【最新】あなたの会社は大丈夫？2023年のサイバーセキュリティ対策②

（今年のGWは●●などもあり、出社後のメール開封に細心の注意をされたのではないでしょうか？）

 

前回は「2023年脅威となるサイバー攻撃と基本的な対策」を解説しました。

今回は「情報セキュリティ10大脅威 2023」の1位～5位の詳細と対策をわかりやすく解説します。

●情報セキュリティ10大脅威 2023

 

＜出典：独立行政法人 情報処理推進機構/情報セキュリティ10大脅威 2023 https://www.ipa.go.jp/security/10threats/10threats2023.html＞

 

 

【1位】ランサムウェアによる被害

～ウィルス(ランサムウェア)に感染させて金銭を要求～

 

　▼脆弱性を悪用してウィルスに感染させる

　　・社内管理情報や顧客の情報の搾取

　　・Active Directory*を管理するためのウェブサービスの脆弱性を悪用されてAD*サーバーに侵入される

 

　▼攻撃ツール等を利用した不正アクセスによるランサムウェア感染

　　・リモートデスクトップ接続が可能なウェブサーバーへ、パスワード総当たり攻撃により不正侵入→ランサムウェア)感染

 

 

【対策】専門知識を持つ責任者を配置/セキュリティ対策ツールの利用や設定の見直し/セキュリティ診断やペネトレーションテストの実施

 

【2位】サプライチェーンの弱点を悪用した攻撃

～サプライチェーンの中でセキュリティが脆弱な組織を狙う～

 

　▼標的対象のサプライチェーンの取引先や委託先を攻撃し、保有する標的対象の機密情報を狙う

　　・協力企業の子会社が、外部企業との専用通信を行うためのリモート接続機器の脆弱性を悪用され、不正アクセスが行われる

　▼ソフトウェア開発元やMSP(企業システムの運用・監視を請け負う事業者)等を攻撃し、攻撃するための足掛かりにする

　　・ソフトウェアのアップデートにウィルスを仕込み、アップデートを適用した利用者にウィルスを感染させる

 

【対策】業務委託や情報管理における規則の徹底/情報セキュリティの認証取得/公的期間が公開している資料の活用/取引先や委託先組織の情報セキュリティ対応の定期的な確認、監査

 

【3位】標的型攻撃による機密情報の搾取

～メールやウェブサイトからウィルスに感染させる～

 

　▼メールを利用した＜標的型攻撃メール＞

　　・不正な添付ファイルを開かせる

　　・不正なウェブサイトへのリンクをクリックさせる

 

　▼ウェブサイトを利用した＜水飲み場型攻撃＞

　　・標的組織が頻繁に利用するウェブサイトを調査し、当該サイトを閲覧するとウィルスに感染するように改ざん

 

 

【対策】セキュリティポリシーの策定/インシデント対応の定期的な訓練を実施/総合運用管理ツール等によるセキュリティ対策状況の把握/セキュリティ診断・ペネトレーションテストを行う

 

【4位】内部不正による情報漏洩

～内部の従業員は重要情報にアクセスしやすく、悪意をもって情報を外部提供してしまう～

 

　▼アクセス権限の悪用

　　・付与されたパスワードを悪用し、組織の重要情報を取得

　　・必要以上のアクセス権限を付与していると被害が大きくなる

　▼在職中に割り当てられたアカウントの悪用

　　・在職中に使用していたアカウントを使って不正に情報を取得

　▼内部情報の不正な持ち出し

　　・USBメモリー、HDD、メール、クラウドストレージ、スマホカメラ、紙媒体などでの持ち出し

 

【対策】情報取り扱いポリシーの作成など基本方針の策定/記録媒体の利用制限、持ち出し・持ち込みの管理/情報リテラシーや情報モラルの向上/システム操作履歴の監視

 

 

【5位】テレワークなどのニューノーマルな働き方を狙った攻撃

～テレワーク環境や管理体制の不備～

 

　▼テレワーク用ソフトの脆弱性を悪用した不正アクセス

　▼テレワーク移行時の、セキュリティ対策が不十分な暫定状態のまま運用、管理体制の不備

　▼私物PCや自宅ネットワークの利用

　　※組織のセキュリティ対策が適用されないところからの情報漏えいの恐れ

 

 

【対策】テレワークのセキュリティポリシーの策定/有事の際の連絡窓口やフローの確立/テレワークの規定や運用ルールの整備/セキュリティパッチの適用/多要素認証の設定を有効にする

 

 

今回は、2023年脅威となるサイバー攻撃「情報セキュリティ10大脅威 2023」の1位～5位の詳細と対策を解説しました。

次回は、特に社内で見落としがちになりやすい内容も含まれる6位～10位の詳細と対策について掲載予定です。

* Active Directory【アクティブディレクトリ / AD】とは、Windows Serverの機能の一つで、企業内で管理しているパソコンをドメインと呼ばれる領域の内部で一括管理できる機能。

* 

 

＜出典：独立行政法人 情報処理推進機構/情報セキュリティ10大脅威 2023 https://www.ipa.go.jp/security/10threats/10threats2023.html＞