サイバーセキュリティ専門家に聞くべき5つの必須質問

ほぼ毎週、また別の企業や組織がサイバー攻撃の犠牲になったというニュースを耳にします。サイバー犯罪者はより執拗になっており、我々は情報保護により勤勉でなければなりません。

個人の生活では、多くの人がより慎重になろうとしています。全パスワードを「123456」に設定する時代は（望むらくは）終わりました。しかし、オフィスでは同じレベルの懸念を持っていないようです。「ITプロがきっとサイバーセキュリティを把握しているから、私は心配しなくていい」と思っていませんか？

事実、我々従業員は自分の勤める会社を守る上で重要な役割を果たしており、たった1回の誤クリックでビジネスが危険にさらされます。ウィリス・タワーズ・ワトソンの最近の調査では、サイバーインシデント請求の90%が何らかの人的エラーや行動に起因するとされています。ここでは、会社をより安全にするための道しるべとなる5つの質問と回答を紹介します。

1. わが社が直面するトップのサイバーリスクは何ですか？

企業のリスクは固有の運営環境によって大きく異なるため、評価・考慮すべきことは多岐にわたります。

メールを使う従業員が多いですか？ なら標的型フィッシング（スピアフィッシング）がトップリスクかもしれません。工場のあらゆるIPアドレスを持つデバイスが保護されていますか？ されていなければ、悪意あるコード、不正アクセス・利用、データ流出がトップリスクになり得ます。

サイバーセキュリティリスクアセスメントの実施は、組織の情報セキュリティマネジメントプログラムの重要な一部でなければなりません。誰もが、企業の重要かつ機密なデータ、情報資産、施設には何らかのレベルのリスクがあることを知っています。しかし、このサイバーセキュリティリスクをどう定量化し、備えるべきでしょうか？ ITセキュリティリスクアセスメントの目的は、企業の重要資産が直面するセキュリティリスクを特定し、それらを守るためにどれだけの資金と労力を割くべきかを知ることです。

NISTリスクマネジメントフレームワーク（RMF）は、始めるための優れたリソースです。RMFは、企業がコントロールできるシステムとビジネスプロセスに起因するリスクの部分を管理するための、構造化されつつ柔軟なアプローチを提供します。

2. パスワードマネージャーを使っても大丈夫ですか？

個人のオンラインアカウントでパスワードマネージャーを使うのはセキュリティ向上に最適ですが、職場でソフトウェアを使う前に会社のポリシーを確認してください。

パスワードマネージャーはパスワードの保存と、サイトごとのユニークなパスワード生成に役立ちます。しかし、全パスワードを一箇所に保管するのはリスクがあります。パスワードがどう保護され、暗号化されているかを理解することが重要です。複数デバイス・ブラウザ対応の様々な商用製品があるので、自分のニーズに最適なものをリサーチして選びましょう。

3. わが社は主要な情報セキュリティフレームワークや基準に準拠していますか？ また、準拠する必要がありますか？

知的財産と機密の顧客・従業員情報を守ることは、あなたと顧客に安心を与えます。また、サイバー攻撃がもたらす財務的インパクト、生産性低下、信頼喪失を考慮すれば、健全なビジネスプラクティスでもあります。

国防総省（DoD）サプライチェーンの企業にとって、こうした保護は絶対条件です。これらの企業は、国防連邦調達規則補足（DFARS）の最低セキュリティ基準を満たさなければ、DoD契約を失うリスクがあります。

リスク理解と軽減に役立つセキュリティフレームワークや基準の例をいくつか挙げます：NISTサイバーセキュリティフレームワーク、NIST SP 800-53「情報システムおよび組織のためのセキュリティとプライバシー制御」、NIST MEPサイバーセキュリティ自己評価ハンドブック、決済カード業界データセキュリティ基準（PCI DSS）。どの文書を参照すべきか混同しやすいので、それぞれについて補足します：

• フレームワークはNIST SP 800-53よりも高レベルで（より簡潔）、後者はセキュリティとプライバシー制御のカタログです。フレームワークは技術的背景を持たない経営幹部や意思決定者にとってより扱いやすく、セキュリティ機能の評価と優先順位付けに焦点を当て、NIST SP 800-53のような既存文書を参照しています。NIST SP 800-53は、どの制御を選択・実装すべきかについてより詳細な情報を含むため、セキュリティを実装する技術スタッフに最適です。
• NIST MEPサイバーセキュリティ自己評価ハンドブックは、DFARSサイバーセキュリティ要件への対応としてNIST SP 800-171セキュリティ要件への準拠を支援します。このハンドブックは、中小製造業者の情報システムをNIST SP 800-171 rev 1「非連邦システムおよび組織における管理対象非機密情報の保護」のセキュリティ要件に照らし合わせて評価するステップバイステップガイドを提供します。

• 決済カード業界データセキュリティ基準（PCI DSS）は、クレジット・デビット・現金カード取引のセキュリティを最適化するための広く受け入れられたポリシーと手順のセットです。PCI DSSは2004年にVisa、MasterCard、Discover、American Expressによって策定されました。カード所有者データを保存、処理、送信するすべての企業にとって、決済セキュリティの維持は必須です。カード所有者データの侵害や窃取は、決済カードエコシステム全体に影響を与えます。御社への影響例：顧客信頼の喪失、売上減少、不正損失、法的コスト、罰金、カード決済受付能力の終了。カード決済を処理する企業の長期的成功にはPCI DSS準拠の維持が不可欠で、カード所有者データ窃取を狙う攻撃に対してサイバー防御を準備できます。ほとんどの小規模企業は、セルフバリデーションツールでカード所有者データセキュリティレベルを評価できます。

4. 二要素認証（2FA）とは？ どう有効化する？ なぜパスワードだけではダメ？

二要素認証（2FA）は、あなたがあなたであることを確認するための追加のセキュリティ層です。問題は、ユーザー名とパスワードだけでは容易に推測され、多くの人が複数サイトで同じパスワードを使い回していることです。公開されているインシデントでは、毎分5,518件のレコードが漏洩しています。

2FAは、他人があなたのアカウントに簡単にアクセスするのを防ぎます。2FAを有効にすると、ログインページでユーザー名とパスワードを入力した後、すぐにアクセスできるのではなく、もう一つの情報を求められます。この第二要素は以下のいずれかです：

• 知識情報：個人識別番号（PIN）、パスフレーズ、秘密の質問への回答。
• 所持情報：クレジットカード、キーカード、スマートフォン、ハードウェア/ソフトウェアトークン、サイトからの通知。
• 生体情報：指紋、虹彩スキャン、声紋などの生体認証パターン。

利用中のサイトやアプリに2FAがあるか不明な場合は、TwoFactorAuth.orgで確認できます。

すべてのアカウントで2FAをオンにしましょう。Telesignのステップバイステップ手順：https://www.turnon2FA.com.

5. 仕事に役立ちそうなアプリケーションを購入する際、承認プロセスはありますか？

多くの企業では、ソフトウェア購入（箱入り/オンライン、またはクラウドで外部ホスト型）についてポリシーを定めています。すぐに使えるアプリケーションと、セキュリティ確保のためさらに調査が必要なアプリケーションを把握することが重要です。必要なことを理解し、サイバーセキュリティ専門家と協力して必要なプロセスを経て、情報が適切に保護されるよう確保してください。

自社のサイバーセキュリティリスクをよりよく理解したい場合は、MEPナショナルネットワーク™のサイバーセキュリティ自己評価ツールをご利用ください。ご質問やサイバーセキュリティ専門家との相談をご希望の場合は、最寄りのMEPナショナルネットワークセンターにお問い合わせください。