目次
DX時代におけるセキュリティ対策の重要性
DX(デジタルトランスフォーメーション)を推進するにあたり、セキュリティ対策は非常に重要です。DXは大なり小なり、多大な投資を実施して推進するものになりますが、そのうえでセキュリティ対策に不備があると以下のリスクが発生します。
- 業務上のリスク
- レピュテーションのリスク
- 財務上のリスク
推進したDXの取り組みが頓挫するだけでなく、ROIも十分に出せなくなってしまうという事態に陥ります。
また、レピュテーションのリスクや財務上のリスクは、IT部門だけでなく組織全体に影響が波及し、組織運営上のリスクとなりえます。例えば、日本の業務デジタル化を推進するデジタル庁がメールの誤操作による情報漏洩をおこしてしまった際には、SNS等で非難コメントが相次いで投稿されており、デジタル庁の権威低下につながっています。
（参考：デジタル庁“BCCとCC取り違え”メアド流出にネット苦笑）
また2014年に発生した通信教育大手企業の情報漏洩の事例では、約3000万件の個人情報が漏洩しました。被害者に情報漏洩に対する賠償を行うため、当該企業は200億円の原資を用意して対応する事態が発生しています。
（参考：株式会社ベネッセコーポレーション 情報漏洩の概要）
このように、セキュリティ対策はDXを進める上では非常に重要なファクターとなっています。
従来型セキュリティが抱える課題
ＤＸを進めるうえで重要なセキュリティ対策ですが、近年のサイバー攻撃の高度化により、従来のセキュリティ対策では攻撃されてしまうおそれがあります。近年のサイバー攻撃のトレンドと、必要なセキュリティ対策について記載していきます。
高度化するサイバー攻撃とは
従来であれば、ファイアウォールなど、内部・外部に境界を設け、境界の外からの攻撃をブロックし、中からのアクセスのみを許可する対策をとる企業が大多数でした。このような対策を『境界型セキュリティ対策』といいますが、近年は境界型セキュリティでは防御できないサイバー攻撃が数多く存在します。そのなかでも例を紹介します。
標的型メール攻撃
標的型メール攻撃とは、業務に関するメールだと信じるように巧妙に作り込まれたウイルス付きのメールを送信し、攻撃対象の組織にマルウェアを送り込む攻撃のことです。普通のメールと同じように受信されるため、境界型セキュリティによる防御が非常に難しい一方で、攻撃にあった場合の被害が大きいことが特徴です。
水飲み場攻撃
攻撃対象のユーザーがアクセスするWebサイトを改ざんし、閲覧するだけでウイルスに感染させる手法です。こちらも普通にWebサイトを閲覧していると感染する恐れがあるため、境界型セキュリティでは防御がほとんど不可能になっています。
デジタル化に必要なセキュリティとは
最新のサイバー攻撃を防ぐためにはどのような考え方が必要なのでしょうか。それは、従来の境界型セキュリティに加え、さらに多段階のセキュリティ対策を行い、攻撃を検知、防御、素早い対策を行えるようにすることが何よりも重要です。
DX時代のセキュリティを考える上でのポイント
DX時代のセキュリティを考える上でのポイントは、組織で利用している様々なITインフラにおいて、各所にセキュリティ対策を行い、万が一マルウェア等に感染しても被害を最小限にすることです（多段階セキュリティ）。具体的には下記のITインフラそれぞれに対策を実施することが重要になります。
- ネットワーク
- 端末
- クラウド
- 運用
具体的にどのような対策をしていけばいいのか、見ていきましょう。
ネットワーク…ゼロトラストセキュリティの活用
ゼロトラストとは「何も信頼しない」を前提に対策を講じるセキュリティの考え方です。従来の境界型セキュリティでは、ファイアウォールなどで仕切った内部の通信については安全な通信であると“信頼”していましたが、ゼロトラストセキュリティにおいては内部の通信も挙動を監視したり、認証のステップを追加したりと、さまざまなセキュリティ対策を講じることで、セキュリティの強化を実施します。
端末…エンドポイントセキュリティの強化
「Endpoint Security（エンドポイントセキュリティ）」とは、その言葉通り、エンドポイント、つまりITシステムの末端にあるデバイスに対しておこなうセキュリティ対策のことを指します。通常のマルウェア対策（ウイルススキャン）だけでなく、端末のログを集約したり、端末の通信の挙動を監視したり（ふるまい検知）することで、端末が未知のマルウェアに感染している場合も被害を最小限にします。
クラウド…クラウド型セキュリティの実現
近年、DXが進むにつれてAWS（Amazon Web Services）などのクラウド利用が進んでいますが、クラウドの設定ミスによる情報漏洩も数多く発生しています。そのような設定ミスを事前に検知して通知するサービスを導入することにより、万が一設定ミスが発生した際にも情報漏洩を防止することが可能になっています。
（参考：クラウドのセキュリティ事故の99%は設定ミス）
運用…DX時代のインシデント対応
セキュリティ対策を導入するだけでなく、セキュリティレベルを維持しながら、インシデント対応を行うセキュリティ運用も重要な要素です。極力自動化を行い、様々な攻撃に対応できるキャパシティを用意しておく必要があります。
DX時代の具体的なセキュリティ対策
DX時代の具体的なセキュリティ対策について記載していきます。
ネットワークのセキュリティ
SASE
SASE（Secure Access Service Edge：サッシー）は2019年にITコンサル大手のGartnerが提唱したネットワークの形式です。従来では企業のデータセンターなどにNW機器を配置してセキュリティ対策を行っていましたが、SASEはネットワークとセキュリティの機能を、クラウド上に配置して、柔軟なネットワークアーキテクチャを実現します。具体的には、近年リモートワークでオフィス外から社内にアクセスするケースがあると思いますが、SASEを利用するとクラウド経由でオフィスのネットワークにアクセスすることができ、様々な場所から安全かつ快適に仕事ができるようになります。
Beyond Corp
Beyond CorpとはGoogleが提唱しているゼロトラストセキュリティ実現の仕組みの1つです。ユーザーの端末や認証情報をクラウドに登録・集約することで、リモートでアクセス制御や多段階の認証を実施し、ゼロトラストセキュリティを実現します。Google Cloudを利用することで簡単に導入できることが強みです。
端末のセキュリティ
EDR
EDR（Endpoint Detection and Response）とは、ユーザーが利用するパソコンやサーバー（エンドポイント）における不審な挙動を検知する仕組みです。ウイルススキャンで検知・除去できないウイルスに感染した場合もウイルスを検知できるほか、調査のためのフォレンジックも可能になります。
クラウドのセキュリティ
CSPM
CSPM（Cloud Security Posture Management）とは、クラウド側の設定を自動的に確認し、セキュリティの設定ミスや各種ガイドライン等への違反が無いかを継続してチェックする仕組みです。チェックはAWSやGoogle Cloudなどの各クラウドにおけるベストプラクティスや、PCIDSSなどの業界団体標準をベースに行うことができる製品も存在します。
セキュリティ運用
SIEM
SIEM（Security Information and Event Management：シーム）とは、ファイアウォールやEDRなど様々なITインフラから出力されるログやデータを一元的に集約し、それらのデータを分析することでネットワークの監視やサイバー攻撃やマルウェア感染などのインシデントを検知する仕組みです。後述のSOARと組み合わせることでセキュリティ運用を高度化することが可能です。
SOAR
SOAR (Security Orchestration Automation and Response：ソアー)とは、セキュリティインシデントの対応を自動化するための仕組みです。SIEMなどの監視の仕組みと連携して、インシデントの疑いがある事象に対して迅速に対応し、インシデントの拡大を未然に防ぐ役割を担います。
セキュリティ強化ソリューション導入事例
SASE導入事例…株式会社ADKアーツ
株式会社ADKアーツでは、さまざまな業務アプリを利用するうえで、セキュリティのリスク可視化と包括的な対策のためにSASEソリューションの1つであるnetsckopeを導入し、セキュリティ運用の簡素化と強化を実現しています。
（参考：クラウドサービス利用実態の可視化から 柔軟なコントロールまでをNetskopeで実現）
EDR導入事例…日本貨物鉄道株式会社（JR貨物）
JR貨物では、マルウェア等のブロックを完全に防ぐことは難しいという課題感から、マルウェアスキャンによる対策とは別にEDRを導入し、段階的なセキュリティ対策を実施しているとのことです。
（参考：Cybereason EDR導入事例）
SIEM導入事例…Slack社
Slack社ではSIEMソリューションの1つであるSplunkを導入し、社内のインシデント対応だけでなくSlackユーザーのインシデント検知も実施し、大規模なユーザーをインシデントから防御しながらサービスを提供しています
（参考：Slack社：データを活用してコラボレーションを強化）
まとめ
今回の記事では、DX時代に求められるDX対策について解説しました。コンサルティング案件などを探している方、事例を知りたい方は、ぜひfoRProまでご相談ください。