近年、情報漏洩や不正アクセスのニュースが相次いで報告されるようになっています。サイバー攻撃の標的となるのは、大企業だけとは限りません。むしろ、大企業の取引先の小さな企業を入口として、大規模な攻撃に繋がるケースが急増しています。

しかも、こうしたサイバー攻撃の標的には、UTMやEDRを導入し、多要素認証も設定するなどセキュリティ対策に積極的だった企業も含まれています。実は、近年のインシデントは、「対策がなかった」のではなく、「対策はあったが、適切に設定されていなかった」というケースが多いのです。

そこで今回は、セキュリティ製品を導入したあと、どのように運用するべきかについて説明します。

「入れたから安心」が最も危険

セキュリティ対策を検討する際、「UTMを入れたから外部対策は大丈夫」「ウイルス対策ソフトを入れているから安心」「クラウドはベンダーが守ってくれる」などの判断をすることがあります。こうした考え方は間違っているわけではありませんが、リスクも潜んでいます。

セキュリティ製品は「適切に設定・運用」することで効果を発揮します。しかし実際には「初期設定のまま運用している」「アラートが表示されているのに誰も確認していない」「機能が一部しか有効になっていない」という企業も少なくありません。これでは鍵付きの金庫を施錠していないのと同じです。

不適切な運用例としては、次のようなものがあります。

多要素認証 (MFA) が一部ユーザーに適用されていない

Microsoft 365やGoogle WorkspaceなどでMFAを導入する企業が増えています。しかし、「管理者アカウントは未設定」「一部の部署だけ除外」といった運用をしているケースをよく目にします。全体の99％が安全でも、1％の脆弱性があれば突破口となってしまうかもしれません。

セキュリティ製品のログを誰も見ていない

UTMやEDRには高度な検知機能があり、検知された脅威はログとして記録されます。しかし、ログを確認するのはトラブルが発生した時だけで、アラート (警告) が通知されるまで確認しないという運用をしている企業も少なくありません。アラート通知が情シスの限られた人物にしか送られず、アラートに気付くまでに時間が掛かることもあります。ログの保存期間が短く、アラートに気付いた時には既にログが失われていたというケースもあります。

さらに深刻なのは、アラートが通知されても、「業務に影響がないので無視」「意味が分からないのでそのまま」「そもそも確認方法がわからない」といった状況です。これでは、高度な検知機能を持ったセキュリティ製品を導入する意味がありません。

管理者アカウントが多すぎる

トラブル対応のために一時的に管理者権限を付与し、そのまま戻していないケースもよく目にします。「全員が管理者」に近い状態では、操作ミスや内部不正のリスクが高まります。

なぜ不適切な運用が放置されるのか

セキュリティ製品の設定や運用が不適切なまま放置される最大の原因は、情シスのリソース不足です。社内の問い合わせ対応に多くの時間をとられてしまうため、セキュリティ製品の設定を見直す時間が確保できないという声はよく耳にします。また、セキュリティ製品が多機能化しているため、「全部の機能を理解して使う」ということ自体が難しくなっています。

また、ログを取得していても、ログの意味を理解できる人材がいなければ意味がありません。つまり、「セキュリティ製品は導入したものの、運用体制が追いついていない」という課題を抱えた企業が多いということです。

ここで重要なことは、この状況を「情シスの努力不足」として考えるべきではないということです。この問題は「情シスの人員を確保していない」「適切な運用体制を確立していない」「問い合わせ対応の優先順位が高い」という組織としての意思決定にあります。

セキュリティインシデントの影響は、「業務停止」「取引先への影響」「信用低下」「損害賠償」に繋がる可能性があります。これは完全に経営リスクであり、セキュリティはコストではなく、事業継続のための投資なのです。

「積むセキュリティ」から「回すセキュリティ」へ

セキュリティ製品を「入れている」ことと、システムが「守れている」ことは同じではありません。セキュリティ製品を積極的に導入している企業ほど、「うちは大丈夫」という感覚を持ちやすくなります。しかし実際の事故の多くは、「設定していなかった」「更新していなかった」「誰も見ていなかった」という、小さな運用の穴から始まります。

こうした不適切な運用を防ぐためには、何から始めればよいのでしょうか。その答えは意外にシンプルで、「新たな機能を増やす前に、今ある機能を使えているかを確認する」ことにあります。これからのセキュリティ対策は製品を増やす「積むセキュリティ」ではなく、セキュリティ製品を適切に運用する「回すセキュリティ」へのシフトです。そのためにも、以下のような機能や運用の棚卸が重要になります。

MFAはすべてのアカウントに適用されているか
管理者アカウントは最低限の数に抑えられているか
外部共有のルールは統一されているか

セキュリティ対策は“対応業務”ではなく、“定常業務”です。トラブルが発生してからでは手遅れになるケースが圧倒的に多いため、日頃から定常的に状況を把握できる体制を確立することは急務といえるでしょう。

セキュリティ製品のログを正しく理解できる人材を確保する
情シスの運用を業務時間として確保し、「見る時間」を設定する
週1回や月1回など定期的なログ確認日を設定する
アラートの通知先は共有アドレスにする
セキュリティ人材の確保が難しい場合には、専門企業に相談する

これらは間違いなく経営課題であり、経営層こそセキュリティ対策に関心を持つべき理由でもあります。定期的にセキュリティ設定の報告を受け、「どのようなセキュリティ製品を導入しているか」よりも、「どのような運用をしているか」を確認してください。

セキュリティ人材の確保が難しく、社内で適切な運用ができないと判断した場合には、外部の専門企業に委託する方法もあります。いずれにしても、セキュリティを情シスや専門企業に丸投げしない企業文化こそが、もっとも効果のあるセキュリティ対策であることは間違いありません。

関連記事：#セキュリティ用語の基礎知識｜意外と知らない「多要素認証」「二段階認証」の違いとは？
https://hypervoice.jp/certification

関連記事：IT人材不足の解決に　情報システム代行サービス
https://hypervoice.jp/HDs4ggXj

まとめ

セキュリティ製品を導入していても、適切に運用されていないケースが多い
セキュリティ対策は対応業務ではなく定常業務
人材確保が難しい場合には、外部の専門企業に相談する