事例で分かる、中堅・中小企業のセキュリティ対策【第14回】

クラウド型セキュリティサービスの価値を、「従業員任せにした最悪の事態」から考える

サイバー攻撃対策を従業員の力量に任せるのは危険です。IT資産のセキュリティ対策を一元管理する「クラウド型セキュリティサービス」のメリットを解説します。

公開 2018年02月19日 05時00分

更新 2018年02月19日 16時23分

著者

那須慎二

[船井総合研究所]

印刷する連載新着通知を受け取る

連載について

情報セキュリティ対策をしたくても、ITに詳しい人が社内外にいなくて困っている中堅・中小企業は多いのではないでしょうか。「知識不足」と「ヒト、モノ、カネ不足」の問題が目の前にあっても、対策は待ったなしの状況。予算を握る上司を説得するために、サイバー攻撃の事例を紹介しながら、その効果的な対策につながる情報セキュリティ製品を分かりやすく解説します。

事例で分かる、中堅・中小企業のセキュリティ対策（連載インデックス）

アップデートを従業員任せにしていると起きる「最悪のシナリオ」とは

　あなたの会社では、Windowsのアップデート機能「Windows Update」の実行やセキュリティパッチの割り当て、ウイルス対策ソフトウェアのアップデートなどを、どのように運用、管理していますか。

　組織的に一元管理するのが理想ですが、中小企業でありがちなのは、セキュリティ対策を個人任せにしてしまう、ということです。エンドポイントセキュリティ対策では、Windows Updateの実行やセキュリティパッチの適用、ウイルス対策ソフトウェアの定義ファイルアップデートは基本中の基本です。これらの実施でセキュリティリスクは目に見えて軽減するにもかかわらず、対策を個人任せにしてしまい、対策を実施していない端末が脆弱（ぜいじゃく）になり被害が拡大してしまう可能性があるのです。

　筆者は先日、次のような相談を受けました。

「Windowsのアップデートやセキュリティパッチの割り当ては従業員に任せています。『セキュリティパッチが出たら、必ず実施するように』と伝えているのですが、どうやらアップデートしていないことも多々あるようなんです。最新状態にアップデートされているかどうかを確認するために、月に数回は机のPCを見回って、きちんとできているかどうか確認しているんです。他に何かいい方法はありませんか」

併せて読みたいお薦め記事

クラウド型のセキュリティサービスについてもっと詳しく

今理解すべき「CASB」の実力

　IT資産を一元管理する方法は多数あるのですが、やり方が分からなければ、対処のしようがありません。ITリテラシーやセキュリティリテラシーが低い従業員の場合、セキュリティパッチはおろか、Windows Updateのことも知らない、というケースも考えられます。

　仮に個人に管理を任せる場合は、社内でセキュリティ教育をしっかりと施して、セキュリティパッチやWindows Updateの必要性を感じてもらい、業務ルーティンの1項目として実施するように仕組み化する必要があります。

　次のようなケースもありました。セキュリティ対策を個人任せにすることで、比較的ITリテラシーの高い従業員が自らセキュリティの脆弱性を作ってしまった事例です。

「全ての端末にウイルス対策ソフトウェアを導入しています。その中には、不必要なWebサイトへのアクセスを禁止するソフトが入っているんですが、ある従業員はITスキルが高く、Webサイトへのアクセス禁止設定を自分で解除してしまうんです。どうもその従業員は業務時間中にグロテスクなWebサイトを見ているらしく、他の従業員が嫌な気分になっているんです。どうすればいいでしょうか」

　ITスキルが比較的高い従業員の場合、このように勝手にPCの設定を変更してしまうケースが起こり得ます。周囲に迷惑を掛けるだけでなく、Webサイトへのアクセス禁止設定を自ら解除しているのですから、その人が会社にセキュリティホールを作っているような状態で、大変危険です。

　このケースの場合、「Active Directory」のようなユーザー認証の仕組みを採用しておらず、エンドポイントにおけるソフトウェアの設定変更などを個人でできるようにしているのも問題です。

ソフトウェアによってWebサイトへのアクセス禁止制御をするのみならず、Active Directoryの認証によって、一般職員がソフトウェアの設定変更などをできないようにする
ポリシー設定によって、該当するセキュリティ設定を強制的に付与する

　これらのような複数の対策を同時に実施することで、セキュリティレベルを上げる必要があるでしょう。

　いずれにせよ、組織としてのセキュリティレベルを高めることが必要です。セキュリティ対策は個別に任せるのではなく、一元管理をすることを前提に取り組みを進めてください。ここでもう一度、筆者がお勧めする、中小企業向けの基本的なセキュリティ対策をまとめます。

中小企業の基本的なセキュリティ対策（7項目）

セキュリティ対策の基本、ウイルス対策ソフトウェアでマルウェア防御を実行する
脆弱性を狙った攻撃が後を絶たないからこそ、エンドポイントの脆弱性を徹底的につぶす
メールを入り口とした身代金要求型マルウェア（ランサムウェア）や標的型攻撃、フィッシング攻撃はメールフィルタリングでつぶす
ネットワークの出入り口で、あらゆるサイバー攻撃を統合的に防御する統合脅威管理（UTM）を導入する
データさえ守れば事業をつぶさずに済むからこそ、“転ばぬ先の”バックアップ対策を実行する
Webサイトの脆弱性をつぶし、Webアプリケーションファイアウォール（WAF）導入による対策強化で、Webサイトを守る
セキュリティリテラシーを高めるために、従業員へのセキュリティ教育を実施する

　以上7項目の対策を徹底することで、中小企業のサイバーセキュリティレベルは確実に向上します。導入方法としては、ソフトウェアやアプライアンスなどを自社で購入して運用する形態（オンプレミス）以外に、最近ではクラウドによるサービス提供も増えてきました。クラウドサービスとしてセキュリティツールを利用する選択肢が加わったのは喜ばしいことです。

　数あるクラウド型セキュリティサービス（詳細は後述）のうち、中小企業にとって身近なのは、クラウド型ウイルス対策サービスやクラウド型IT運用管理、資産管理サービスといったエンドポイントセキュリティのクラウドサービスでしょう。次項でクラウド型エンドポイントセキュリティサービスを例に、クラウド型セキュリティサービスを利用するメリットを見てみましょう。

クラウド型セキュリティサービスを利用するメリット

サーバなどの機器購入などが不要になるため、初期導入コストを削減できる

　エンドポイントを一元管理するオーソドックスな方法は「クライアントサーバ型」です。社内LANにサーバを立て、サーバで運用管理やセキュリティパッチの配信などを適宜実施する方法です。この場合、導入時に機器購入が必要になるため、初期投資が発生する場合があります。自分たちで機器のメンテナンス（ハードウェアの故障対策や、サーバそのもののパッチの適用など）をする必要もあります。

　クラウド型セキュリティサービスならば、基本的には月々の利用料のみで活用できるため（ベンダーに導入を依頼しない場合）、初期導入コストを抑えることができます。サービス提供ベンダーがハードウェアのメンテナンスなどもしているため、ユーザー側が運用保守の煩わしさから解放されるのもメリットでしょう。

Webブラウザで管理画面を閲覧できるため、一元管理がしやすい

　クラウド型セキュリティサービスのほとんどは、Webブラウザで利用可能な管理機能を持っています。管理すべきクライアント端末がずらずらとWebブラウザに表示され、管理者は端末情報を確認したり、設定を変更したりするだけで済みます。Webブラウザさえあれば、いつでもどこでも一元的な管理ができるようになります。

　地方拠点などがある場合にも、あらかじめVPN（仮想プライベートネットワーク）を構築する必要がなく、インターネットとWebブラウザさえあれば、離れている拠点にある端末のセキュリティ対策を簡単に管理できるようになるので便利です。出張が多い従業員にノートPCを持たせているような場合でも同様に、端末のセキュリティ管理ができるようになります。

端末台数や、利用者数に応じた課金制が一般的で、セキュリティコストを平滑化できる

　導入前の検討事項として、特に重要になるのがコスト面でしょう。クライアントサーバ型の運用管理をする場合、導入の際には機器のスペックなどに応じて金額が大きく変動することがあります。クラウド型サービスは端末台数や利用者数に応じた毎月の課金制になっているケースが一般的ですので、セキュリティコストを平滑化できます。

中小企業でも導入しやすいクラウド型セキュリティサービス

　以上、クラウドサービスによるメリットを考慮した上で、クラウド型セキュリティサービスを選定することも視野に入れ、セキュリティ対策の導入を検討することをお勧めします。

　前述した、筆者がお薦めする中小企業の基本的なセキュリティ対策（7項目）を具現化するサービスも含め、例えば次のようなセキュリティサービスがクラウドで利用できます。

クラウド型ウイルス対策サービス
クラウド型脆弱性対策サービス（Windows UpdateやWebブラウザの最新化、「Java」や「Adobe Flash Player」などの更新）
ユーザー認証、ID管理、シングルサインオンサービス
データのやりとりが追跡できたり、配布後のデータを削除できたりするファイル共有サービス
スパムメールなどのメールフィルタリングサービス
クラウドに重要データを退避させるクラウド型バックアップサービス
クラウド型WAF
クラウド型統合脅威管理（UTM）サービス
クラウド型IT運用管理、資産管理サービス

　導入がしやすく、コストの平滑化ができ、セキュリティ対策を一元管理できるようになるクラウド型セキュリティサービス。今後セキュリティ強化を考えている方は、検討してみてはいかがでしょうか。

まとめ：セキュリティ担当者は、こんなふうに上司を説得しよう

セキュリティ対策を個人任せにするのは危険。セキュリティパッチを当てていなかったり、勝手にセキュリティ対策を外してしまったりするリスクがある
会社として、セキュリティ対策を一元管理する仕組みを導入すべきだ。近年はオンプレミスだけでなくクラウドサービスも視野に入れることができる
クラウド型セキュリティサービスは導入がしやすく、コストの平滑化ができ、一元管理もできるため検討しやすい

那須慎二（なす・しんじ）

大手情報機器メーカーを経て船井総合研究所に入社。ネットワークセキュリティの安全対策と解決策に詳しい。「日本一分かりやすいセキュリティ」をモットーに、中小企業を対象にしたサイバーセキュリティ問題や、対策に関する啓発活動を実施。実際に、全国の地域各社で年間100回以上開催する講演は「今まで聞いた中で一番分かりやすい！」と好評を得ている。著書『小さな会社のIT担当者のためのセキュリティの常識』（ソシム）がある。