重要情報の扱いを考え直す（第3回） パソコンに保存した重要情報が狙われる

　不正アクセスされてパソコンに保存していた情報が流出したり、情報漏えいに至らないまでも、外出先でパソコンを置き忘れたりする事象は後を絶たない。企業では顧客情報や機密情報の保護が最優先に近い課題となっている。

攻撃者はパソコンを不正操作し情報を盗み取る

　一方、「どこまでセキュリティ対策を講じればいいのか分からない」という経営層の声も聞かれる。攻撃者の手口は日々進化しており、OSなどのセキュリティアップデートの前にOSの脆弱性を狙って攻撃を仕掛けるゼロデイ攻撃や、セキュリティ会社が配布する定義ファイルをすり抜ける未知の攻撃でマルウエアに感染させるなど、攻撃を完全に防御するのは困難な状況だ。

　攻撃と一口に言ってもさまざまな手口がある。企業は何を守るかによって対策のメリハリを付けることが肝要だ。例えば、インターネットを使って商取引を行う企業では、Webサーバーが攻撃されるとビジネス停止のリスクが高くなる。Webサービスを妨害するDDoS攻撃などへの対策を強化すべきだろう。ただ、万一攻撃されてもシステムを復旧すればビジネスは再開できる。

　被害の中でも、取り返しがつかないのが重要情報の漏えいだ。標的型攻撃メールでは、攻撃者は企業が保有する顧客情報や機密情報などを盗み取り、第三者に転売する金もうけを目的に企業を攻撃する。

　顧客情報は、営業担当者などのパソコンに保管されているケースも多い。パソコンに保管された顧客情報は、机の中に名簿をしまっておくのと同様に犯罪者に簡単に見つけられ、盗まれるリスクが高くなる。

　そこで、まずはパソコンのセキュリティ対策が重要になる。その理由は、標的型攻撃メールの手口にある。攻撃者はマルウエアに感染させたパソコンをインターネット経由で外部から不正に操作し、どこに顧客情報などの重要情報が保管されているかを調べる。そして、攻撃に成功したパソコンを経由して、ほかのパソコンにも重要情報がないか探していく。すべて遠隔操作で顧客情報を盗み取るのだ。

仮想化技術を利用してパソコンを攻撃から守る

こうした攻撃を防御するためには、従来のネットワークやシステムでのセキュリティ対策に加え、パソコンそのものの対策が必要になる。重要情報を守るセキュリティ対策では、ウイルス対策ソフトの導入は当然だが、そのほかに大きく分けて2つの対策がある。

　1つ目は、パソコンに顧客情報などのデータを保存しないことだ。パソコンにデータがなければ不正アクセスに遭っても、情報漏えいのリスクを減らせる。2つ目は、インターネット接続用のネットワークと、顧客情報などのデータを取り扱う社内システム用のネットワークを切り離すことだ。万一、パソコンがマルウエアに感染しても、インターネットに直接つながっていなければ攻撃者に不正操作されるリスクを減らせる。

　1つ目の具体的なセキュリティ対策に、仮想デスクトップがある。仮想デスクトップは、見た目は通常のパソコンのデスクトップであるが、そのデータは手元にある端末の中にはない。データセンターなどのサーバー側のストレージにデータが保存されている。手元の端末にはあくまでサーバー内のデスクトップ画面が転送され、閲覧・編集のみ行う仕組みだ。パソコンの中に重要情報がないので、パソコンの紛失などによる情報漏えいリスクを低減できる。

　2つ目のインターネットと社内システムのネットワークを切り離す対策には、仮想ブラウザーがある。インターネット接続時にパソコンのWebブラウザーではなく、データセンターなどのサーバーで動作する仮想的なWebブラウザーを利用する。パソコンにはサーバー側のWebブラウザーで実行された画面情報のみが転送されるため、パソコンへのマルウエア感染を防止できる。また、万が一パソコンがマルウエアに感染した場合にも、インターネット接続環境から切り離されるので、パソコンを不正操作されて重要情報がインターネット上に流出するのを防ぐ効果がある。

　仮想デスクトップや仮想ブラウザーは自社でシステムを構築するオンプレミス型のほか、クラウドサービスとしても提供される。現在、企業規模やニーズに合わせてさまざまなセキュリティサービスがある。どんなサービスがあるのか、まずは探してみてはどうだろうか。