不正送金や支払先改ざんを引き起こす
RPAで深刻化、仕事の手順を勝手に変える「ビジネスプロセス詐欺」（BPC）とは？
企業の支払いフローを改ざんし不正送金させる「ビジネスプロセス詐欺」（BPC）のリスクが、ロボティックプロセスオートメーション（RPA）ツールの普及とともに増加する恐れがある。具体的な対策は何だろうか。
業務プロセスを自動化し、効率的な業務の遂行を実現する「ロボティックプロセスオートメーション」（RPA）ツールが企業に広まりつつある。RPAツールは業務効率化といったメリットを企業にもたらす一方で、使い方によっては新たなリスクを生み出してしまう可能性がある。RPAツールの運用に伴うリスクと、その対策を紹介する。
業務プロセスを勝手に改変するビジネスプロセス詐欺（BPC）
企業を狙ったサイバー攻撃の一つに「ビジネスプロセス詐欺」（BPC）がある。攻撃者が業務プロセスを不正に改変し、金銭や機密情報をだまし取る攻撃手法だ。BPCにおいて一般的に攻撃対象となるのは金銭の授受に関わるシステムで、例としては給与振込に関わるシステムや商取引の請求支払いシステムなどがある。攻撃者はシステムに偽の送金を要求する命令を与えたり、システムに登録済みの送金先情報を改ざんしたりといった行為により金銭を詐取する。
こうした振込業務をRPAツールで自動化している場合、攻撃者がRPAツールを介してBPCを仕掛ける恐れがある。トレンドマイクロは同社のレポート「2019年セキュリティ脅威予測」において「BPCの新たな糸口として、自動化された業務プロセスを攻撃者が狙うようになる」と予測する。
RPAツールを利用する企業がBPCに対処する場合、どのようなセキュリティ対策が有効なのだろうか。
併せて読みたいお薦め記事
RPAは業務を改善するか
サイバー犯罪における詐欺行為
ロボットの管理とRPAツールの保護が有効
「全ての脅威に対抗できる『銀の弾丸』を探すより、複数の技術を組み合わせた多層防御を実現する方が理にかなう」とトレンドマイクロは提案する。多層防御に有効な対策は以下のような機能を持つ製品だ。
- 機械学習や挙動解析などを活用したマルウェア判別
- 侵入防止システム（IPS）、ファイアウォール
- スパム対策
- アプリケーションコントロール、ログ検査
- SIEM（Security Information and Event Management）
- 脅威検出エンジン、サンドボックス
- エンドポイントに侵入した脅威の事前検出（EPP）と事後対策（EDR）
- データ損失対策（DLP）
- バックアップ作成・管理
さまざまな場面でRPAツールによる業務プロセスの自動化が進むと、監視すべきソフトウェアやトラフィックの対象範囲も広がり、特定の領域や脅威に対する保護ではリスクを排除し切れなくなる。イベントログやアクセスログを包括的に相関分析するSIEMは、1つの側面からは発見できない怪しい挙動を捕捉するのに役立つ。
RPAツール自体に対する、攻撃者の侵入を防ぐための保護も重要だ。RPAツールが稼働している端末へのアクセスを守るためにIPSが利用できる。入力した情報を暗号化したり、作成したロボットの編集・実行権限を管理したりする機能を持つRPAツールを選べばセキュリティが強化でき、BPCや情報漏えいのリスク軽減が可能だ。RPAツールの実行権限を管理するためにアプリケーションコントロール製品を使うことも、RPAツールの侵害や不正実行の防止に役立つ。実際に攻撃者から侵害を受けた場合、検出段階ではEPP製品を活用し、インシデントへの対処にEDR製品を活用するとよいだろう。バックアップ管理製品を導入し、ロボットが改ざんされてしまった場合に備えておくことも対策になる。
管理が行き届いていない「野良ロボット」を放置しないことも、RPAツールを活用する企業にとって重要だ。作成したロボットがどこでどのように利用されているかをシステム管理者が把握できていないと、それらのロボットが攻撃を受けたとしてもすぐに気付けない可能性がある。適切なロボットの管理は被害の発生だけでなく、実際に被害を受けた場合でも原因の迅速な特定につながる。RPAツールには作成済みのロボットに対してプロセスの制御、監視、スケジューリングなどを実行できるロボット管理機能を持つものもある。こうした機能を使い、各部門で運用するロボットを全社的に統括し、監視下に置かれていないロボットの発生を防ぐことができる。
Copyright © ITmedia, Inc. All Rights Reserved.
この記事の著者
関連記事
新着ホワイトペーパー PR
-
技術文書・技術解説
[Jamf Japan 合同会社] MDMだけでモバイルセキュリティは十分？ 不足する対策を16項目でチェック -
事例
[Wrike Japan 株式会社] 世界的な家電メーカーが実践する「クリエイティブプロセス効率化」の方法とは？ -
事例
[Wrike Japan 株式会社] 世界的テクノロジー企業に学ぶ、プロセス標準化とプロジェクト納品自動化の秘訣 -
事例
[Wrike Japan 株式会社] ソニー・ピクチャーズ テレビジョンに学ぶ、次世代サービスデリバリーのヒント -
事例
[Wrike Japan 株式会社] ソミック石川に学ぶ、ICT浸透後に直面した「工数管理」の課題と解決策
こんなメディアも見られています
TechTargetジャパンに関連する情報をお探しであれば、こちらのメディアもお役に立てるかもしれません。
ベンダーコンテンツ PR
From Informa TechTarget
SpecialPR
アクセスランキング
-
1
「Microsoft 365」が乗っ取られる 跡形もなくMFAを破る手口
-
2
「企業内サーバ環境の利用実態」に関するアンケート
-
3
AI全部入り「Microsoft 365 E7」に企業が二の足を踏む訳 移行意向はわずか4％
-
4
「VMware離れ」は本当か 3000社がVCF 9にかじを切った現実的な理由
-
5
エンジニアが選考を辞退する本当の理由 7割が隠す“面接の違和感”とは
-
6
脱VMwareの前提が崩れる BroadcomのVDDK公開停止で確認すべき点
-
7
【基本情報技術者試験】「デュプレックスシステム」と「デュアルシステム」の違いは？
-
8
「AI活用を前提とした業務PCへの移行」に関するアンケート
-
9
「データストレージの活用方法」に関するアンケート
-
10
AWS障害でも補償ゼロの衝撃 サイバー保険で情シスが見落とす「細則の壁」
ホワイトペーパーランキング PR
-
1
生成AIのハルシネーションを防止 回答精度を高めるセマンティックレイヤーとは
-
2
5回聞くだけじゃ足りない？ トヨタ式「なぜなぜ分析」の正しい実践方法
-
3
AIエージェントで多様な日常業務を効率化するための入門ガイド
-
4
インシデント対応工数を約3割削減、東京ガスの事例に学ぶ監視体制刷新のコツ
-
5
「脱Excel」か「Excel快適化」か？ 現場にやさしい業務改善の進め方
-
6
マンガで解説：「ゼロトラスト」「SASE」の必要性とメリット
-
7
5分で分かる「セキュア大容量ファイル転送サービス」の機能とメリット
-
8
情報セキュリティ対策早分かりガイド：25の自社診断で弱点と解決策を理解
-
9
国税庁の次世代基幹システム「KSK2」稼働開始に向けて、対応すべき変更点とは？
-
10
AIが「わざわざ使うツール」になっていない？ 業務で自然に使う導線にする秘訣
TechTargetジャパン SNS
@techtarget_itmをフォロー
インフォメーション
注目情報をチェック
TechTargetジャパンをフォロー