不正アクセス対策を調べると、多要素認証、更新の適用、ネットワーク機器、教育、権限管理といった項目が並んだ一覧が出てきます。ただ、その一覧を眺めても手が止まってしまうという声は少なくありません。項目が多いうえに、どれが自社に効くのかという優先順位がつけられないためです。この記事では、対策を一覧としてではなく侵入経路ごとに何が効くかという形で対応づけ、限られた予算と人手でどこから着手すべきかを整理します。
対策一覧では判断できず、経路と対応づけると判断できる理由
対策の一覧は、どれも正しい項目が並んでいます。しかし一覧には「何を防ぐための対策なのか」が書かれていないことが多く、読み手は自社に必要かどうかを判断できません。結果として、導入しやすいものから手を付ける、あるいは何もしないまま止まる、という二択になりがちです。
一方、侵入経路を軸に置くと判断ができます。自社が抱えている経路はどれか、その経路に効く対策はすでにあるか、という順に確認できるためです。経路そのものの種類や不正アクセスの定義については不正アクセスの基本と経路の種類で扱っているため、本記事では経路の説明は簡潔に留め、対応づけと優先順位に絞って解説します。
侵入経路別に、効く対策と効かない対策を対応づける
盗まれたID・パスワードによる正規ログイン
正しい認証情報でログインされるため、通信や動作としては正規の利用と区別がつきにくい経路です。この経路に効く対策は、認証を複数の要素にすることと、パスワードだけで入れる入口を残さないことです。逆に、ウイルス対策ソフトやネットワーク機器では防ぎにくい経路でもあります。守っている対象が実行ファイルや通信であり、認証そのものではないためです。認証を追加する範囲の考え方はクラウド側と端末側の多要素認証の違い、Windowsログインへの適用はWindows OSログインの2要素認証で整理しています。
機器・ソフトウェアの弱点を突く侵入
社外に開いている機器やソフトウェアの既知の弱点を経由する経路です。効く対策は、更新の適用と、社外に向けて開いている機器・サービスを把握して不要なものを減らすことです。この経路は認証の強化では防げません。認証の手前で成立しうるためです。社外に開いた機器の代表例であるVPN機器についてはVPN機器の脆弱性と運用上の注意点で扱っています。
利用者を騙して入力させる手口
利用者自身に認証情報を入力させる手口です。ここで効くのは、騙されても成立しにくい認証方式を選ぶことと、利用者への周知です。人の注意力だけに依存する対策は限界があるため、方式の選択と周知は両方を組み合わせて考えます。認証情報が渡ってしまった後に気づくための手掛かりとしては、ログイン履歴から異常を見つける確認手順が参考になります。
取引先・委託先を経由する経路
自社が発行したアカウントが社外で使われている場合、自社の管理範囲の外に入口が存在します。効く対策は、社外に渡したアカウントの統制と、アクセスできる範囲と期間を限定することです。具体的な運用は取引先・委託先アカウントの管理で解説しています。
内部関係者による持ち出し
正規の権限を持つ人による行為であるため、外部からの侵入を止める対策では検知も防止もできません。効く対策は、権限の最小化、操作の記録が残る運用、そして共用アカウントの廃止です。誰の操作か特定できない状態を残さないことが前提になります。権限の設計は権限管理の考え方、アカウントの棚卸しはID棚卸しと現状把握を参照してください。
効かない対策をあえて明示する理由
経路ごとに「効かない対策」も書いているのは、どの対策も不要だと言いたいからではありません。すでに何らかの対策を導入していると、それだけで守られていると考えてしまう構造を避けるためです。ウイルス対策やネットワーク機器と認証の強化は、優劣ではなく守っている範囲が違うだけであり、どちらも必要です。この守備範囲の違いについてはUTM・エンドポイント対策と認証の守備範囲の違いで詳しく扱っています。
どこから着手するかの優先順位
すべての経路に同時に手を付けられる組織は多くありません。順序を決める際の考え方は次の通りです。
- 社外から到達できる入口から — 社内からしか触れない仕組みより、外部から直接届く入口を先に見ます
- 影響範囲の大きいところから — 管理者権限とサーバーは、侵入された場合の影響が広くなります
- すでに対策が抜けている領域から — 経路と対策を対応づけたときに、どの対策も当たっていない経路が最優先です
- 運用が回せる範囲から — 導入しても運用が続かない仕組みは、時間の経過とともに実質的に機能しなくなります
自社の現状を項目単位で確認したい場合は、中小企業向けのセキュリティ確認リストという形で整理した記事もあわせて参照してください。本記事は経路別の対応づけという切り口、そちらはチェックリストという切り口であり、目的に応じて使い分けられます。
一度やって終わりにしないために
経路と対策の対応づけは、実施した時点の構成に対するものです。新しいサービスの利用開始、機器の入れ替え、担当者の異動などで、入口と権限は変わり続けます。そのため、対策を導入したこと自体を成果とせず、入口の一覧と権限の一覧を定期的に見直す運用をあらかじめ決めておくことが重要です。見直しの頻度は、体制に対して無理のない範囲で決め、実施できなかった場合に気づける形にしておくと形骸化しにくくなります。
まずは自社の状況を確認する
どの経路に対策が抜けているかは、現在の入口の数や認証方式、権限の持たせ方によって異なります。applippliの無料診断では、約3分の質問に回答するだけで、自社の対応状況を経路ごとに確認できます。優先順位を決める材料として、まず現状の把握から始めてみてください。