今回は、セキュリティ対策とは何かや、具体的な対策の内容について紹介しました。セキュリティ対策を考える前に、そもそも自社にはどんなリスクがあるのか（どんな脅威にさらされているのか）を考える必要があります。まずはリスクアセスメント（リスクの洗い出し、対応すべきリスクの優先順位付け）を行い、自社にどんなリスクがあるのかを洗い出して、脅威にあわせた対策を実施しましょう。
また、 ISMS認証の取得に取り組む中で、リスクアセスメントが必要になります。もしリスクの洗い出しをしてセキュリティ対策をするならば、あわせて ISMS認証の取得に取り組むのもおすすめです。ISMS認証を取得することで、大手企業や官公庁の案件を受注しやすくなるなどのメリットもあります。

『SecureNavi』は 内製でのISMSの構築・運用を効率化し、ISMS認証取得をサポートするクラウドサービスです。あわせてISMS認証の取得や維持に関するコンサルティングサービスを提供するプランもあり、 ISMS認証取得までのスケジュール確認やISMS運用に関する相談、審査前の確認などさまざまなお悩みに対応いたします。
下記フォームからSecureNaviのサービス紹介資料をダウンロードいただき、ISMS認証の取得にご活用いただけそうかご確認ください。