コラム サイバーセキュリティとは？基本と対策を初心者にも分かりやすく解説

サイバーセキュリティとは、PCやサーバー、スマートフォンといったIT機器や、それらが接続されるネットワーク、そしてそこに保存されているデータ（情報資産）を、サイバー攻撃をはじめとする様々な脅威から守るための技術や取り組み全般を指します。

その目的は、脅威による情報の漏洩、改ざん、破壊などを防ぎ、システムを安定的に利用できる状態を維持することにあります。

サイバーセキュリティとよく似た言葉に「情報セキュリティ」があります。両者は密接に関連しますが、守るべき対象の範囲に違いがあります。

情報セキュリティが、紙媒体の書類や人間の記憶なども含めた、より広範な「すべての情報資産」を対象とするのに対し、サイバーセキュリティは、その中でも特にコンピュータやネットワーク上のデジタルデータといった「サイバー空間」に特化した対策を指します。

近年、サイバーセキュリティの重要性がかつてないほど高まっています。その背景には、私たちのビジネス環境の劇的な変化があります。

企業の基幹システムがクラウドへ移行し、IoT機器が工場で稼働するなど、あらゆるビジネス活動がデジタルデータを前提とするようになりました。守るべき重要な情報資産がサイバー空間に集中しているため、一度の攻撃が事業全体に与えるダメージも甚大化しています。

テレワークの普及により、従業員は自宅や外出先など、セキュリティレベルが必ずしも高くない環境で業務を行うようになりました。これにより、従来の「社内は安全、社外は危険」という境界型セキュリティモデルが崩壊し、新たな脅威への入口が生まれています。

サイバー攻撃は、もはや一部のハッカーによる愉快犯的なものではありません。ランサムウェア攻撃のように、金銭を目的とした犯罪組織による「ビジネス」として確立されています。攻撃者は常に新しい技術や手法を取り入れており、その手口はますます巧妙化・高度化しています。

サイバーセキュリティ（および情報セキュリティ）を考える上で、基本となるのが「CIA」と呼ばれる3つの要素です。これは、守るべき情報資産がどのような状態にあるべきかを示したもので、セキュリティ対策の指針となります。

優れたセキュリティ対策とは、この「機密性」「完全性」「可用性」の3つのバランスを、事業の特性に合わせて適切に維持・管理することと言えます。

企業を狙うサイバー攻撃には、様々な種類が存在します。ここでは、特に代表的なものを紹介します。

マルウェアとは、コンピュータウイルスやワーム、トロイの木馬、スパイウェアといった、悪意のあるソフトウェアの総称です。中でも近年猛威を振るっているのが「ランサムウェア」で、感染したコンピュータのデータを暗号化して使用不能にし、その復旧と引き換えに身代金を要求します。

フィッシング詐欺とは、金融機関や取引先、公的機関などを装った偽のメールを送りつけ、本物そっくりの偽サイトに誘導し、IDやパスワード、クレジットカード情報などを入力させて盗み出す攻撃です。盗まれた情報は、不正アクセスや金銭詐取に悪用されます。

不正アクセスとは、システムの脆弱性を悪用したり、フィッシングなどで盗み出した認証情報を使ったりして、正規の権限なくサーバーや社内ネットワークに侵入する攻撃です。機密情報の窃取や、システムの破壊、他の攻撃への踏み台として利用されることがあります。

DoS/DDoS攻撃とは、特定のWebサイトやサーバーに対して、大量の処理要求を送りつけることでシステムを過負荷状態にし、サービスを停止に追い込む攻撃です。ECサイトなどが標的になると、ビジネスに直接的な打撃を与えます。

サプライチェーン攻撃とは、セキュリティ対策が強固な大企業を直接狙うのではなく、その取引先であるセキュリティの脆弱な中小企業を踏み台として、最終的な標的企業へ侵入する攻撃です。自社だけでなく、取引先全体のセキュリティレベルを考える必要性が高まっています。

では、これらの脅威から企業を守るためには、具体的にどのような対策を講じればよいのでしょうか。対策は「技術的」「組織的」「人的」の3つの側面に大別されます。

ファイアウォールや次世代アンチウイルスソフトといった基本的なツールに加え、近年ではEDR（Endpoint Detection and Response）によるPC端末の監視強化や、ゼロトラストの考え方に基づいたアクセス制御やアカウント管理など、多層的な防御の仕組みを構築することが重要です。

【関連記事】海外拠点におけるIoT向けセキュリティ対策「ゼロトラスト」とは？実現のポイント

全社的な情報セキュリティポリシー（基本方針や行動指針）を策定し、経営層のリーダーシップのもとで運用することが不可欠です。また、万が一インシデントが発生した際に、迅速に対応するための専門チーム（CSIRT）を設置し、報告フローや対応手順を定めておくことも求められます。

セキュリティ対策で最も弱い環（weakest link）は「人」であるとよく言われます。不審なメールを開かない、安易にフリーWi-Fiに接続しない、推測されにくいパスワードを設定するといった、従業員一人ひとりの意識と行動が、組織全体のセキュリティレベルを大きく左右します。定期的な教育や、標的型攻撃メール訓練などを通じて、全従業員のセキュリティリテラシーを高めることが重要です。

企業だけでなく、私たち個人も日々のインターネット利用において、基本的なセキュリティ対策を実践することが求められます。

• パスワードの強化と使い回しの禁止：長く、複雑で、推測されにくいパスワードを設定し、サービスごとに異なるパスワードを使用しましょう。
• 多要素認証（MFA）の有効化：パスワードに加えて、SMSや認証アプリによる追加の認証を設定することで、不正ログインのリスクを大幅に低減できます。
• ソフトウェアのアップデート：OSやアプリケーションは、脆弱性を修正するセキュリティパッチが提供されたら、速やかにアップデートしましょう。
• 不審なメールやリンクを開かない：身に覚えのないメールの添付ファイルやURLは、安易に開かない習慣をつけましょう。