(Wed)DX推進におけるセキュリティリスクとは?課題と対策のポイントを解説TweetDX現代企業にとってDX(デジタルトランスフォーメーション)推進はその規模に関わらず、避けられない取り組みです。自社の事業状況に合わせ、顧客との接点や業務プロセスの効率化などさまざまな面でDXに向けた施策が求められます。一方で、DX推進にともない、セキュリティリスクも増加します。今回は、DXへの取り組みにあたり、企業が考えるべきセキュリティの課題とその対策について解説します。▼この記事を書いた人サン・エム・システムコラム編集部でございます。内部不正による情報漏えいテレワーク等のニューノーマルな働き方を狙った攻撃セキュリティ対策への意識を強化しながらDXを進めましょう1.DX化で高まるセキュリティ対策の重要性はじめに、DX推進においてセキュリティ対策が不十分な場合に想定されるリスクについて解説します。1-1.情報漏えいやサイバー攻撃による損失セキュリティ対策が不十分な場合、不正アクセスやマルウェア感染による個人情報漏えいや金銭的被害などが発生し、企業や顧客に損失をもたらす可能性があります。企業の信用問題に関わるうえ、事後対応のコスト負担が発生します。上記のような事態が発生した場合、処理に追われ、通常業務が困難となることが予測されます。企業活動の大きな遅れとなり、競争力の低下を招きかねません。企業は、個人情報保護法や情報セキュリティ基本方針などの法的要件に従うことが求められています。不備があったり適切な対策を講じなかったりした場合、法的責任を問われるおそれがあります。情報漏えいやサイバー攻撃などのセキュリティ事件が発生した場合、企業の信頼性やブランド価値に影響を与えます。これによって顧客離れやマーケットシェアの低下につながり、社会的信用が失われるおそれがあります。2.DX推進におけるセキュリティの課題DX推進において考えられるセキュリティの課題としては、以下のようなものがあります。2-1.セキュリティ対策すべき範囲の拡大(社内外の境界がない)DXによって利用するデバイスやクラウドサービス、SaaS、モバイルアプリなどの増加により、セキュリティ対策が必要な範囲が拡大します。アカウントの管理やアクセス権限の制御、データの暗号化など、より細かいセキュリティ対策が必要です。モバイルアプリなどの利用も増えているため、スマートフォンやタブレットなどのデバイスからのアクセスに対して、適切な認証や暗号化を施すことが求められます。Things)の普及により、企業内のさまざまなデバイスがネットワークに接続されることも増え、これらに対する適切なセキュリティ対策が必要です。サイバー攻撃はますます巧妙化し、標的型攻撃やランサムウェア攻撃、ソーシャルエンジニアリングなど、多種多様な手法が見られるようになりました。クラウドサービスやSaaS、モバイルアプリなどは、IoT機器の増加によってセキュリティの脆弱性が狙われるリスクが高まるため、相応の対策が必要となります。2-3.セキュリティ人材の不足セキュリティリスクに対処するためには、専門的な知識やスキルを持ったセキュリティ人材が必要です。多くの企業が人材不足で悩むなか、適切な人材の獲得は容易なことではありません。多様化、高度化するセキュリティリスクについて対応するための人材育成には、時間と負担がかかります。経験や知識を積むには長い時間が必要なうえ、セキュリティ技術や脅威は常に進化しており、常に最新の知識やスキルを持ち続けることが求められます。3.DX推進におけるセキュリティ対策のポイントセキュリティ対策を実施する際に、押さえるべきポイントを解説します。3-1.経営層のリーダーシップによるセキュリティ対策の遂行デジタル技術の活用の進展にともない、従来とは異なる全社的なセキュリティ体制が必要となっています。先に見てきたように、セキュリティリスクの存在は従来よりも幅広く、あらゆる角度からの対策が求められます。全社的なセキュリティ体制の確立は、経営層のリーダーシップなくしては実現できません。3-2.DX時代に合わせた端末・ネットワークセキュリティの見直しと強化モバイルデバイスやIoT機器など、多様化する端末に即したセキュリティ施策を実施していきます。具体的には以下のような方法があります。・外部からのメディア持ち込みの制限3-3.最新動向の収集セキュリティの脅威は日々進化しており、その対策も常に最新の情報に基づいて行う必要があります。日常的に流行、頻発しているサイバー攻撃の動向を押さえ、使用しているOSや機器類の脆弱性に関する情報を集めなければなりません。脅威に対して講じるべき対応を検討し、法制度やガイドラインに関する情報のチェックも必要です。3-4.セキュリティ人材の確保、育成セキュリティ対策の中核を担う人材の確保は、非常に厳しい状況にあります。セキュリティ人材を獲得するにあたり、社内・社外双方に目を向けた登用が必要です。「DX人材」について詳しく知りたい方はこちらの記事をご参考にしてください。社員がセキュリティに関する知識やスキルを持っているかどうかによって、日々の業務のなかでのリスク管理に大きな差が生じます。一般社員を含め、リスクや脅威についての理解を深めながら、正しいセキュリティ対策を実践できるように図ります。社員に対するフィッシング攻撃・サーバー攻撃・ウイルスメールの模擬を実施するなどして、緊急時に備えます。社員に対し、パスワードの作成方法や管理方法の指導を行い、管理を強化します。セキュリティポリシーを策定し、社員に周知徹底を図ることも大切です。定期的に社員のセキュリティリテラシーをチェックし、必要な施策を実施します。システムの導入、セキュリティ監視の強化や必要に応じた見直しを行い、全社的な監視体制を整備します。2023」を参考に、企業が実際に受けた被害を紹介します。4-1.ランサムウェアによる被害:ウイルス(ランサムウェア)に感染させて金銭を要求2022年3月、システムの脆弱性を悪用してランサムウェアを配置するという事例が発生しました。Directoryを管理するためのウェブサービスにリバースプロキシサーバー経由でアクセスされ、ウェブサービスの脆弱性を悪用されてADサーバーに侵入されました。その後、ランサムウェアを自動で配布するバッチファイルを設定され、組織内の機器がランサムウェアに感染し、被害が拡大しています。4-2.サプライチェーンの弱点を悪用した攻撃2022年3月、トヨタ自動車が小島プレス工業のシステム障害により、国内全工場の停止を余儀なくされました。システム障害は小島プレス工業の子会社の社内ネットワークを介して同社の社内ネットワークに侵入され、ランサムウェア攻撃を受けたことによるものであったことがわかりました。4-3.標的型攻撃による機密情報の窃取メールやウェブサイトからウイルスに感染させる例も報告されています。2022年6月に、シンクタンクへの標的型メール攻撃があったことを警察庁が公開。メールには個人情報の圧縮ファイルが添付されており、データの代行登録を依頼するという、業務に関連した内容であったとのことです。疑いで警視庁に逮捕されました。同社長は2020年11月にライバル企業から転職し、元部下を利用して商品原価等の営業秘密を持ち出しました。転職先の商品企画部長はデータを不正利用した疑いで、また転職元の元部下はデータのパスワードを漏えいしたとして共に逮捕されています。4-5.テレワーク等のニューノーマルな働き方を狙った攻撃2022年6月、ニチリンの米国子会社がランサムウェア「mlock」に感染していたことを公表しています。攻撃者は外部とのリモート接続における設定の脆弱性を悪用し、サーバーに侵入しました。侵入後、別のサーバーにリモートアクセスツールなどをインストールし、ネットワークを偵察。その後、ネットワーク全体にランサムウェアを配布していたことがわかりました。5.セキュリティ対策への意識を強化しながらDXを進めましょう企業DXは今後の継続的な安定経営に向け、必要不可欠となる取り組みです。セキュリティへの意識が十分でないまま最新技術の導入にのみ気を取られていると、思わぬリスクを被るおそれもあります。DXの成果を確実に得ていくためにも、自社のセキュリティ体制の強化や見直しも同時に行いましょう。サン・エム・システムでは、DX推進に必要なセキュリティ対策についてきめ細やかなアドバイスを行っています。頼れるパートナーをお探しの際には、ぜひご活用ください。サイバーセキュリティサービス弊社では、DXに課題をお持ちの企業様に向けてDXアドバイザーサービスを提供しております。DXに取り組みたいけど、どうすればいいか迷っている、時間が無くて困っているなどのお悩みの方はぜひサービスサイトをご確認ください。当ブログからのリンクやバナーなどで移動したサイトで提供される情報、サービス等について一切の責任を負いません。当ブログのコンテンツ・情報について、できる限り正確な情報を提供するように努めておりますが、正確性や安全性を保証するものではありません。情報が古くなっていることもございます。当サイトに掲載された内容によって生じた損害等の一切の責任を負いかねますのでご了承ください。)することを禁止します。することも一切認めておりません。当ブログは著作権や肖像権の侵害を目的としたものではありません。著作権や肖像権に関して問題がございましたら、お問い合わせフォームよりご連絡ください。迅速に対応いたします。リンクについて当ブログは基本的にリンクフリーです。リンクを行う場合の許可や連絡は不要です。インラインフレームの使用や画像の直リンクはご遠慮ください。