セキュリティ対策の課題解決を支援する JNSAソリューションガイド

OSやソフトウェアの脆弱性を利用した悪意のあるソフトウェア（マルウェア）の感染や外部からの不正アクセスによる侵入により、情報漏洩や業務停止などの影響があります。

・事務所のパソコンのOSやソフトウェアをリストアップし、OSやソフトウェアのバージョン管理を行う。（資産管理ソフト等を利用する方法もある）

・OSやソフトウェアのバージョンが常に最新のものであるかチェックし、適宜、更新を行う。自社に作業を行う人員がいない場合には、システム導入ベンダーに委託する方法もある。

・可能な限り、OS、アプリケーション･ソフトウェア共に、自動更新機能があるもを使い、機能を有効にする。

・ネットワーク機器（ルーター、WiｰFi、ファイヤウォール、UTM）およびネットワークに接続されている機器（プリンタ、NAS、Webカメラ等々）などのファームウェアや管理ソフトのバージョンは最新のものに管理する必要がある。自社で管理が難しい場合には、システム導入ベンダーに対応を相談する。また、システム導入ベンダーにそのような保守サポートがある場合には、保守契約を結ぶ。

・不要なソフトウエアやサポートが切れているソフトウェアをアンインストールする。

対応製品

ポリシー管理・設定管理　＞＞
IT資産管理　＞＞
脆弱性検査　＞＞

対応サービス

コンサルティング(現状分析、ポリシー策定等)　＞＞

ウイルス定義ファイルを更新しないと、最新のマルウェアへの対応ができず感染リスクが高まります。

・有償、無償に拘わらずJNSAソリューションガイドの掲載されているウイルス対策ソフトを初め、有名なウイルス対策ソフトを使う。または、システム導入ベンダーが推奨するウイルス対策ソフトを使う。

・ウイルス定義ファイルが自動更新されているかを定期的に確認をする。

・ネットワークに接続されていない工場の制御系システムのパソコンは、システム導入ベンダーに対応を相談する。また、システム導入ベンダーにそのような保守サポートがある場合には、保守契約を結ぶ。

・統合型の対策ソフトの導入を推奨する。（ウイルス検知･駆除だけでなく、Web脅威対策、迷惑メール対策、情報漏えい対策などの機能も備わっているもの。）

・業務に使う場合は、スマートフォンやタブレットにもセキュリティ対策ソフトを導入する。

対応製品

ウイルス対策　＞＞
EDR　＞＞
UTM　＞＞
セキュアウェブゲートウェイ　＞＞

対応サービス

サイバーセキュリティお助け隊サービス　＞＞
コンサルティング(現状分析、ポリシー策定等)　＞＞

簡単なパスワードが使われると、推測や解析されたり、ウェブサービスから流出したID・パスワードが悪用されたりすることで、不正にログインされてしまいます。
また、同じID・パスワードを複数のウェブサービスやシステムで使い回していると、一つのウェブサービスの中からパスワードが流出した場合に、別のウェブサービスやシステムが不正にログインされるリスクが高まります。

・パスワードは、１０文字以上でできるだけ長くし、大文字、小文字、数字、記号含めて推測されにくい複雑なパスワードを設定する。

・他のサービスとの使い回しをしない。

・パスワードの作り方、管理の方法は以下の動画（IPA）を参考にする。
https://www.youtube.com/watch?v=lXh0b4KS9gE

・パスワード認証だけに限らず、利用可能な場合は多要素認証（生体認証、ワンタイムパスワードなど）も利用する。

・ネットワークにつながる機器の管理画面（設定ページなど）の初期パスワードは変更しておく。
【参考】インターネットの安全・安心ハンドブック　第1章　：NISC
https://security-portal.nisc.go.jp/guidance/pdf/handbook/handbook-01.pdf

対応製品

個人認証用デバイス及びその認証システム　＞＞
個人認証用生体認証デバイス及びその認証システム　＞＞
アイデンティティ（ID）管理　＞＞
特権ID管理　＞＞
アクセス許可・シングルサインオン（SSO）　＞＞
PKIシステム及びそのコンポーネント　＞＞

対応サービス

コンサルティング(現状分析、ポリシー策定等)　＞＞

新たな脅威や攻撃手口についての情報が共有されないと、従業員はそれに対する正しい対応方法を知ることができません。未知の脅威に対処できず、攻撃の手口を理解できないままでいることが、セキュリティの脆弱性を増大させる可能性があります。

・毎年公開されるIPA10大脅威は、組織編、個人編とも読み込む。
https://www.ipa.go.jp/security/10threats/index.html

・JPCERT/CCのメーリングリストに登録して、メールが届いたら読む。自社に関係があるもの（脆弱性情報など）であれば適切な対処を行うか、他の社員にも知らせる（注意喚起）。 https://www.jpcert.or.jp/announce.html

・JNSAセキュリティ十大ニュースを閲覧する。
https://www.jnsa.org/active/news10/

対応サービス

コンサルティング(現状分析、ポリシー策定等)　＞＞

電子メールに仕込まれた悪意のある添付ファイルを開いたり、電子メール本文中に記載されたURLリンクをクリックしたりすることでウイルスに感染する可能性があります。

・社員全員が、IPAの動画「そのメール本当に信用してもいいんですか？　-標的型サイバー攻撃メールの手口と対策-」を見る。 https://www.youtube.com/watch?v=5K9U0-ASQM8

・ウイルス対策ソフトは、電子メールの安全性を検査する機能（マルウェア検出、リンク先の評価、スパムメール検出など）の有るものを使う。若しくは、通信業者やクラウドサービス事業者が提供する電子メールサービスを使用する際には、電子メール対策のオプションを利用する。

対応製品

ウィルス対策　＞＞
UTM　＞＞
メール・セキュリティ対策　＞＞

対応サービス

コンサルティング(現状分析、ポリシー策定等)　＞＞

悪意のあるウェブサイトやセキュリティ上の問題があるウェブサイトを閲覧することでウイルス感染する可能性があります。また、SNSや掲示板へ悪ふざけした画像を投稿したり秘密情報を勝手に掲載して会社に被害を及ぼすことがあります。

・ウイルス対策ソフトは、Webのリンク先の安全性を検査する機能の有るものを使う。

・セキュリティアップデートが定期的に提供され安全性が担保されているブラウザを使用する。（Google Chrome、Microsoft Edge、Safariなど）

・「中小企業の情報セキュリティ対策ガイドライン 付録4：情報セキュリティハンドブック（ひな形）」等を参考にインターネット利用時の社内ルールを策定し周知する。
https://www.ipa.go.jp/security/guide/sme/about.html

対応製品

ウィルス対策　＞＞
UTM　＞＞

対応サービス

コンサルティング(現状分析、ポリシー策定等)　＞＞

従業員がセキュリティ事故や攻撃に対する知識をもっていなかった場合、悪意のあるサイトへのアクセスや機密情報の入力が行われる可能性あります。また、十分な対策が施されないままだと、不正アクセスや重要情報、個人情報の漏えいの危険性が高くなります。

・情報セキュリティ教育を実施する（被害事例、服務規程、ITリテラシーなど）。

・全ての従業員にセキュリティ研修の機会を設ける。

・自業種に関わる法改訂や業務別ガイドラインがある場合は都度勉強会を実施する。

対応サービス

一般従業員向け教育・リテラシー教育　＞＞
コンサルティング(現状分析、ポリシー策定等)　＞＞

個人所有のPCは、会社のPCほどセキュリティ対策を行っていないため、ウイルス感染のリスクが高くなります。また、プライベートでさまざまなWebにアクセスしたりすることで、PCがランサムウェアに感染するリスクが高くなり、社内ネットワークに接続していた場合には、個人所有のPCから社内ネットワークに拡散してしまう恐れがあります。

・私物機器の利用は適切なセキュリティ対策が施せない場合があるため基本的には禁止とする。

・私物機器を利用する場合は、会社貸与機器と同程度のソフトウェア更新、ウイルス対策ソフトの導入、ログイン手順の厳格化（パスワード管理、二要素認証、生体認証等）等、情報セキュリティリスクの低減が図れる場合のみに、個別の許可制で利用させるようにする。（必要に応じて、かかる費用は会社が負担する。）

・私物機器を業務で利用する際の注意事項（事務所外での取扱、アクセスが許可される社内外システム、データの保存の可否、紛失時の対応など）についてルールを定め、周知、遵守させる。 （順守事項等の承諾書をとっておくことを推奨）

・許可されていない私物機器は社内ネットワークに接続させない。

対応製品

個人認証用デバイス及びその認証システム　＞＞
個人認証用生体認証デバイス及びその認証システム　＞＞
端末接続制御（ネットワーク検疫）　＞＞

対応サービス

一般従業員向け教育・リテラシー教育　＞＞
コンサルティング(現状分析、ポリシー策定等)　＞＞

適切な対応手順や緊急時の体制が整備されていないと、セキュリティ事故が発生した際に対応が迅速かつ効果的に行えず、混乱が生じる可能性があります。

・組織内外（IT製品のメーカー、保守ベンダー等も含む）の緊急連絡先・伝達ルートを整備する。

・「中小企業のためのセキュリティインシデント対応の手引き」を確認しておく。また、システム導入ベンダーにそのようなサポートがあるか事前に確認しておく。
【参考】「中小企業のためのセキュリティインシデント対応の手引き」
https://www.ipa.go.jp/security/guide/sme/ug65p90000019cbk-att/security-incident.pdf

対応製品

ポリシー管理・設定管理　＞＞
バックアップ製品　＞＞

対応サービス

訓練（演習）　＞＞
事業継続（BCP・BCM）　＞＞
コンサルティング(現状分析、ポリシー策定等)　＞＞

セキュリティ対策がルール化されていないと、不正アクセスや情報漏えいなどのリスクが高まります。そのほか、脆弱性の見落としや法令違反の危険性、個人に依存した対応によるリスクなど様々なセキュリティリスクが増加します。

・IPA「中小企業の情報セキュリティ対策ガイドライン」「4 （3）情報セキュリティ規程の作成」を参照し、「付録５ 情報セキュリティ関連規程（サンプル）」自社向けに編集して規程（ルール）を作成する。
付録4：情報セキュリティハンドブック（ひな形）（全17ページ）(442 KB)
https://www.ipa.go.jp/security/guide/sme/ug65p90000019cbk-att/000055529.pptx
付録5：情報セキュリティ関連規程（サンプル）（全45ページ）(Word:166 KB)
https://www.ipa.go.jp/security/guide/sme/ug65p90000019cbk-att/000055794.docx

・セキュリティポリシー（基本方針）を公開することでステークホルダーや社会に対する企業としての姿勢を示し、信頼性を高める。

・規程（ルール）を作成、運用に当たっては、事前に以下のIPAの動画を見る。
https://www.youtube.com/watch?v=fot-PEzBZO4

対応サービス

コンサルティング(現状分析、ポリシー策定等)　＞＞