ハッキングと防御戦略を扱う世界有数のITセキュリティポータル、Hacker Labは最近、サイバー犯罪者の手口と、小規模事業者が自らを守るためにできることを、ホワイトハットハッカーによる実演を通じて紹介した。同団体はマルチメディアプレゼンテーションを用い、ハッカーが標的を選ぶ戦略、システムへの侵入プロセス、侵害された後に可能となる行為を説明した。
「Hacker Lab」は、データおよび情報リスクを専門とする保険会社（ミュンヘン再保険の一部）のHartford Steam Boiler Inspection and Insurance Company（HSB）と、ニューヨーク市を拠点とするサイバーセキュリティ企業Trail of Bitsが主催した。このイベントは、小規模事業者向けにリスク管理とリスク軽減のためのリソースを提供することを目的としていた。
あらゆる小規模事業が脆弱
小規模事業者向けの主なポイントは次のとおり。
サイバー犯罪者は小規模な事業体を標的とみなすだけでなく、その顧客を攻撃するための経路としても利用する。
小規模事業体は、自らの資産と、他者にとって価値のあるデータを特定しなければならない。必要な情報だけを保管すべきである。また、メールやソーシャルメディアには使わない、金融取引専用の端末も使用すべきである。
サイバー攻撃の大半は、メールやブラウザーを通じて組織に侵入する。事業体は、これら両方の侵入口を保護するために必要な措置を講じなければならない。
HSBがPonemon Instituteと共同で実施した調査によると、小規模から中規模の企業の半数以上がデータ侵害を経験しており、約4分の3はすべてのデータを復旧できない。
「問題は深刻化している。幸い、企業は破壊的な犯罪者の侵入から自らを守るための措置を講じることができる」と、HSBの戦略製品担当副社長、Eric Cernakは述べた。
もう一人の著名なハッカーで、NYU工学部に在籍し、Trail of Bitsの創業者兼CEOを務めるDan Guidoも、企業はハッカーに先手を打つ必要があるという点に同意した。
Hacker Labでは、CernakとTim Zeilmanによるリスク管理の議論も行われた。サイバー攻撃を防ぐ方法、攻撃による法的・金銭的・評判上のコスト、そしてハッキングされた場合やその際に小規模事業者が取るべき対応が取り上げられた。
すべての企業が取るべき10の対策
HSBとTrail of Bitsは、次のリスク管理のヒントを提供した。
1. 決済処理を外部委託する
クレジットカード情報を自社で扱うのは避けよう。評判の良いベンダー（POS決済でもウェブ決済でも）は、専任のセキュリティ担当者を配置しており、小規模事業者よりも適切に情報を保護できる。
2. ソーシャルメディアと金融取引を分ける
オンラインバンキング専用のコンピューターを使用する。メールやソーシャルメディアには別の端末を使うようにする。そうしなければ、感染したソーシャルサイトを一つ訪れただけでも、銀行取引用の端末や預金口座が侵害される可能性がある。
3. パスワードだけに頼らない
同じパスワードを使い回してはならず、どのウェブサイトもパスワードを安全に保管してくれると信頼してはならない。サイトがすでにハッキングされ、パスワードが侵害されているかどうかは分からない。利用可能な場合は必ず二要素認証を設定し、本人確認の追加手順として携帯電話に秘密のコードを送信する。
4. 従業員を啓発し、訓練する
データセキュリティに関する文書化された方針を作成し、実施する。全従業員に周知する。どの種類の情報が機微または秘密情報にあたるか、また、そうした情報を大小にかかわらず保護する責任が何であるかを従業員に教育する。詐欺や悪意ある攻撃の大半はメールで届くため、チームが不審なメールを見分けられるようにし、受信した際に組織内の関係者へ知らせるよう徹底する。
5. 情報を常に把握する
攻撃の可能性がある場合、事象の連鎖全体を監視する。メール基盤へのアクセスから、ユーザーの対応状況、ブラウザーの脆弱性に至るまで、組織内で最もリスクの高い領域を特定する。そのうえで、自社の事業部門、ベンダー、サプライヤー、パートナーのセキュリティ対策を問い直す。
6. 暗号化されていないデータの送信をやめる
データが常時暗号化されていることを確認する。これには「保存中」と「転送中」のデータが含まれる場合がある。個人情報を含む組織内のメールも暗号化を検討する必要がある。データを傍受される可能性のあるWi-Fiネットワークの使用は避ける。
7. ブラウザーを保護する
信頼できるウェブサイトに疑わしいコードを仕込む「水飲み場型攻撃」が増えるなか、どのサイトを信頼できるか、どう判断すればよいだろうか。個別のパッチにこだわるのではなく、ブラウザーを最新バージョンに更新することに重点を置く。その後、ブラウザーの設定に弱点がないかをテストする。
8. オペレーティングシステムを保護する
Windows XPなどの古いオペレーティングシステムは更新されなくなっているため、侵入が容易である。大幅なセキュリティ改善を活用できるよう、現行のオペレーティングシステムを使用していることを確認する。
9. ルーターを保護する
ルーターはネットワークやコンピューターをインターネットに接続する。ルーター経由で送信されるすべてのデータを傍受されないようにする。ルーターには強力な管理者パスワードを設定し、Wi-Fi接続にはより安全なWPA2パスワードを設定することが不可欠である。
10. データを保護する
事故や攻撃でデータを失った場合、バックアップがあれば必ず助かる。火災や侵入盗に備え、バックアップは暗号化し、別の場所に保管する。
組織内でこうしたセキュリティ対策を実施すれば、ハッカーにとって魅力の少ない標的となる。また、ハッカーによるデータ窃取が成功した場合に備えて保護を提供する、データ侵害・ネットワークセキュリティ保険への加入も検討すべきである。
本記事は LinkedInとの協力により掲載されています。掲載は、世界経済フォーラムが見解を支持することを意味するものではありません。
フォーラムのAgendaの最新情報を受け取るには、 週刊ニュースレターに登録してください。
著者：Steve Andersonは、The Anderson Agency Reportの編集長。
画像：2013年2月28日、ワルシャワで男性がコンピューターのキーボードを打つ様子を写したイメージ写真。REUTERS。
