「できるところから始める」情報セキュリティ対策

情報セキュリティ対策は実施されていますか?　日々新しいウイルスや脅威が出現し、放っておくとリスクはどんどん増すばかり。ついつい後手に回ってしまう方も多いかもしれませんが、早期の対策が肝心です。まずはできるところから始めてみませんか?

（掲載日　2021/11/29）

「SECURITY ACTION」で情報セキュリティ対策を進めてみませんか?

最近の情報セキュリティリスクの傾向を確認しましょう！

　最近の情報セキュリティリスクの傾向について、『情報セキュリティ白書2021』で確認します。

　国内における情報セキュリティインシデント^*1状況に関し、注目された新たな脅威として、「新たなランサムウェア^*2」や「VPN製品の脆弱性^*3*4」、「クラウドサービスからの情報漏えい」、「ドコモ口座を利用した不正送金」が挙げられています（『情報セキュリティ白書2021』P14～15）。特に新型コロナウイルス感染症の影響により、テレワークやクラウドサービスの普及が急速に進む中で、それに情報セキュリティ対策が追い付いていない現状を見ることができます。

*1:情報セキュリティインシデント
情報セキュリティリスクが顕在化した事象のこと。具体的には、情報の漏洩・改竄・消失、システム機能の停止・性能低下など。
*2:ランサムウェア
故意に画面ロックやファイルの暗号化などをすることで、PCやファイルを使用できなくするコンピュータウイルスのこと。ランサムウェアは「ransom（身代金）」と「software（ソフトウェア）」を組み合わせた造語で、コンピュータウイルスにより使用できなくなったPCやファイルを復旧させる代わりに身代金を払うよう請求されることから、そう呼ばれている。
*3:VPN
Virtual Private Networkの略で、インターネット上で特定の人（同じ組織内の人など）のみが利用できる、仮想の専用ネットワークのこと。暗号化技術などを利用して構築する。一般的に安全性の高い通信方法とされるが、VPNで使用する機器などに脆弱性があれば、セキュリティの強度が低下するので、対策が必要になる。
*4:脆弱性
プログラムに内在する欠陥や弱点、盲点のことで、セキュリティ・ホールとも呼ばれる。情報の窃取や改竄、システム機能の低下などを狙う攻撃者は、こうした脆弱性を悪用してくる。脆弱性を解消する修正プログラム（パッチ）の提供などがあれば適用して、対策を講じると良い。

「SECURITY ACTION」とは？

　次に情報セキュリティ対策をどのように取り組んでいけばよいのかについて、独立行政法人情報処理推進機構（以下、IPA）の「SECURITY ACTION」の取り組みを基に説明していきます。

　「SECURITY ACTION」とは、“中小企業自らが、情報セキュリティ対策に取組むことを自己宣言する制度”（『中小企業の情報セキュリティ対策ガイドライン^*5』P14）のことで、取り組み目標によって「★一つ星」と「★★二つ星」の2段階があります。

　第1段階の「★一つ星」では、「情報セキュリティ５か条」に取り組みます。
　第2段階の「★★二つ星」では、「情報セキュリティ基本方針」の策定と「5分でできる！情報セキュリティ自社診断」に取り組みます。

*5:中小企業情報セキュリティ対策ガイドライン
独立行政法人情報処理推進機構（IPA）から公開されている、中小企業が情報セキュリティ対策に取り組む際の手順や手法をまとめたもの。第3版では、できるだけ専門用語を使用せず、ITにあまり詳しくない経営者にも理解しやすい表現となっている。これを参考に情報セキュリティ対策を進めると、効果的な対策を行うことができる。なお、付録には「情報セキュリティ5か条」や「5分でできる！情報セキュリティ自社診断」などがあるので、適宜、活用すると良い。

「情報セキュリティ５か条」に取り組んでみましょう！

　「情報セキュリティ５か条」は、『中小企業の情報セキュリティ対策ガイドライン』の付録にあります。その内容は、情報セキュリティリスクに対する基本的対策で、次の5項目です。

① OSやソフトウェアは常に最新の状態にしよう！
② ウイルス対策ソフトを導入しよう！
③ パスワードを強化しよう！
④ 共有設定を見直そう！
⑤ 脅威や攻撃の手口を知ろう！

　①は脆弱性対策です。先述した『情報セキュリティ白書2021』でも「VPN製品の脆弱性」が脅威の一つとして挙げられていました。ネットワークの安全性を確保するためにVPN製品を導入しても、ソフトウェアのバージョンが脆弱性のある古いままでは、逆に情報セキュリティ上の脅威を受けやすい状態になります。OSやソフトウェアの更新はこまめに行い、また脆弱性に関する情報も収集できる状態にしておく対策が必要です。

　②は既に実施している企業も多いとは思いますが、これも常に最新の状態にして、新しい種類のウイルスにも対応できるようにしておく必要があります。

　③パスワードは容易に推測できないものにし、また使い回さないことが重要です。最近では、強固なパスワードを自動生成できる機能がブラウザにあるので、利用してみるのも良いです。

　④関係のない人に情報を見られるような共有設定になっていないか、確認するものです。これに関連して、機密性の高い情報資産へのアクセスは、必要最小限の人や期間に限定しておくなどの対策もしておきたいです。

　⑤情報セキュリティに関する、最新の脅威や攻撃の手口を知ることは重要です。IPAでは、「脆弱性対策情報」などの情報発信や「情報セキュリティ安心相談窓口」などの相談対応を行っています。こうしたところから情報を収集すると良いです。

　以上の「情報セキュリティ５か条」に取り組むことで、「SECURITY ACTION」の「★一つ星」を宣言することができます。

「情報セキュリティ5か条」
（『中小企業の情報セキュリティ対策ガイドライン第3版』付録1より）

「情報セキュリティ基本方針」を策定しよう！

　さらに情報セキュリティリスク対策を進めるために、次は「★★二つ星」の取り組みを実施しましょう。まずは「情報セキュリティ基本方針」を策定します。

　「情報セキュリティ基本方針」は、自社の情報セキュリティに関する考え方、取り組みの姿勢などを内外に表明するための文書で、経営者が中心になって作成します。決まった書式があるわけではないですが、『中小企業の情報セキュリティ対策ガイドライン』の付録にあるサンプルを基に、自社の事業環境を踏まえて作成すると良いです。作成したら、自社WEBサイトなどに掲載し、従業員や顧客などの関係者に周知を行います。

「情報セキュリティ基本方針（サンプル）」
（『中小企業の情報セキュリティ対策ガイドライン第3版』付録2より）

「５分でできる！情報セキュリティ自社診断」に取り組んでみよう！

　次に「５分でできる！情報セキュリティ自社診断」により、情報セキュリティリスク対策の現状把握を行います。

　「５分でできる！情報セキュリティ自社診断」では、「情報セキュリティ５か条」にある基本的対策の実施状況に加え、「従業員としての対策」と「組織としての対策」の実施状況を確認します。対策が未実施であったり、実施が不十分であったりする項目があれば、解説編を参考に情報セキュリティの責任者・担当者および経営者が対策の検討を行います。この時、従業員からも意見を聴取して、より職場や業務の環境にあった対策にしていきます。対策が決まったら、それを従業員に周知して実行していきます。その周知方法については、『中小企業の情報セキュリティ対策ガイドライン』の付録にある「情報セキュリティハンドブック」を利用すると良いです。

　以上、「情報セキュリティ基本方針」の策定と「５分でできる！情報セキュリティ自社診断」の二つに取り組むことで、「SECURITY ACTION」の「★★二つ星」を宣言することができます。

「５分でできる！情報セキュリティ自社診断」診断編
（『中小企業の情報セキュリティ対策ガイドライン第3版』付録3 P3より）

「SECURITY ACTION」の取り組みをPRしよう！

　「★一つ星」または「★★二つ星」を宣言することで「SECURITY ACTION」のロゴマークを利用することができます。ウェブサイトやポスター、パンフレット、名刺といった自社宣伝ツールに使用し、対外的に情報セキュリティリスク対策に積極的に取り組む企業としてPRすることができます。

SECURITY ACTIONロゴマーク
（IPAのWEBページ「SECURITY ACTION 自己宣言事業者の申込方法」
（https://www.ipa.go.jp/security/security-action/mark/index.html）より）

できるところから始めよう！

　情報セキュリティ対策は「できるところから始める」ことが大切です。まずは「情報セキュリティ５か条」から始めて、徐々に情報セキュリティ対策の取り組みを充実させていくと良いです。また、取り組みを進めるうえで生じた課題の解決などは、中小企業活力向上プロジェクトネクストなどを利用して、中小企業診断士などの専門家に相談してみるのも良いです。

＜参考URL＞
『情報セキュリティ白書』　https://www.ipa.go.jp/security/publications/hakusyo/2021.html

『中小企業の情報セキュリティ対策ガイドライン』　https://www.ipa.go.jp/files/000055520.pdf

「SECURITY ACTION」　https://www.ipa.go.jp/security/security-action/sa/index.html

「情報セキュリティ５か条」　https://www.ipa.go.jp/files/000055516.pdf

「５分でできる！情報セキュリティ自社診断」　https://www.ipa.go.jp/files/000055848.pdf

　情報セキュリティ基本方針（サンプル）　https://www.ipa.go.jp/files/000072146.docx

「情報セキュリティハンドブック」（ひな形）　https://www.ipa.go.jp/files/000055529.pptx