もはやツール頼みでは防ぎ切れない
個人の意識を高め、
組織としての防衛が必要

セキュリティ意識を
高める組織づくり

 さらに、こうしたログ取得や監視などのツールの導入に加えて、「従業員のセキュリティの感度を高める組織づくりが必要です」と舘野氏は強調する。

 例えば、通常の取引先のはずなのに、件名やフッターに不審な点があるメールが届いた場合。取りあえずはシステム部門に知らせるという行動が身に付いていれば、システム部門がメールの内容をチェックし、社内に攻撃の注意喚起を通達するといった対策が可能になる。昨今、標的型攻撃に備えた模擬メール訓練を実施する企業が増えているが、それは実被害を防ぐだけでなく、従業員の意識を高める効果ももたらす。

 また、従業員のセキュリティ意識の低さに起因する脅威もある。複数のWebサイトや社内システム利用時に忘れないように、同一のID、パスワードを使い回している人もいるだろう。

 こうした隙を突き、攻撃者が盗み取ったID、パスワードを悪用し、本人になりすまして不正アクセスする攻撃も多発している。そこで、パスワードの使い回しを禁止するなど、適切なパスワード管理を従業員に徹底する必要がある。

 情報セキュリティ対策で注意したいのが、PCの基本ソフトWindows XPの問題だ。4月9日にサポートが終了したが、XPで動作する業務システムを利用しているといった理由により、まだ使い続けている企業はないだろうか。

 セキュリティ対策が脆弱なPCは標的型攻撃の踏み台になるリスクも高まる。舘野氏は「どうしてもXPを使い続けなければいけないのであれば、用途を限定すべきです」と助言する。

 例えば、他の社内システムとネットワークを分けるほか、監視を厳重にするなど、XPを利用する部署のセキュリティ意識を高める必要があるという。

 攻撃がますます巧妙化する中、従来のセキュリティ対策ツールでは対応できない脅威があることを認識し、人的、組織的にカバーすることが重要になる。企業資産を守る情報セキュリティ対策の強化は、組織体制の見直しから始まるといえるだろう。