ビジネスを守る：製造業者のための専門的サイバーセキュリティ戦略

この記事は元々IndustryWeekに掲載されました。ゲストブログ投稿者は、Ohio MEPの南西地域パートナーであるTechSolve, Inc.のグラントプログラムマネージャー、トラシ・スペンサー氏です。

この記事は、「製造業者のためのサイバーセキュリティ」に関する5部構成シリーズの第2弾で、ベストプラクティスを概説しています。これらの推奨事項は、国立標準技術研究所（NIST）サイバーセキュリティフレームワークに従っています。

MEPナショナルネットワークの5部構成シリーズ「製造業者のためのサイバーセキュリティ」の第1部では、サイバー攻撃への扉を開くインフラの弱点を発見する方法を説明しました。これらの脅威を軽減するには、単一のウイルス対策アップグレード以上のもの、継続的な警戒が必要です。しかし、システムを守ることは複雑である必要はありません。ここでは始め方を紹介します。

従業員のデータ・情報アクセスを制限する

貴重な会社データへのアクセスを制限することは、情報セキュリティの最大の脅威であるヒューマンエラーのリスクを減らします。従業員は、仕事をするために必要なシステムと特定の情報にのみアクセスできるようにすべきです。

従業員が退職したり、別の拠点に異動したりした場合、すべてのシステムからパスワードとアカウントを削除し、社員証と入室キーを回収するなど、即座に保護措置を講じてください。

アクセス防止の一手間が、不満を持った元従業員の影響を制限する際には一ポンドの保護に匹敵します。

サージプロテクターと無停電電源装置（UPS）を設置する

無停電電源装置（UPS）は、停電時にデータを保存するのに十分なバッテリー寿命と時間を提供します。UPSのタイプとサイズが会社の基準と要件を満たしているか確認してください。

すべてのコンピューターとネットワーク接続デバイスをUPSに接続してください。機密性の低い電子機器と非ネットワーク機器には、標準的なサージプロテクターで十分です。メーカー推奨に従って、各UPSとサージプロテクターをテストし、交換してください。

OSとソフトウェアを定期的にパッチ適用・更新する

すべての従業員が使用するデバイス上のすべてのソフトウェアを定期的にパッチ適用・更新しない限り、すべての新しいアプリがサイバー攻撃への扉を開く可能性があります。

新しいコンピューターの購入時や新しいソフトウェアシステムのインストール時には、常にアップデートを確認してください。ソフトウェアベンダーは、サポート終了製品にセキュリティアップデートを提供する義務がないことに注意してください。例えば、Microsoft®は2020年1月にWindows 7のサポートを終了します。まだアップグレードしていないなら、今がその時です。

OSアップデートのダウンロードを遅らせないでください。これらのアップデートには、新しいまたは強化されたセキュリティ機能が含まれることがよくあります。

ソフトウェアおよびハードウェアファイアウォールをインストール・有効化する

ファイアウォールは、悪意のあるハッカーを阻止し、従業員が不適切なウェブサイトを閲覧するのを防ぎます。すべての従業員のコンピューター、スマートフォン、ネットワークデバイスにファイアウォールシステムをインストールし、更新してください。

クラウドサービスプロバイダー（CSP）や仮想プライベートネットワーク（VPN）を使用していても、オフサイトの従業員も含めてください。さらに高い保護レベルのために、侵入検知/防止システム（IDPS）の設置も検討してください。

すべてのワイヤレスアクセスポイントとネットワークを保護する

安全なワイヤレスネットワーキングのために、以下のルータベストプラクティスを使用してください：

• 新しいデバイスの管理パスワードを変更する
• ワイヤレスアクセスポイントを、サービスセット識別子（SSID）をブロードキャストしないよう設定する
• ルーターをWiFi Protected Access 2（WPA-2）に設定し、暗号化にAdvanced Encryption Standard（AES）を使用する
• WEP（Wired-Equivalent Privacy）は使用しない

顧客や訪問者にワイヤレスインターネットアクセスを提供する場合、ビジネスネットワークから分離されていることを確認してください。

Webおよびメールフィルターを設定する

メールとWebブラウザフィルターを使用して、ハッカーを阻止し、スパムが従業員の受信箱を詰まらせるのを防ぎます。マルウェアリスクをもたらすリスクの高いウェブサイトへのアクセスをブロックする「ブラックリスト」サービスをダウンロードすることもできます。

ポルノサイトやソーシャルメディアなど、サイバーセキュリティ脅威と頻繁に関連付けられるサイトへのアクセスを従業員に控えるよう注意してください。これは当たり前のことのように思えますが、たった一人の従業員が間違ったサイトを訪れ、気づかぬうちにマルウェアを会社システムにダウンロードするだけで事態は起こります。

機密ビジネス情報には暗号化を使用する

すべてのコンピューター、タブレット、スマートフォンをフルディスク暗号化で保護してください。暗号化パスワードまたはキーのコピーを、保存済みバックアップとは別の安全な場所に保管してください。

メール受信者は通常、復号化のために同じ暗号化機能を必要とします。暗号化ドキュメントと同じメールでパスワードやキーを送らないでください。電話や他の方法で伝えてください。

古いコンピューターとメディアを安全に廃棄する

古いコンピューターを寄付または廃棄する前に、ハードドライブのすべての貴重な情報をワイプ（完全消去）する必要があります。古いCD、フラッシュドライブ、その他の古いメディア上の機密ビジネスまたは個人データを削除してください。その後、これらを破壊するか、シュレッダー処理してくれる会社に持ち込んでください。機密紙情報はクロスカットシュレッダーまたは焼却炉で破棄してください。

従業員を教育する

サイバー警戒心を持った従業員は、情報セキュリティ脅威に対する最高の保護です。

すべての従業員が以下を知っている必要があります：

• メールでの業務利用と私的利用の許容範囲
• オフィスや自宅でのビジネス情報の取り扱い方
• サイバーセキュリティインシデント発生時の対応

すべての新入社員に貴重なデータ保護のトレーニングを行い、情報ポリシーに署名させてください。ニュースレターや継続的なトレーニングを活用して、サイバーセキュリティ文化を強化してください。

貴重なデータと情報を保護するための主要ステップを説明しました。次回、MEPナショナルネットワークの「製造業者のためのサイバーセキュリティ」シリーズ第3部では、サイバー攻撃を検知・認識するための仕組みの導入方法を紹介します。

製造業者向けサイバーセキュリティベストプラクティスに関するさらなるアドバイスについては、最寄りのMEPセンターのサイバーセキュリティ専門家にお問い合わせください。