情報セキュリティはITやインターネットを利用する企業や組織であれば決して無視できない課題です。

しかし、情報システム部やセキュリティ担当は理解していても、他の従業員が曖昧な理解のままではセキュリティ性が保持されません。なるべくなら全従業員がある程度セキュリティに関する知見を持った方が、当然ながらセキュリティ性は格段に高まります。

今回は、情報セキュリティで最低限押さえておくべきポイントや対策についてご説明します。

情報セキュリティで最低限押さえておくべきポイント

まずは情報セキュリティを理解する上で最低限押さえておくべきポイントを見てみましょう。

機密性 - confidentiality

情報セキュリティにおける機密性とは情報へのアクセスを許可された人のみがアクセスできるようにすること、または許可されていない人に対してアクセス制限や閲覧制限、または非表示及び非公開にすることを指します。

情報及び情報資産においては、単なる閲覧だけでも直接的及び間接的な被害となる恐れがあります。例えば、特定の人物の個人情報を悪意のある第三者に見られたとすれば、それをどのような形で悪用されるかわかりません。企業や組織における機密情報を閲覧されてしまえば、将来的な利益や売上を失ったり、場合によっては存続が危うくなったりすることも考えられます。

完全性 - integrity

情報セキュリティにおける完全性とは、情報資産が正確であり、破損や改竄、または消去がされていない状態を維持することを指します。完全性においては情報や情報資産にアクセスした人が正しく情報を受け取るために必要です。完全性が保たれていない場合、利用者はそれを正しい情報と信じてしまうことで、何らかの被害を被る可能性があります。

例えば、公式のホームページだと思ってアクセスしたところ実は改竄されており、フィッシング詐欺によって情報を抜き取られたとしたら、利用者に被害が及ぶだけでなく、企業や組織としての信頼を大きく失墜させることにもなります。また、改竄された情報を元に利用者が申し込みや電話、メール送信を行えば、別の詐欺被害に遭うことも考えられるでしょう。

可用性 - availability

情報セキュリティにおける可用性とは情報へのアクセスが許可された人が常に情報を取り扱えるようにしておくことを指します。特定のシステムやユーザーにログインしたのに、自分自身の情報を取り扱えなかったり、権限を割り振られて許可されている情報を取り扱えなかったりすると大変困ります。

ユーザーや利用者は許可された範囲のシステムやデータなどの情報を利用したり、アクセスしたりする権利や権限があり、それらを妨げるような仕組みにしてはならないことと言えます。

ここまでの機密性・完全性・可用性が情報セキュリティにおける最低限覚えておくべき3つのポイントとなります。次項からは情報セキュリティにおける拡張された定義として補足されている部分ですので併せてご覧ください。

真正性 - authenticity

情報セキュリティにおける真正性とは情報が正しいものであるかを確実及び明確にすることを指します。同時にユーザーや利用者が本人であることを確認し、なりすましや不正ログインなどを防ぐことです。

情報や情報資産を管理する側と利用する側の双方に真正性が必要であり、どちらかの真正性が損なわれてしまうことで何らかの被害を受けてしまう可能性があります。例えば、情報や情報資産を管理する側が杜撰であり、誰でも情報にアクセスや操作できてしまえば大問題です。逆に利用する側が不正に入手した方法でログインし悪用できてしまうような状態にしておくべきではないということでもあります。

責任追跡性 - accountability

情報セキュリティにおける責任追跡性とは情報の閲覧や編集などの動作、または情報を取り扱っている人を追跡できるようにすることを指します。いわゆる内部不正などが起きた場合や外部からのサイバー攻撃などが起きた場合に原因の究明をしやすくしておくことです。

例えば、サイバー攻撃によって不正ログインが起きた場合でも本人ではないことがわかれば本人に責任を追求せずにすみます。逆に内部不正が起きた場合に誰がいつどのパソコンでアクセスしたのか明確になれば、責任の所在を明らかにできますし、新たな防衛策を講じることにもつながります。

否認防止 - non-repudiation

情報セキュリティにおける否認防止とは、既に起きた事実や事象を後から否認されないように証拠を残す仕組みを指します。例えば、SNSや掲示板において他人への誹謗中傷や名誉毀損などを投稿した場合にIPアドレスなどのアクセス履歴やログを保持しておくことで個人を特定できるようなことを意味します。

簡単に言えば不正なログインをしたのに「していない」と言わせないための証拠、または不適切な発言を「言ってない」と言わせないための証拠と言えます。情報資産の面で言えば、勝手にデータへのアクセスや操作を行ったのに、やってないとは言わせないことです。

信頼性 - reliability

情報セキュリティにおける信頼性とは設計者や利用者が意図した通りの出力や結果がされることを指します。電卓アプリで思ったとおりの計算結果が出ることと言えばわかりやすいでしょう。システムやオンラインサービス、ソフトウェアではユーザーや利用者が結果を知るために利用することがあり、もしシステム自体のバグやエラーで求める結果が出せなければ問題と言えます。逆に正しい結果が出せないのにユーザーや利用者がそのまま情報を利用してしまった場合に何らかの損害を与えることも考えられます。

もし、オンラインサービスやツール、ソフトウェアなどでそのようなことが起これば、ユーザーや利用者からの信頼を失うだけでなく、過去に遡って何らかの賠償をしなければならないことも考えられ、それだけ情報セキュリティにおける信頼性は大切な要素と言えるでしょう。

情報セキュリティ対策について

次に情報セキュリティ対策についての基礎的な考え方や、セキュリティに詳しくない方でも覚えておいていただきたい事柄についてご説明します。

情報セキュリティは心構えだけでは対策できない

情報セキュリティは心構え、もしくは知見や知識だけでは対策できません。セキュリティに関する知識や経験とともに、普段から利用するデバイスやシステムで対策する必要があります。

まずは普段利用しているデバイスやネットワーク、システムやOS、ソフトウェアが対策されているのかどうか、情報システム部やセキュリティ担当が提供している情報はないかどうかなどをチェックしましょう。

その上で、自分自身が利用するデバイスが管理しきれておらず、何らかの脆弱性を残したままだと気づいたのであれば、すぐに情報システム部やセキュリティ担当に報告・連絡・相談すべきです。

常に最新の情報へアップデートが必要

情報セキュリティは日々増えていくサイバー攻撃の手法や発見された脆弱性など、常に最新の情報へアップデートする必要があります。これらは知識として知っておくだけでなく、具体的にどうすれば対処できるのかを実践するまでを指します。

例えば、アップデートしなければならないのは知っているけれど、不具合やエラーが出るからアップデートしない、またはうっかり忘れていたという状態では、セキュリティホールが塞がれないままサイバー攻撃の被害を受ける恐れがあります。

可能な限り最新の情報への知識のアップデートとともに具体的な対処法の実践を行うことをおすすめします。

システム面に不安があるなら「AssetView」がおすすめ！

社内や組織内でシステム面において情報セキュリティ対策がされていない、もしくはデバイスの管理は個々に任されているような状況であれば、当社の提供する「AssetView」の導入をおすすめします。

情報セキュリティにおける情報資産を管理する機能に優れており、物理的なデバイスの管理、ネットワークの状況、ソフトウェアやOSのリモート管理、従業員のPC操作ログや監視の機能など情報資産を守るための機能を備えております。

もし、情報セキュリティにおいてシステム面に不安があるなら、この機会にぜひともお問い合わせ、ご相談ください。

まとめ：DXの推進と並行して情報セキュリティ対策をしよう

今回は情報セキュリティで最低限抑えておくべきポイントや対策についてご説明しました。

情報セキュリティに不安を感じている場合として、情報システム部どころかセキュリティ担当さえ配置されておらず、いつのまにかデバイスやソフトウェア、ツールやOSが増えてしまったという状況もあるでしょう。従業員の学習や知識、経験に漠然と頼ってしまい、曖昧なままセキュリティ対策を怠っている場合も考えられます。

デジタル庁も新設され、国を挙げてのDXの推進と並行して、情報セキュリティ対策もしっかり講じておくことをおすすめします。大丈夫だろうという甘い見通しのまま最新の技術を導入するのではなく、安心・安全に運用するためのシステムやツールを用いることを忘れないようにしてください。