企業の情報セキュリティ管理者に初めてなった人がやるべきセキュリティ対策を解説 

「社内の情報セキュリティ管理者になったけど、具体的にどのような対策をすればいいのかわからない…」

社内で取り扱う情報を外部に漏らしたり、不正なアクセスを許したりしないよう対策が必要なことは分かっていても、どんな対策が有効なのかといわれると、なかなか思いつきにくいかもしれません。

特に情報セキュリティ管理者は責任ある立場として、自分自身でできる対策だけでなく従業員への意識改革も行う必要があります。「自分以外の人たちにもセキュリティ対策を徹底してもらうには…」と考えると、より難しく感じますよね。
そこで本記事では、初めて企業の情報セキュリティ管理者になった人がやるべきセキュリティ対策の基本について解説します。

SecureNaviを活用して、ISMS認証の取得や運用の工数を軽減しませんか？

SecureNaviは、ISMS認証やPマークの取得や運用を効率化できるクラウドサービスです。従来のようなExcelやWordによるアナログな運用を削減し、最低限のリソースで認証取得・運用が可能になります。
⇒SecureNaviのサービス紹介資料をダウンロードする

セキュリティ対策（情報セキュリティ対策）とは

セキュリティ対策（情報セキュリティ対策）とは、データやシステムを保護し、安全に使うための対策のことです。

データやシステムだけでなく、使用しているパソコンや携帯電話、それらに関連する機器などは以下のような危険（情報セキュリティインシデント）にさらされるリスクがあります。

• 不正アクセスによるデータの改ざん・盗聴

• マルウェア（悪質なソフトウェア）感染

• 標的型攻撃

• フィッシング・偽サイト

• 端末・機器の破損・盗難・紛失

このようなリスクを取り除くことがセキュリティ対策の目的です。何も対策をしていないと、自社だけでなく取引先や顧客にまでリスクが及ぶ可能性があります。

ほとんどの企業でインターネットや電子データを取り扱う昨今、セキュリティ対策は必ず行うべきだといえます。

セキュリティ対策については、こちらの記事でも詳しく解説しているので、あわせてお読みください。
社内の情報を守るためにやるべきセキュリティ対策の基本を解説

情報セキュリティ管理者が行うべきセキュリティ対策の例

企業の情報セキュリティ管理者が社内の情報資産を守るためには、どのようなセキュリティ対策を行えば良いのでしょうか。

具体的な対策の例を紹介します（必要なセキュリティ対策は、企業の設備や事業内容によって異なります）。

• ソフトウェアを最新版にアップデートする

• セキュリティソフトの導入

• データ通信の暗号化

• 予想されにくいパスワードの設定

• データの定期的なバックアップを実施

• 不要なサービスやアカウントの確認・削除

• 従業員への教育（ルールの徹底）

• 情報セキュリティインシデント発生時のルールの策定と徹底

ソフトウェアを最新版にアップデート

社内で使用している OS やアプリケーションなどのソフトウェアに脆弱な部分があると狙われやすく、社外からサイバー攻撃を受けるリスクがあります。

ソフトウェアはアップデートを欠かさず行い、最新版を使うようにしましょう。

セキュリティソフトの導入

マルウェア感染や不正アクセスを防ぐため、社内のサーバーパソコンなどにセキュリティソフトを導入することも効果的な対策です。

セキュリティソフト自体をアップデートし、最新版を使うことも忘れないようにしましょう。

データ通信の暗号化

VPN (Virtual Private Network) を利用したり、通信を SSL (Secure Sockets Layer) 化したりすることで、データ通信を暗号化することも重要です。

データ通信を暗号化することで、第三者によるデータの盗聴や改ざんなどを防ぐことができます。

特に 常時 SSL 化 ( HTTPS 化) については、Google も推奨しています。現在、常時 SSL 化に対応していない Web サイトにアクセスすると、ブラウザの上部に表示される URL の左側に「保護されていない通信」と表示されるようになっています。この表示によって Web サイトの利用者が不安に感じる可能性があることも考えると、自社のホームページや Web サービスを運用している企業にとって暗号化は必須の対策といえるでしょう。

注意点としては、VPNサービスの中には脆弱なものもあり、サイバー攻撃の対象になってしまうケースもあります。利用する前に脆弱性がないサービスかどうか確認しましょう。

参照：2つの人気VPNアプリに悪用可能な脆弱性あり - 確認を

予想されにくい複雑なパスワードの設定

社内で使用するパスワード類は、なるべく予想されにくく、覚えづらい複雑な文字列に設定することをおすすめします。

例えば顧客データなど社内の機密情報が入ったフォルダに複雑なパスワードを設定したとします。こうすれば、もしパスワードを知らない人間がフォルダにアクセスしようとして無作為に文字列を入力しても、偶然合致してしまうリスクを下げられるでしょう。

また、パスワードを意味を持たない文字列にしておけば、予想されるリスクも少なくなります。

パスワード設定に関して注意したい点もあります。以前はパスワードを定期的に変更することがセキュリティ対策として有効な手段だといわれていましたが、最近はパスワードの定期的な変更は不要とされている点です。

2017年に米国国立標準技術研究所（NIST）のガイドラインから、定期的な変更を求めるべきではないと、新しい見解が示されています。

それ以降、日本（内閣サイバーセキュリティセンターから）でも定期的な変更ではなく、流出や、問題が生じた時に速やかに変更することが推奨されています。。

データの定期的なバックアップを実施

データを改ざんされたり、自然災害などによって機器が破損して保存していたデータの復旧が困難になったりといったリスクの対策として、定期的にデータのバックアップをとっておきましょう。

バックアップデータは、元データと別の場所に保管しておくと安心です。

「保存するサーバを分ける」「会社から離れた場所でサーバーを保管する（データセンターを設置する）」などの方法が考えられます。

不要なサービスやアカウントの確認・削除

自社利用している外部サービスの中に不要なものがないか確認し、あった場合は利用を止めるようにしましょう。外部サービスの脆弱性が狙われてサイバー攻撃の対象となった結果、サービスの利用者である自社にまで被害が及ぶ可能性があります。

また自社で退職者が出た場合、その従業員が使っていたアカウントは削除するようにしてください。アカウントを残したままにしておくと、退職者が社外から社内の重要なデータが入ったフォルダなどにアクセスできてしまう可能性があります。元々は自社の従業員だったとはいえど、データを不正に利用しないリスクがゼロというわけではありません。従業員のアカウントの管理も随時行うよう徹底してください。

従業員への教育（ルールの徹底）

情報セキュリティインシデントを防ぐためには、情報セキュリティ管理者だけでなく、システムやデータを使う従業員の協力が欠かせません。1人の従業員のミスから情報セキュリティインシデントが発生する場合もあります。

そのため、データや各種端末・機器の取り扱いに関するルールを定めて、従業員に遵守してもらうよう教育しましょう。

ルールの例としては、以下のようなものが考えられます。

• 社内データ（取引先や顧客に関する情報を含む）の持ち出しは、原則として禁止とする

• 機密情報が保存されているフォルダはアクセス権限を設ける

• 端末のログイン用 ID・パスワードは誰でもアクセスできる場所（見れる場所）に保管しない

• 内蔵ディスクを暗号化する

• 多要素認証を採用する

• 会社で指定されていないソフトウェアをダウンロードする際は、システム管理部門に申請を行う

必要なルールは企業によって異なるため、自社の状況を振り返りながらルールを考案してください。

また、情報セキュリティ対策専門の社員研修・教育をサービスとして提供している会社もあります。こういったサービスを利用して社員に研修を受けてもらい、セキュリティ対策への意識を向上させることも効果的でしょう。

情報セキュリティインシデント発生時のルールの策定と徹底

セキュリティ対策を徹底したとしても、情報セキュリティインシデントが発生してしまう可能性をゼロにするのはとても難しいことです。万が一に備えて、情報セキュリティインシデントが発生した場合のルールの策定と、従業員へのルール徹底も行いましょう。

具体的なルールの例としては、以下のようなものが考えられます。

• データの改ざんや盗難を発見した際は、すぐに上司または担当部署に報告する

• 社用ノートパソコンや携帯電話を紛失・破損した際は、早急に上司に報告する

• 使用している端末がマルウェアに感染したことが分かったら、電源を切らずに、すぐに社内ネットワーク接続を切る

しかし、こういったルールを決めても責任の重さを感じてしまい、なかなか切り出せない従業員も多いでしょう。その結果、事態が深刻化してしまうケースも珍しくありません。

企業としては、情報セキュリティインシデントが発生した際に従業員が報告しやすい制度や方針を決めることも大切です。
例えば「端末の紛失・盗難があった際、早期に報告した場合の懲罰軽減」など。

あるいは「早めに報告しないことで影響が拡大してしまう」という危険性を従業員に示し、早期の行動を促すという方法も効果があると考えられます。

SecureNaviを活用して、ISMS認証を効率的に取得しましょう

今回は、初めて企業の情報セキュリティ管理者になった人がやるべきセキュリティ対策の基本について紹介しました。セキュリティ対策を行わなければ、自社内のデータやシステムや従業員が使用している端末などが危険にさらされる可能性が高まります。
もし社内に保管していた取引先や顧客などのデータが流出してしまえば、自社の信用を落とすことにもつながります。もちろん、流出した情報の持ち主にリスクが及ぶ可能性も考えられます。サイバー攻撃の加害者になってしまう場合もあるため、セキュリティ対策は必ず行いましょう。社内の情報セキュリティ体制の見直しに伴い、全社のセキュリティレベルを上げるために、ISMS認証取得を目指すのもおすすめです。

『SecureNavi』は 内製でのISMSの構築・運用を効率化し、ISMS認証取得をサポートするクラウドサービスです。あわせてISMS認証の取得や維持に関するコンサルティングサービスを提供するプランもあり、 ISMS認証取得までのスケジュール確認やISMS運用に関する相談、審査前の確認などさまざまなお悩みに対応いたします。
下記フォームからSecureNaviのサービス紹介資料をダウンロードいただき、ISMS認証の取得にご活用いただけそうかご確認ください。