セキュリティ対策の見直しの時期とタイミング・どのような点を見直せばいいの？

1． セキュリティ見直しのタイミングとポイント

セキュリティの見直しのタイミングはどのくらいを目途に見直すべきか悩まれている方は多いかと思います。

近年、コロナ禍や働き方改革もあり、これまで全ての仕事をオフィスで完結していた企業もテレワークで、在宅などのオフィス外から仕事をする機会も増えました。
テレワークに切り変える際とテレワークに切り替えた後はセキュリティの見直しの重要なタイミングといえるでしょう。

切り替える際はもちろんのこと、切り替えた後も見直しのタイミングとなるのです。

切り替える際は、「テレワークセキュリティガイドライン 第4版　(2018年総務省)」中、P36に掲載の次世代ウイルス対策ソフトである

「既知のマルウェアの特徴をパターンファイルとして保持し、そのパターンとの一致状況をもって検知を行うのではなく、PC 等において動作するアプリケーションすべてを監視し、そのうちマルウェアに似た挙動のアプリケーションを見つけ、警告を表示したりそのマルウェアの動作止めたりする次世代のウイルス対策ソフト」
引用：テレワークセキュリティガイドライン 第4版　(2018年総務省)

このポイントが網羅されたセキュリティ環境であるかを確認すべきです。

弊社では、マルウェアを検知して駆除するのではなく、攻撃自体をブロックして無効化し、万が一、悪意のあるプログラムに侵入されても、決して悪さをさせないAppGuardをご用意しております。

そして切り替えた後もセキュリティを見直すべきタイミングとなる理由としては、セキュリティが正常に作動し守られているかという点はもちろんのこと、セキュリティ製品によって仕事の作業動作が落ちていないかなどが見直しのポイントとなります。

加えて、セキュリティ製品の見直しについては、2年ほどを目途に上記の点を改めてチェックすることに加え、新種のサイバー攻撃などにも対応できているかどうかを見直すことが必要です。
弊社では、セキュリティのプロがご相談賜りますので、上記のタイミングに見直していない方はぜひ一度お問合せ下さい

2． 近年のサイバー攻撃を考え、サイバーセキュリティのさらなる強化を問題提起すること

お客様の中でご相談が多くなるタイミングは、1項で説明したタイミングに加え、実際サイバー攻撃を受けた企業の被害が大きく報道されたときも考え直すタイミングと言えるでしょう。
このタイミングでは、大きく報道されるため経営陣からの「うちの会社は、大丈夫か」という一声がきっかけになる企業もありますが、セキュリティの責任者が危機感を持って、「最近のサイバー攻撃を見ているとエンドポイントセキュリティ製品の見直しはもちろんのこと、NDR製品を追加したい」などと起案される情シス・セキュリティ担当者の方も多くみられます。
参考：導入企業が語る、NDRの中でDarktrace Immune Systemの強みとは

最近では「ランサムウェア攻撃」による攻撃でデータの一部を暗号化し、既に窃取したデータの一部をダークウェブ上で公開し、データの回復およびデータの公開をやめることと引き換えに身代金を払うよう当該企業に要求するといった攻撃が増加してきています。

JNSAがまとめたインシデント損害額調査レポートでは、生産ライン他主要なシステムは3日で復旧したものの、完全な収束には3か月を要し、被害額(損失額)は3億7,600万円まで上ったと掲載されています。
引用：インシデント損害額調査レポート　2021年版（インシデント被害調査ワーキンググループ　P47～48

21年度版の損害額に加えて、2022年4月には、改正個人情報保護法が全面施行され報告義務も有するため、さらにコストや工数がかかってくることになるでしょう。

セキュリティ製品においては、このように莫大な損害額が発生するようなサイバー攻撃が他社で発生しているにも関わらず、セキュリティ製品導入時から時間が経っているのに一度も見直していないとなると問題視されることが多く、いかにこのタイミングで問題提起をし、「サイバー攻撃」に備えるかを考えることも情シス担当者・セキュリティ担当者の責任なのではないでしょうか。

3．サイバーセキュリティ製品の追加や必要性を多くの人に理解してもらい、稟議を通し、導入の承認を得る方法は…

サイバー攻撃から重要な情報資産を防御することに対して、「上長や経営陣の承認を得ること」は必須であり、新しくサイバーセキュリティ製品を契約するには経営陣への説明や稟議書が必要になってくることと思います。

定期的に購入しているような製品とは違うので、情シスやセキュリティ担当外への詳細な説明を求められる場合も多く、いかに「担当外にもわかりやすく、必要性とメリット/デメリットを説明し製品導入の稟議承認を得るか」が重要です。

次回、11月末更新予定のコラムでは、「担当外にもわかりやすく、必要性とメリット/デメリットを説明し製品導入の稟議承認を得るか」について解説します。