中小企業が実施するべきセキュリティ対策とは？
近年、サイバー攻撃の被害は大企業だけでなく、中小企業にも広がっています。
中小企業は「専門のIT部門がない」「人的リソースが不足している」といった理由からセキュリティ対策が不十分になりやすく、脅威に対応できないケースも少なくないでしょう。また、サプライチェーン攻撃の踏み台として狙われるケースも十分に考えられます。
本記事では、中小企業が実施するべきセキュリティ対策について解説します。
中小企業が直面する可能性があるサイバー攻撃の例と対策
はじめに、中小企業が直面する可能性があるサイバー攻撃の例を4つ紹介します。企業が実施するべき対策も併せて紹介しますので、参考にしてください。
ランサムウェア攻撃
ランサムウェア（Ransomware）とは、企業のパソコンやサーバー内のデータを暗号化し、元に戻すための「身代金（ランサム）」を要求するマルウェアのことです。攻撃者は 「データを復旧したければ〇〇万円を払え」 といった形で企業を脅迫します。 ランサムウェア攻撃の主な手口は下記の3つです。
● 「請求書の確認」「重要な更新」といったタイトルの偽メールを送り、 メールの添付ファイルやリンクを開かせる
●正規サイトに見せかけた偽サイトからダウンロードさせる
●OSやソフトの脆弱性を狙う
中小企業が狙われやすい理由としては、セキュリティ対策の甘さやバックアップが不十分な点などが挙げられます。また、従業員へのセキュリティ教育が不十分だと、偽メールや不審なリンクを開くリスクが高くなります。
ランサムウェアに対する対策
ランサムウェアに対する対策は、下記のとおりです。
● 不審なメールや添付ファイルを開かない（従業員教育を徹底する）
● OS・ソフトウェアを最新に保ち、脆弱性を修正する
●ウイルス対策ソフトやEDR（Endpoint Detection and Response）を導入する
●定期的にバックアップを取得する
●万が一感染したら、すぐにネットワークを切断して拡散を防ぐ
下記の記事でランサムウェアの手口や対策について詳しく解説しています。こちらも参考にしてください。
フィッシング詐欺
フィッシング詐欺とは、偽のメールやWebサイトを使って、銀行口座情報やクレジットカード情報、ログインID・パスワードなどの機密情報を盗む詐欺行為のことです。攻撃者は、Amazonや銀行、クレジットカード会社、政府機関などを装ったメールを送信し、偽のWebサイトに誘導します。
最近では、SMSやSNSを使った手口も増えており、個人だけでなく企業の従業員を狙った攻撃も急増しています。企業のメールアカウントを乗っ取られると、取引先や顧客に二次攻撃が広がるため注意が必要です。
フィッシング詐欺に対する対策
フィッシング詐欺に対する対策は下記のとおりです。
●多要素認証（MFA）を設定し、乗っ取りを防ぐ
●メールフィルタリングを強化し、怪しいメールを自動的にブロックする
●万が一フィッシングに引っかかった場合はすぐにパスワードを変更する
●クレジットカード情報を盗まれたら速やかにカード会社に連絡する
サプライチェーン攻撃
サプライチェーン攻撃とは、企業の直接のセキュリティ対策を突破するのではなく、その取引先や委託先の弱点を突いて攻撃する手法のことです。特にセキュリティ対策が手薄な中小企業を狙い、そこを踏み台にして大企業や他の取引先へと攻撃を広げるケースが増えています。
たとえば、大企業の取引先である中小企業のシステム会社を狙い、そこから大企業のネットワークにマルウェアを侵入させるといった手口が挙げられます。
サプライチェーン攻撃に対する対策
サプライチェーン攻撃に対する対策は下記のとおりです。
●取引先のセキュリティ基準を確認し、安全な企業とだけ取引する
●外部からのアクセスを許可する際は最小限の権限を付与する
● EDR（Endpoint Detection and Response）を導入し、不審な挙動を即座に検知する
●ゼロトラストセキュリティを導入し、外部アクセスの監視を強化する
内部不正・情報漏洩
内部不正・情報漏洩は、企業内部の従業員や関係者が意図的または過失によって、機密情報や顧客データを外部に流出させることです。情報漏洩は、大きく分けて 「従業員の不注意による漏洩」 と 「悪意ある内部関係者による不正」 の2種類があります。
内部不正・情報漏洩に対する対策
内部不正・情報漏洩に対する対策は下記のとおりです。
●クラウドストレージのアクセス権限を最小限にする
●退職者のアカウントを即時削除し、アクセス権限を取り消す
●社内の機密データへのアクセス履歴をログで記録し、監視する
● 情報の持ち出しを制限し、機密ファイルは印刷・ダウンロードできないように設定する
まとめ
今回は、中小企業が実施するべきセキュリティ対策について解説しました。サイバー攻撃は大企業だけでなく、中小企業にも被害が拡大しています。「サイバー攻撃は他人事ではない」という意識を持ち、できるセキュリティ対策から実践していきましょう。
法人向けセキュリティソフトの一括比較ならこちらから↓