企業ITにおけるエンドポイントセキュリティは一般的に、厄介なPOSやその他の脆弱性、関連するエンドユーザーを狙った攻撃に突然見舞われるまで、全てが良好に推移する。上述の小売業者や、それらと似た形で被害にあった企業では、クレジットカード業界のセキュリティ標準であるPCI DSSで要求される脆弱性スキャンでも、重大な欠陥の兆候は見られなかったのではないか。

　これらの企業は、よく知られているセキュリティのベストプラクティスに従っていて、コンプライアンス監査の結果も完璧だったのだろう。少なくとも、被害に遭うまでは。

　われわれの情報セキュリティ対策は間違った方向に進んでいることになるが、軌道修正は可能だ。企業は長年、教科書通りのセキュリティ侵害に苦しんでおり、その経験からは参考になるさまざまなヒントが得られるからだ。

　これまでのところ、「犯罪者が広く網を張り、弱点を抱える獲物を見つけ、たやすくそこに付け込む」という事態が頻発している。犯罪者は、企業のデスクトップやPOSシステム、その他の端末が基本的に攻撃に無防備なことを知っているからだ。

　小売りやホスピタリティサービス（航空、鉄道、旅行、ホテル、飲食、ブライダルなど）といった業種では、企業のセキュリティ担当者にとって形勢は芳しくない。社内では時間管理の観点から、最も見返りの大きい業務に重点を置くことを求められるからだ。そこでセキュリティ対策が手薄になったPOSが、サイバー犯罪者に狙われることになる。

　これらの業種の離職率が高いことも、事態をさらに厄介にしている。後から考えれば、脆弱性は明白に思えるにもかかわらずだ。

　歴史を繰り返してはならない。エンドポイントの保護に携わるセキュリティ担当者は、以下に示すこれまでのPOSセキュリティ侵害の教訓に学ぶ必要がある。

対策1. 店頭で使うコンピュータも、他の端末と何ら変わらないということを念頭に置く

　システムがネットワークにあり、IPアドレスやURLを持っていれば、攻撃の格好の標的になる。こうしたシステムは全て、一般のデスクトップPCと同じく、エンドポイントセキュリティ対策の対象に含めるようにする。昔ながらのダイヤルアップやT1（米国のデジタル専用線規格）でインターネットに直接接続されているスタンドアロンPOSシステムも忘れないこと。

対策2. エンドポイントセキュリティのリスクを理解する

　POSシステム、デスクトップPC、ノートPC、タブレットでは、機密情報を処理したり保存したりすることがある。LANとデータセンターは安全かもしれないが、端末には通常、最大の脆弱性が潜んでいる。その原因としては、サードパーティーソフトウェアのパッチの適用漏れ、弱いパスワード、エンドユーザーによるファイルのダウンロードが挙げられる。これらのビジネスリスクを克服するには、一貫したセキュリティテストを定期的に実施するしかない。

対策3. セキュリティポリシーを強制する適切な技術を導入する

　多くのITセキュリティポリシーがあっても、紙に印刷したり、その紙をバインダーにとじたりしていては価値がない。ポリシーの実効性を確保するため、ホワイトリストの作成やData Loss Prevention（DLP）、さらにはネットワークベースのコンテンツフィルタリングや高度なマルウェア保護など、必要なエンドポイントセキュリティ技術を（もちろん、必要性を丁寧に説明した上で）要求しよう。

　ローカル管理者権限を解除し、サードパーティーパッチの管理プロセスを確立するだけでも、端末の健全性が格段に向上する。だが私の経験では、従業員は端末が問題なく機能していることが分かっていても、つい自分でコントロールしようとして失敗し、四苦八苦してしまうようだ。

対策4. インシデントレスポンス（事故対応）計画が必要

　何がインシデント（セキュリティ上の事故）に相当するかを定義し、厳しい状況になった場合にどのような手を打つかをドキュメント化しておく。やるべきことはこのようにシンプルであり、それをやらない言い訳は通用しない。

対策5. エンドポイント／POSセキュリティが機能するように総力を結集して取り組む

　デスクトップ管理者は、自社の全てのセキュリティ問題を解決することはできないだろう。特に、POSなどのシステムを遠隔地に展開している場合はそうだ。

　それでも、重要な役割を果たすことは確かである。経営者とユーザーの声に耳を傾け、その関心を高め、両者との関係を深めて、自社に最も必要なものが得られることを目指すようにする。

対策6. 絶対に警戒を緩めない

　データ流出に見舞われた企業の多くは、何度も被害に遭っている。こうした企業では、最初にセキュリティ侵害を受けた後、セキュリティスキャンで「問題なし」という結果が出続け、そのために対策が全く強化されなかったのではないかと考えられる。現状への安住は、IT部門の最大の敵の1つだ。

　デスクトップセキュリティを継続的に向上させるためには、できることをする必要がある。それが評判の悪い「Windows 8」へのアップグレードのような思い切った策を講じることを意味するとしてもだ。このOSはまんざら捨てたものではなく、前のバージョンより安全性も高い。

　いずれにしても、手をこまねいていれば、次の大規模な侵害に見舞われかねない。こうした侵害がまた起こるのは確実だろうが、被害に遭わないためには、自社のエンドポイントセキュリティを適切に確保し、付け入る隙を与えないようにしなければならない。