テレワークに代表されるように、業務を遂行する環境は社内にとどまらなくなっており、「社内LANに接続しているから安全」とは言い難い時代になっている。

アカマイ・テクノロジーズの中西一博氏

　そうしたIT環境に対する一つの解決策として、Webセキュリティに詳しいアカマイ・テクノロジーズの中西一博氏は「ゼロトラスト」アプローチによるセキュリティ強化を提案する。ゼロトラストとは、社内LANの内外を問わず、サービスへのログイン時など必要なときにユーザーを認証する考え方だ。これを実現する製品には、ID管理ツールやシングルサインオンツールなどがある。

　私物を含むモバイルデバイスのセキュリティ対策には、EMM（エンタープライズモビリティ管理）製品が役立つ。アプリケーションやデータの管理、業務システムへのリモートアクセス、紛失時に備えたリモートワイプなど、EMM製品は幅広い機能を備えているため、自社要件を精査してから製品を選ぶのが望ましい。

“それらしい”偽のWebサイトやフィッシングメールに注意

トレンドマイクロの岡本勝之氏

　「攻撃者の中には、オリンピックを悪用したフィッシングサイトを設置し、閲覧者の気を引こうとする動きがある」と、トレンドマイクロのセキュリティエバンジェリストである岡本勝之氏は説明する。岡本氏によれば、同社はURLに「olympic」などの文字列を含む“それらしいドメイン”の取得数が増加する動きを確認しており、2019年の改元時にも似たような現象が見られたという。

　岡本氏によると、2019年8月時点ではオリンピックを悪用したフィッシングメールはまだ確認されていないという。ただし昨今は企業の幹部を装って不正送金を仕向ける「ビジネスメール詐欺」（BEC）など、メールに起因するサイバー犯罪の被害が相次いでいる。企業にとってメールセキュリティが懸念すべき脅威であることに代わりはない。

フィッシングサイトやフィッシングメールの対策

　Webブラウザのセキュリティ機能やURLフィルタリング機能を使うことで、フィッシングサイトの疑いがあるWebサイトへのアクセスを制限できる。エンドユーザーがWebサイト利用時にURLを確認し、正規のドメインであるかどうかを確認することも重要だ。

　「業務に関わる文章で人をあおる詐欺メールに、100％引っ掛からないようにするのは難しい」と岡本氏は語る。こうした人の心理の隙を突く攻撃手法を「ソーシャルエンジニアリング」と呼ぶ。これを防ぐには従業員教育によるセキュリティ意識の周知が重要だ。有害なメールを検知し、警告文の付与や本文中のリンク除去、添付ファイルの無害化を実行するメール無害化製品も、有効な防御策となる。

日々のセキュリティ対策が一番の対策になる

　国際的な大型イベントを契機にサイバー攻撃が活発化することは歴史が示す事実だ。だがIT化が進む中で、そうしたイベントや社会的行事の有無にかかわらず、企業はセキュリティをますます強固にしていかなければならない。今後どのような点に注意してセキュリティ対策をすればよいだろうか。

　「日々のセキュリティ対策を確実に実施することが一番の対策になる」というのが、専門家に共通する見解だ。Webセキュリティベンダーのサイバーセキュリティクラウドで最高技術責任者（CTO）を務める渡辺洋司氏は「『2020年だから、オリンピックだから何かやるべき』という認識ではなく、日頃から自社の資産の棚卸しやリスク評価を実施すべきだ」と注意喚起する。資産管理ツールやコンサルティングサービスを使って自社の現状を把握し、それに応じて事業継続計画（BCP）の整備やセキュリティ製品／サービスの導入を進めるとよいだろう。

　特に人的・金銭的リソースが限られる中堅・中小企業については、「優先して守るべきものがどこにあるかを把握し、見極めた上で注力的に保護することが大切」だと岡本氏は助言する。

　もう一つの共通見解としては「多層防御の導入」が挙がる。高度化するサイバー攻撃に対しては、侵入を防ぐだけでなく、侵入されたことを前提とした脅威の検出・除去など、複数フェーズでの防御が不可欠だ。エンドポイントやネットワーク、クラウドサービスのアカウントなど、攻撃者の侵入口となるさまざまな要素に対するセキュリティ対策も欠かせない。

　「今回の大会をきっかけにしたサイバー攻撃は確実に、かつ過去よりも大規模なものが起こるだろう」と岡本氏は予測する。実際に2018年2月開催の第23回オリンピック冬季競技大会（平昌冬季オリンピック）では、2016年の11月ごろからサイバー攻撃が始まっていたという。大規模なサイバー攻撃だけでなく、今後危機をもたらすさまざまな脅威に対抗するために、本稿の情報が一助となれば幸いだ。