事例で分かる、中堅・中小企業のセキュリティ対策【第14回】

クラウド型セキュリティサービスの価値を、「従業員任せにした最悪の事態」から考える

サイバー攻撃対策を従業員の力量に任せるのは危険です。IT資産のセキュリティ対策を一元管理する「クラウド型セキュリティサービス」のメリットを解説します。

　あなたの会社では、Windowsのアップデート機能「Windows Update」の実行やセキュリティパッチの割り当て、ウイルス対策ソフトウェアのアップデートなどを、どのように運用、管理していますか。

　組織的に一元管理するのが理想ですが、中小企業でありがちなのは、セキュリティ対策を個人任せにしてしまう、ということです。エンドポイントセキュリティ対策では、Windows Updateの実行やセキュリティパッチの適用、ウイルス対策ソフトウェアの定義ファイルアップデートは基本中の基本です。これらの実施でセキュリティリスクは目に見えて軽減するにもかかわらず、対策を個人任せにしてしまい、対策を実施していない端末が脆弱（ぜいじゃく）になり被害が拡大してしまう可能性があるのです。

　筆者は先日、次のような相談を受けました。

　IT資産を一元管理する方法は多数あるのですが、やり方が分からなければ、対処のしようがありません。ITリテラシーやセキュリティリテラシーが低い従業員の場合、セキュリティパッチはおろか、Windows Updateのことも知らない、というケースも考えられます。

　仮に個人に管理を任せる場合は、社内でセキュリティ教育をしっかりと施して、セキュリティパッチやWindows Updateの必要性を感じてもらい、業務ルーティンの1項目として実施するように仕組み化する必要があります。

　次のようなケースもありました。セキュリティ対策を個人任せにすることで、比較的ITリテラシーの高い従業員が自らセキュリティの脆弱性を作ってしまった事例です。

　ITスキルが比較的高い従業員の場合、このように勝手にPCの設定を変更してしまうケースが起こり得ます。周囲に迷惑を掛けるだけでなく、Webサイトへのアクセス禁止設定を自ら解除しているのですから、その人が会社にセキュリティホールを作っているような状態で、大変危険です。

　このケースの場合、「Active Directory」のようなユーザー認証の仕組みを採用しておらず、エンドポイントにおけるソフトウェアの設定変更などを個人でできるようにしているのも問題です。

• ソフトウェアによってWebサイトへのアクセス禁止制御をするのみならず、Active Directoryの認証によって、一般職員がソフトウェアの設定変更などをできないようにする
• ポリシー設定によって、該当するセキュリティ設定を強制的に付与する

　これらのような複数の対策を同時に実施することで、セキュリティレベルを上げる必要があるでしょう。

　いずれにせよ、組織としてのセキュリティレベルを高めることが必要です。セキュリティ対策は個別に任せるのではなく、一元管理をすることを前提に取り組みを進めてください。ここでもう一度、筆者がお勧めする、中小企業向けの基本的なセキュリティ対策をまとめます。

事例で分かる、中堅・中小企業のセキュリティ対策

情報セキュリティ対策をしたくても、ITに詳しい人が社内外にいなくて困っている中堅・中小企業は多いのではないでしょうか。「知識不足」と「ヒト、モノ、カネ不足」の問題が目の前にあっても、対策は待ったなしの状況。予算を握る上司を説得するために、サイバー攻撃の事例を紹介しながら、その効果的な対策につながる情報セキュリティ製品を分かりやすく解説します。

この連載の記事をもっと見る

この記事の著者

関連記事

• 

  「クラウド型DDoS攻撃対策サービス」を賢く選ぶ“3つのポイント”とは？

• 

  どこでも“セキュアに働ける環境”の構築術、鍵を握る2つのITツールとは

新着ホワイトペーパー PR

• 製品資料
  [富士ソフト株式会社] 受注業務は既に変革のステージ　出遅れて競争力を失わないためのDX戦略
• 市場調査・トレンド
  [富士ソフト株式会社] 受注業務でありがち　「今は困っていない」と見直しを先送りにすることの弊害
• 製品資料
  [富士ソフト株式会社] 「B2B EC」選定を製品比較から始めると迷走する理由
• 技術文書・技術解説
  [SB C&S株式会社] 「Everpure FlashArray」技術詳細解説資料：概要から認証、サイジングまで解説
• 市場調査・トレンド
  [セコムトラストシステムズ株式会社] EDR導入を成功に導くロードマップ：選定／稟議／運用のつまずきを防ぐコツ