サイバー衛生とは、重要なデータの安全な取り扱いを確保し、ネットワークのセキュリティを保つための一連の習慣的な実践のことです。 それは、健康上の問題を予防したり軽減したりするために、些細ながらも明確な行動の習慣を身につける、身だしなみのようなものです。 サイバー衛生管理の取り組みには、ネットワークに接続されているすべてのエンドポイントの棚卸し、脆弱性管理、およびソフトウェアやアプリケーションへのパッチ適用が含まれます。
世界中でサイバー攻撃が増加し、企業や政府の業務に支障をきたし、しばしば巨額のランサムウェア身代金の支払いや企業の評判の失墜につながっている中、サイバー衛生管理は、業務の回復力を構築するための重要な手段となっています。
COVID-19のパンデミックによって引き起こされた混乱について考えてみましょう。このパンデミックは、 によるフィッシングメール、サプライチェーン攻撃、そして何百万人ものリモートワーカーの端末を標的としたパスワード攻撃やマルウェア攻撃を通じて、犯罪者であるハッカーたちに機会をもたらしました。 Already in the first half of 2021, the global ransomware attacks have hit 304.7 million, surpassing last year’s total of 304.6 million.
これに対し、ホワイトハウスの は、 の政府および企業の指導者に対し、基本的なサイバー衛生管理のベストプラクティスを実施して自らを守るよう強く呼びかけました。また、サイバー攻撃に対するわが国の回復力を強化し、脅威から身を守ることは、彼らにとって極めて重要な責任であると指摘しました。 それは、サイバー衛生管理が、あらゆる組織の全体的なセキュリティ態勢を向上させ、現在および将来の脅威から身を守るための、最も確実な方法の一つだからです。
なぜサイバー衛生が重要なのでしょうか？
サイバー衛生管理は、サイバー犯罪者が組織のネットワークに侵入するのを防ぐのに役立ちます。あるいは、少なくともその機会コストを高めることで、犯罪者が諦めて別の被害者を探しに行くほど、侵入を困難にします。 確かに、今日の攻撃の多くはますます巧妙化しており、ソーシャルエンジニアリングを用いて被害者に機密情報を漏洩させたり、「ホエール」（上級幹部）を標的にしたり、あるいはサプライチェーンにマルウェアを仕込んで、そこから数百人もの他の人々を感染させたりしています。
実のところ、攻撃の成功の多くは、日常的な不備に起因しています。具体的には、 のエンドポイント が自社のネットワークに接続していることを把握できていないこと、 のパッチ更新を一貫して迅速に監視・適用できないこと、 適切な セキュリティ設定 を行えていないこと、そして、中核となる事業運営に悪影響を及ぼす前に、侵害を迅速に 特定・解決 できないことなどが挙げられます。 サイバー攻撃者は、こうした不手際を悪用します。
慢心している、あるいは情報不足のITマネージャーや管理者、セキュリティエンジニアを責めることはできません。 むしろ、こうした失敗は、現代のIT環境の複雑さとダイナミズムに起因するものです。
一般的な企業ネットワークには、多数のコンピュータ、サーバー、データベース、仮想マシン、モバイル端末、オペレーティングシステム、アプリケーション、ツールなどが含まれており、そのそれぞれが潜在的な攻撃経路となり得ます。 これらを定期的に、かつ 適切に管理 しない場合、データの紛失や置き忘れ、ソフトウェアのパッチ未適用、古いユーザー権限など、さまざまな問題が生じる可能性があります。 このようにして、環境は時間の経過とともに脆弱性を増し、複数のリスク要因を抱えることになってしまいます。
[関連記事：サイバー保険は、サイバー攻撃に対する最善の防御策ではありません]
サイバー衛生管理は、リスクを特定し、それらを軽減または解消するための仕組みや戦略を導入することで、こうした脆弱性を減らすのに役立ちます。 サイバー衛生管理を実践することで、組織はセキュリティ体制を強化し、甚大な被害をもたらす情報漏洩からより効果的に身を守ることができます。
自社のサイバー衛生状態をどのように評価していますか？
サイバー衛生状態は、IT環境をスキャンしてさまざまな資産を特定し、脆弱性を洗い出すパフォーマンス監視ソリューションを用いて評価されます。 結果は、IT環境の健全性を数値化したスコアカードとして提示されます。 脆弱性には、コンピュータシステムのセキュリティ上の脆弱性を評価するためのオープンな業界標準である「共通脆弱性評価システム（CVSS）」に基づき、「重大」、「高」、「中」、「低」の深刻度レベルが割り当てられます。
これらの脆弱性は、資産の重要度に応じて並べ替えることができるため、どの脆弱性がビジネスに最も大きな影響を与えるかを確認することができます。 例えば、CEOのノートパソコンに存在する、パッチが適用されていない脆弱性は、インターンのノートパソコンのそれよりも、より早急な対応が必要となります。
「サイバー衛生管理は、ネットワークへの侵入を防ぐのに役立ちます。あるいは、侵入を極めて困難にすることで、犯罪者が諦めて他の被害者を探しに行くように仕向けるのです。」
サイバー衛生状態の評価は、効果的なセキュリティ対策における2つの最大の障壁、すなわちIT環境に対する可視性の不足と、問題への対応に必要なリソースの不足を克服するのに役立ちます。
リスクスコアリングにより、最も重大な脆弱性が明らかになり、優先順位が付けられます。 これにより、ITチームは、優先度の低い問題に取り組む前に、まず最も重大なセキュリティ上の脆弱性を解消するためにリソースを割り当てることができます。
[関連記事：重要な指標の測定：リスク測定と企業の目標・目的との整合]
サイバー衛生状態の評価は、サイバー衛生状態を改善し、IT環境をより適切に管理・保護するための指針となります。 サイバー衛生状態の評価を継続的に実施することで、現在のセキュリティ上のリスクを把握し、状況が改善しているか、あるいは悪化しているかを把握することができます。
サイバー衛生にはどのようなメリットがあるのでしょうか？
適切なサイバー衛生管理にはいくつかの利点があり、それにより、最終的には組織がサイバー攻撃から身を守るための体制が整います。 具体的には、次のような点で役立ちます：
- 管理対象外の資産を特定する： 見えないものは守れません。 だからこそ、すべての資産を正確に把握することが、強固なサイバーセキュリティの基盤となるのです。 適切なサイバー衛生管理を実践することで、 の資産インベントリ を常に最新の状態に保ち、特定の資産に関連する脆弱性を特定し、セキュリティ上の課題を迅速に解決することができます。
- 顧客データの保護： サイバーハイジーンは、パッチ管理、パスワード管理の徹底、適切な管理者権限の設定など、データ保護を強化する実証済みのセキュリティ対策の幅広い取り組みを支えています。
- 不要になった管理者権限を見つける： 従業員が別の役職や部署に異動したり、会社を辞めたりすると、管理者権限の把握が難しくなりがちです。 しかし、高レベルの管理者権限には重大なセキュリティリスクが伴うため、誰が管理者権限を持っているか、またそれがどのくらいの頻度で使用されているかを定期的に監査することが重要です。 時代遅れになった、あるいは長い間忘れ去られていた権限については、直ちに更新または取り消す必要があります。
- 不正なソフトウェアを特定する： リモートワークの普及により、多くの従業員が、ネットワークに接続するために使用するデバイスやエンドポイントに、 承認されていないソフトウェア をインストールするようになっています。 それは問題ですね。 おそらく、そのソフトウェアは適切に設定・パッチ適用・更新・セキュリティ対策が行われていないため、攻撃者にとって魅力的な標的となっているのでしょう。 サイバー・ハイジーンは、IT管理者がネットワーク上にインストールされ、使用されているすべてのソフトウェアを把握し、それらを管理したり削除したりできるようにするものです。
- コンプライアンス要件を満たす： セキュリティリスクを特定して優先順位をつけ、ITチームが迅速に是正措置を講じられるようにすることで、サイバーハイジーンは組織のセキュリティ状況の追跡や報告を容易にし、常に規制やコンプライアンス要件に準拠していることを保証します。
サイバー衛生管理が不十分な場合、どのようなリスクがあるのでしょうか？
サイバー衛生管理が不十分な場合、その影響はIT環境全体に波及し、複数のセキュリティ上の脆弱性や潜在的な攻撃経路を生み出すことになります。 その中には、次のようなものがあります：
- データの損失： ローカルのハードドライブやオンラインストレージを定期的にバックアップ・管理していないと、ハードウェアの故障、データの破損、不適切な取り扱い、あるいはランサムウェアや盗難によって、重要なデータが失われる可能性があります。 The last carries a particularly dire cost: According to the Ponemon Institute’s most recent Cost of a Data Breach Report, for 2020, the overall average cost of a ransomware breach is $4.44 million. そして、それはSolarWindsやColonial Pipeline、その他多くの企業に対する大規模なハッキング事件が起こる前のことでした。
- データの紛失： 適切なファイルシステムで整理されていないデータは紛失しやすくなり、組織が大きくなるにつれて、この問題は飛躍的に深刻化します。
- ソフトウェアの脆弱性： パッチ管理の不備や、古くなった、あるいは最新版ではないソフトウェアは、あらゆる規模の組織における情報漏洩の一般的な原因となっています。 ソフトウェア開発者は、自社製品の既知の脆弱性を修正するために、定期的にパッチやアップデートをリリースしていますが、組織にそれらを適時に適用するプロセスが整っていない場合、ハッカーがこれらのアプリケーションを悪用してネットワークへのアクセス権を取得する可能性があります。
- マルウェア： 毎日 350,000 件以上の新しいマルウェア が登録されています。 ウイルス対策ソフトやその他のセキュリティ製品を、この絶えず変化する状況に対応できるよう定期的に更新しなければ、ハッカーはさまざまな悪意のあるソフトウェアを利用して企業ネットワークに侵入し、より標的を絞った攻撃を仕掛けてくる可能性があります。
- 不十分なベンダーリスク管理： 今日のハイブリッドIT環境においては、自社のセキュリティ態勢に注力するだけでは不十分です。 を通じて、お客様のネットワークにアクセスし、機密データを処理するサードパーティベンダーやサービスプロバイダー がもたらす潜在的なセキュリティリスクについて、十分に検討する必要があります。 ベンダーがもたらすリスクの程度を理解・管理できなければ、サービスの中断や情報漏洩のリスクにさらされる可能性が高まります。
- コンプライアンス不備： サイバー衛生管理の不備に起因する問題は深刻化し、PCI、DSS、HIPAA、あるいはその他の規制枠組みへの準拠に不備が生じる恐れがあります。
- セキュリティ侵害： サイバーセキュリティ対策が不十分な場合に起こりうる最悪の事態は、サイバー攻撃の成功です。 不適切な構成管理、脆弱性管理の不備、および脆弱なセキュリティポリシーや脅威への対応手順は、組織をデータ盗難、業務中断、そして莫大な費用を要するランサムウェアの身代金支払いのリスクにさらす可能性があります。 結局のところ、こうした事態は莫大な金銭的損失、評判の低下、そして顧客ロイヤリティの喪失につながる可能性があります。
サイバー衛生におけるベストプラクティスとは何でしょうか？
ITシステムやデバイスを保護し、正常に維持するためには、サイバー衛生に関するベストプラクティスを実践することが重要です。 以下のリストは網羅的なものではありませんが、今後の発展に向けた確かな基盤となります。
- IT資産のインベントリを管理しましょう： 犯罪者がネットワークに侵入すると、住宅に侵入する泥棒が現金や宝石を探すのと同じように、組織にとって最も価値のある資産を探し出そうとします。 したがって、 の資産目録 を整備し、どのような価値ある資産を保有しているかを把握し、何を保護すべきかを明確にすることは不可欠です。 ほとんどの組織において、「業務上不可欠」とみなされるものは、資産である可能性が高いと言えます。 事業の内容によっては、これには企業の財務データ、顧客データや決済情報、特許や著作権、および独自のソースコードなどが含まれる場合があります。 組織がオンプレミスまたはクラウド上に保有するすべての資産を特定し、分類するとともに、それらの保管場所やアクセス権限を持つユーザーを把握してください。
- 複雑なパスワードを設定しましょう： 定期的に変更される複雑なパスワード は、さまざまなセキュリティ上の脅威に対する強力な第一の防衛線となります。 一般ユーザーのパスワードは、少なくとも 10 文字（大文字、小文字、数字、特殊文字）で構成される必要があります。一方、管理者パスワードは、少なくとも15 文字を使用し、一般的に使用されるパスワードの既存の辞書と照合して検証する必要があります。 多要素認証は、指紋や暗証番号など、2つ目の認証手段を用いてユーザーが本人であることを確認することを求めるもので、セキュリティをさらに強化します。
- ソフトウェアを定期的に更新してください： パッチ管理 が不十分だと、実質的にサイバー犯罪者に対して「門戸開放」の状態になってしまいます。 マルウェアによるネットワークへの侵入リスクを軽減するためには、オペレーティングシステムやアプリケーションのパッチを定期的かつ速やかに適用する必要があります。 堅牢なパッチ管理システムは、データ漏洩やその他のセキュリティインシデントに対する最善の防御策の一つです。
- 管理者権限の管理： 高度な管理者権限は、あらゆる組織において最大のセキュリティリスクの一つとなるため、プログラムやシステムへの管理者レベルのアクセス権は、それを必要とする者にのみ付与することが重要です。 標準ユーザーには、より限定的な権限を与えるべきです。 例えば、管理者による許可なしに、自分のコンピュータやモバイル端末にアプリケーションをインストールすることは、許可されるべきではありません。
- データを定期的にバックアップしてください： バックアップ作業は定期的なスケジュールに従って実施し、その整合性を確認するために検証を行う必要があります。 また、復元プロセスが正しく機能していることを確認するために、定期的にテストを行うことも重要です。
- サポート終了システムの管理： サポート終了システム（ ）とは、メーカーや開発者によるセキュリティパッチやアップデートの提供が終了したコンピュータのハードウェアおよびソフトウェアのことです。 これらは組織に重大なリスクをもたらすため、速やかに使用を中止すべきです。
- インシデント対応計画を実施する： あらゆる規模の企業は、攻撃による被害を軽減し、ダウンタイムを最小限に抑えるために、 インシデント対応 計画を策定しておく必要があります。 攻撃者は、わずか数時間でシステムを乗っ取り、ネットワーク内を横方向に移動し始める可能性があります。そのため、ハッカーの滞在時間を短縮し、データの流出を最小限に抑えるための迅速な対応手順を策定することが不可欠です。 各チームは、模擬のデータ侵害インシデントに定期的に対応し、対応目標をどの程度効果的かつ迅速に達成できたかを評価することで、計画の有効性を検証すべきです。
適切なサイバー衛生管理の具体例にはどのようなものがありますか？
サイバー衛生管理の適切な実践例としてよく挙げられるのは、メールの送受信の際に細心の注意を払うことです。 あらゆる組織で広く利用されていることから、電子メールは、サイバー犯罪者が警戒心の薄いユーザーにマルウェアを拡散させるための一般的な手段となっています。 典型的な手口としては、受信者が知っている人物や企業を装い、受信者をだまして悪意のあるリンクをクリックさせ、認証情報を盗み出したり、コンピュータにマルウェアをダウンロードさせたりするものです。
「サイバー衛生状態の評価を継続的に実施することで、現在のリスクの程度や、状況が改善しているか悪化しているかを把握することができます。」
適切なサイバー衛生管理を実践している組織では、受信するすべてのメールをウイルス検査にかけ、すべてのログインに二要素認証を義務付けることで、万が一認証情報が盗まれたとしても、攻撃者がそれを悪用できないようにしています。 また、リンクや添付ファイルが添付された不審なメールには警戒するよう、全従業員に周知徹底し、それらをクリックせず、IT管理者に報告するよう指導していたことでしょう。
ユーザーのパスワードを作成することは、適切なサイバー衛生習慣を実践するもうひとつの機会となります。 子供の誕生日など、簡単に推測されかねないものを使用するのではなく、従業員は、文字数を 10 ～15 文字に設定し、英字、数字、特殊文字を組み合わせ、人名、架空のキャラクター名、製品名、辞書に載っている単語、あるいは自身のソーシャルメディアのフィードに見られるような単語（例：Yankees）を含まないようにすることで、「安全な」パスワードを作成することになります。
企業のサイバー衛生管理と個人のサイバー衛生管理は、どのように異なるのでしょうか？
個人のサイバー衛生とは、セキュリティ上の脅威から個人を守ることを目的としていますが、企業のサイバー衛生は、組織のリスクを軽減することを目的としています。 複雑なパスワードの使用、ウイルス対策ソフトの実行、メールへの返信時の注意、データのバックアップなど、両方に共通する対策がいくつかあります。 しかし、企業のサイバー衛生管理は、はるかに大規模に行われており、ITインフラのセキュリティ確保、規制遵守要件の順守、ベンダーリスクの管理など、より幅広いビジネス上の課題に対応しています。
こうした違いはあるものの、個人および企業のサイバー衛生管理の目的は、コンピュータシステムとデータの完全性を保護することにあります。
効果的なサイバー衛生ポリシーは、どのように作成すればよいでしょうか？
どの組織にも独自のIT環境やビジネス上のニーズがありますが、基本的なサイバー衛生ポリシーでは、組織および個々の従業員の具体的な責任を明記すべきです。 組織レベルでは、IT資産の棚卸しおよび管理、ネットワークおよび物理的なセキュリティ、脅威および脆弱性の管理、規制への準拠、インシデント対応、ユーザー教育などの分野を統括するための標準的な手順を整備しておく必要があります。
[関連記事：サイバー衛生管理の強化が、組織を「PrintNightmare」の悪夢から救う方法]
また、組織は、従業員が定められたサイバー衛生に関するベストプラクティスを理解し、遵守するよう確保すべきです。 つまり、ソフトウェアの更新、データのバックアップ、パスワードのセキュリティ、安全なネットワークの利用、および機密データの取り扱いに関する方針を策定し、周知徹底することです。 また、ソーシャルエンジニアリングによる脅威のリスクを低減するためには、組織がフィッシング対策の研修や啓発活動を行うことも重要です。
理想的なサイバー衛生チェックリストとはどのようなものでしょうか？
理想的なサイバー衛生チェックリストは、前述のベストプラクティスに基づいて作成され、以下のタスクが含まれます：
- 組織のネットワーク上のすべてのハードウェアおよびソフトウェアの資産台帳を作成し、管理します。
- 自社の「最重要資産」となるデータを特定し、その保管場所や、アクセス権限を持つ人物を把握してください。
- 強力なパスワードポリシーを設定し、その遵守を徹底してください。
- 管理者レベルの権限は、それを必要とする者に限定してください。
- エンドユーザーによるソフトウェアのインストール方法を規制します。具体的には、信頼できるプログラムのみにアクセスを制限するか、あるいはすべてのインストールについてIT部門の承認を義務付けるかのいずれかの方法を採用します。
- オペレーティングシステムやソフトウェアアプリケーションを常に最新の状態に保ち、パッチは速やかに適用してください。
- データバックアップを定期的に実行、確認、およびテストするためのプロセスを導入してください。 複数のコピーを保管し、オンプレミスとクラウドの両方にバックアップしてください。
- 使用期限が切れたシステムを追跡し、使用を中止してください。
- 合意された行動規範、アクセス権限、およびサービスレベルを明記したベンダーリスク管理計画を作成してください。
- パスワード管理、メールへの注意、組織のネットワークを安全に利用する方法など、適切なサイバー衛生習慣について従業員に教育を行ってください。
適切なサイバー衛生管理を実践する上で、どのような課題がありますか？
適切なサイバー衛生管理を実践する上で最大の課題の一つは、単に何を保護すべきかを把握することです。 今日のダイナミックなハイブリッド環境では、可視性が限られていることが多く、把握できていない部分を保護することはできません。
ネットワーク上にどのようなハードウェアやソフトウェアがあり、それらがどこにあるのか、また、最も重要なデータがどこに保存されており、誰がそれにアクセスできるのかを知っておくことは不可欠です。 サイバー衛生状態の評価を行うことで、ネットワークの隅々まで把握し、最も重大な脆弱性を特定して、それらを修正することができます。
もう一つの大きな課題は、単に長期にわたって適切なサイバー衛生管理を維持することです。 多くの組織にとって、サイバー攻撃は絶え間なく続いています そのため、たまにネットワークをスキャンするだけではもはや不十分です。 脅威を検知し、対処するためには、パフォーマンスの監視を継続的に行う必要がありますが、そのためには多くの企業が持ち合わせていないリソースが必要となります。 しかし、サイバー衛生状態評価ソリューションを利用すれば、環境内の脆弱性を継続的に監視できるため、セキュリティ上のリスクをリアルタイムで把握することができます。
今日、サイバー衛生を実践する上で、最優先すべき事項は何でしょうか？
ランサムウェアによる被害が急増し、あらゆる業界に広がっている中、今日のサイバー衛生対策の最優先課題は、組織がこの種の攻撃の被害に遭う可能性を低減することにあります。 On average, a ransomware attack leads to 23 days of downtime, and it’s expected that ransomware will costs businesses $20 billion in 2021. 適切なサイバー衛生管理を実践することで、ランサムウェア攻撃に対する組織の回復力を高め、環境に対する可視性と管理を強化し、インシデント対応を迅速化することができます。