中小企業が今すぐ実践すべきネットワークセキュリティ5つの鉄則

ゲスト寄稿：デビッド・ハンフリーズ、CISSP、Avasekプリンシパルセキュリティコンサルタント

「自社は小規模だからサイバー犯罪者の目に留まらない」と思っているなら、今すぐ考えを改めてください。Symantecの2016年脅威データによれば、全サイバー攻撃の43%が中小企業を標的としています。2011年の18%から大幅に上昇しています。

現在、中小企業40社に1社がサイバー犯罪の被害リスクにさらされており、攻撃者は「狙いやすい標的」を慎重に選んでいます。

以下のネットワークセキュリティ鉄則で、データを守り抜いてください。

1. 従業員を教育する

中小企業最大のサイバーセキュリティ脅威は「人的ミス」です。共有PCでアカウントをログインしたままにする、パスワードを定期的に変更しない、悪意あるファイルを誤ってダウンロードする、フィッシング詐欺で情報を渡してしまう、などが典型例です。

適切なサイバーセキュリティ教育で、このリスクを軽減できます。フィッシング詐欺の兆候と被害時の対応、ソフトウェア更新の重要性、業務・私用デバイスの更新方法を周知徹底してください。

セキュリティポリシーを策定し、従業員に理解させましょう。ポリシーには、デバイス・ネットワークアクセスルール、パスワード強度と変更頻度、ファイル共有ベストプラクティス、セキュリティアプリケーションポリシー、紛失・盗難デバイスの報告手順などを含めます。

2. ソフトウェアを常に最新に保つ

もう一つのよくある脅威は「古いソフトウェア」です。WebサイトCMS、財務・在庫管理ソフト、アンチウイルス、OSを問わず、すべてのソフトウェアを最新状態に保つことに注力してください。

古いバージョンは、サイバー犯罪者が抜け穴を熟知しているためハッキングされやすくなります。アップデートはそれらの脆弱性を塞ぎ、機能改善によりウイルス、マルウェア、その他のハッキングからビジネスを守ります。

古いハードウェアではアップデートが提供されないケースもあり、数年ごとにPCや機器を更新する必要があります。

3. Wi-Fiを守る

社内Wi-Fiネットワークは、サイバー犯罪者の侵入口になり得ます。しかし、以下の対策でインターネット接続を守れます。まず、ファイアウォールを導入し、ネットワークを通過するすべてのデータを暗号化してください。

ルーターにパスワードを設定し、従業員のみアクセス可能にします。ネットワーク名（SSID）をブロードキャストしない設定（ステルスモード）にして、第三者がアクセスを試みられないようにすることも検討してください。

顧客・ベンダー用にパブリックWi-Fiが必要な場合は、専用の別ネットワークを構築してください。ただし、従業員が機密データにアクセスする際は、必ずセキュアな方のネットワークに接続するよう徹底してください。

4. VPNを活用する

仮想プライベートネットワーク（VPN）は、Web閲覧にセキュリティ層を追加します。特に、公共または非セキュアなネットワークで業務ファイルにアクセスする際に有効です。

VPNプロバイダーは、データを自社サーバー経由でルーティングし、IPアドレスを隠蔽、データを暗号化して、閲覧履歴、パスワード等をハッカーから守ります。従業員がVPNを利用できれば、外出先でのアカウント・ソフトウェアアクセス時にパスワードや業務ファイルが傍受されるリスクを低減できます。

大企業は自社VPNを構築することが多いですが、中小企業では現実的でない場合もあります。しかし、VPNサービスプロバイダーの利用という選択肢があります。インターネット上に多数のVPNサービスがありますが、無料VPNは信頼性に欠けるため避けてください。

5. 二要素認証（2FA）を有効にする

二要素認証が利用可能なら、必ず有効にしてください。ユーザーが認証をオンにしていなかったり、古いバージョンを放置したりすると、クラウドデータベースがハイジャックされるケースが多発しています。Symantec「2017年インターネットセキュリティ脅威レポート」でも、クラウドインフラの脆弱性が深刻な脅威とされています。

クラウドサービス利用・アクセス時の安全な運用ルールを確立し、セキュリティ責任をクラウドプロバイダーに丸投げしないでください。

サイバーセキュリティは企業規模を問わない課題ですが、適切な予防措置を講じれば、次の被害者になるリスクを大幅に減らせます。

 

DVIRCと戦略的パートナーが貴社のサイバーセキュリティニーズをどう支援できるか、詳細をご覧いただくか、お問い合わせください。