最新セキュリティマネジメント（第22回） 「情報セキュリティ10大脅威 2023」に学ぶ

　毎年恒例の「情報セキュリティ10大脅威」の最新版が、1月25日に独立行政法人情報処理推進機構（IPA）から発表された。これは、2022年に発生した脅威の中から約200名の研究者や企業の実務担当者の投票によってランク付けされたものだ。すべての脅威が含まれているわけではないが、ここから情報セキュリティの最新のトレンドを読み取れる。

10大脅威の変化から分かる最新トレンド

　「情報セキュリティ10大脅威 2023」はいつものように「個人」と「組織」に分けて10大脅威を決定している。ここでは企業などを対象とした「組織」編を取り上げていく。

　1位にランキングされたのは昨年、一昨年と同様に「ランサムウェアによる被害」だった。ランサムウエアと呼ばれるウイルスにパソコンやサーバーが感染すると、暗号化されて利用できなくなり、その復旧と引き換えに金銭を要求されるものだ。今、最も警戒すべき脅威と考えられている。

　2位は「サプライチェーンの弱点を悪用した攻撃」だ。一昨年の4位、昨年の3位から毎年ランクアップしている。商品の企画開発から調達、製造、物流、販売といったサプライチェーン上で取引している企業などを狙った攻撃である。

　強固なセキュリティ対策が講じられている大企業ではなく、ガードの甘い中小企業などの取引先に潜り込み、これを踏み台にして本命の企業を狙うという手口だけに、中小企業にとっては大きな脅威だといえる。

　「情報セキュリティ10大脅威 2023」の解説書では、例として2022年3月に起きた攻撃が取り上げられている。トヨタ自動車の取引先のシステム障害により、国内の全工場が操業を停止した事件だ。実際に子会社の社内ネットワークへの侵入後に、同社の社内ネットワークにも侵入され、サーバーやパソコンへの攻撃の痕跡が確認されたという。

　3位は特定の組織をターゲットとした「標的型攻撃による機密情報の窃取」、4位は「内部不正による情報漏えい」、5位は「テレワーク等のニューノーマルな働き方を狙った攻撃」と、ある意味いつもの顔ぶれが続く。注目すべきは2018年以来5年ぶりに圏外から10位にランクインした「犯罪のビジネス化（アンダーグランドサービス）」だろう。

　ダークウェブまたはディープウェブと呼ばれる通常のブラウザーでは検索できないWebサイト上では、盗まれたIDやパスワードなどの情報が売り買いされているだけでなく、サイバー犯罪に使用するためのサービスやツールなどが取引されている。筆者も専門家からそうしたWebサイトを見せてもらったが、攻撃を請け負うサービスや誰でも簡単にウイルスが作れてしまうツールが、まるでECサイトのように取引されていて驚いた。こうした活動の活発化はサイバー攻撃の増加を意味する。

社内の啓発と体制づくりに解説書と活用法を役立てる

　IPAでは毎年「情報セキュリティ10大脅威」を発表した後、それぞれの脅威の内容を詳しく説明した「解説書」と、それらの脅威にどう立ち向かうかを示した「活用法」の2つの小冊子を発行してPDFで無料配布している。今年は解説書の巻末に『「情報セキュリティ対策の基本」と「共通対策」』という10ページ強の記事が追加された。

　昨年の解説書の巻頭にあった『「情報セキュリティ10大脅威 2022」をお読みになる上での留意事項』という2ページの記事を充実させたものだが、より具体的にどんな対策を取っていくべきなのかが解説されている。特に役に立ちそうなのが、共通対策を解説しているところだ。

　情報セキュリティの脅威の種類は多岐にわたる、対策が共通しているものもある。これを実行すれば効率的なセキュリティ対策を講じられるので、専門家がいない中小企業にとっては、1つの道しるべになるだろう。この記事の中で組織の共通対策として挙げられているものは7つ。1つ目が「パスワードを適切に運用する」だ。適切なパスワード設定の考え方や適切な保管と運用の方法、不正ログインへの対応などについて説明している。

　2つ目は「情報リテラシー、モラルを向上させる」で、どんな教育をどう行うかのガイドラインが示されている。3つ目は「メールの添付ファイル開封や、メールやSMSのリンク、URLのクリックを安易にしない」、4つ目が「適切な報告/連絡/相談を行う」だ。ここでは立場別に報告・連絡・相談する相手の例を挙げている。

　5つ目から7つ目は具体的なセキュリティ対策について紹介している。「インシデント体制を整備し、対応を行う」「サーバーやクライアント、ネットワークに適切なセキュリティ対策を行う」「適切なバックアップ運用を行う」として具体的な方法が示されている。

　IPAとしてはこれらの解説書や活用法を、社内のセキュリティ教育などで活用してもらいたいという。確かにノウハウの乏しい中小企業にとっては格好の教科書になりそうだ。「基本と共通対策」についても独立したPDFとして公開している。一度目を通してみてはいかがだろうか。