ランサムウェア対策としても有効？サイバーハイジーン徹底解説

3行で分かる記事のサマリ

• サイバー攻撃に対する事前の対策として「サイバーハイジーン」という考え方がある
• サイバーハイジーンの取り組みは継続することが重要
• サイバーハイジーンを適切に推進することで、サイバー攻撃リスクが下がり、運用コストの削減が可能

はじめに

近年、多くの企業で脆弱性を入り口としたランサムウェア被害が報告されており、
「サイバーハイジーン」という言葉に注目が集まっています。
本記事では、サイバーハイジーンとは何なのかを改めて整理するとともに、推進のためにどのような活動が必要なのかを解説します。

目次

1. サイバーハイジーンが必要とされる背景
2. サイバーハイジーンとは？
3. サイバーハイジーン推進の具体例

サイバーハイジーンが必要とされる背景

テレワークや各種クラウドサービス、外部連携サービスの活用により、働き方や生活のデジタル化が進み利便性は向上しました。
しかし、外部との接点が増えた結果として、企業が攻撃を受ける可能性のある領域は拡大し、従来の境界型防御では守り切れなくなってきています。

では、どのような対策が必要なのでしょうか？
ヒントとして、セキュリティ対策の検討・推進のためのフレームワークであるNIST（National Institute of Standards and Technology）のCSF（Cyber Security Framework）では、脅威に対する対策を次のように定義しています。

参考：NIST CSF 2.0（ https://nvlpubs.nist.gov/nistpubs/CSWP/NIST.CSWP.29.pdf )

この中の「統治」「特定」「防御」にあたる部分がサイバーハイジーン、「検知」「対応」「復旧」までがサイバーレジリエンスと呼ばれています。
サイバーハイジーン領域は、常に新しい侵害の方法や脆弱性が見つかるため、一度施策を実施するだけで終わらずに、常に取り組み続けることが重要とされています。

2. サイバーハイジーンとは？

サイバーハイジーンとは「サイバー衛生管理」とも呼ばれ、エンドポイント（PC端末）をはじめとした各種端末を常に管理し、健全な状態を保つ取り組みのことです。

この取り組みは、よく手洗いやうがいなどの病気の予防に例えられます。
病気の予防と言えば、手洗いやうがいをしっかりと行い、十分な睡眠と適度な運動を行うなど、普段から健康を意識した生活を行うことで、そもそも病気にかからない状態を保ち続けることが重要です。
こうした対策を行うことで、結果として大きな病気などを未然に予防し、治療にかかるコストを下げることができます。

同じようにサイバーハイジーンを推進することで、被害を受ける段階に至る確率を下げることもできるため、インシデントレスポンスに使う工数を最小化することができるようになり、結果として運用工数の削減に繋がります。
さらに、削減した工数は業務の最適化や、本業であるビジネスへのIT利活用に回すことができるようにもなります。

3. サイバーハイジーン推進の具体例

サイバーハイジーンを推進するためには具体的にどの様なことを実施する必要があるのでしょうか。
ここでは情報システム部門と、エンドポイントを直接利用する社員が実施できるサイバーハイジーン推進の具体例を紹介します。

情報システム部門が実施するサイバーハイジーン

①管理下の資産可視化（特定）
利用中の端末すべてを把握し、利用中のソフトウェアなども可視化する。

②非管理資産の撲滅（特定）
野良端末、野良サーバーなどの情報システム部門が認知していない端末をできる限り管理下に置く（パッチ適用やセキュリティ対策が適切に施されていない可能性があるため）。

③管理端末の脆弱性スキャンおよび対策（特定・防御）
管理端末中にあるソフトウェアやそのバージョンを可視化する。
脆弱性のあるソフトウェアなどを利用している場合は、パッチ適用やバージョンアップを実施する。

④エンドポイントのセキュリティ設定の実施（防御）
EPPなどを利用し、エンドポイント端末をサイバー攻撃から守る。

ここまでは情報システム部門に絞ってポイントを紹介していきましたが、それとは別にエンドポイントを使う社員個々人が行うべき活動もあります。

社員が実施できるサイバーハイジーン

①強固なパスワードの利用、管理
解読されにくいパスワードを設定する、パスワードを複数のサイトで使いまわさない。

②私用端末の管理もしくは排除
管理されていない脆弱な端末は社内のNWに接続しない。

まとめ

守るべきNWが複雑化し、ランサムウェア被害が相次ぐなか、サイバーハイジーンに注目が集まっています。
下記のポイントを中心に、現時点で不足している部分はどこなのか、実際に運用を考えたソリューションを導入・活用できているのかなど、見直していただければ幸いです。

①可視化から始める
何から取り組めばよいかわからない、判断できない場合は資産の可視化ができているかどうかから始めることをお勧めします。
見えていないものを守ることはできないため、まずは「見える化」ができているかを考えましょう。

②改善の手段もあわせて検討する
可視化により改善ポイントが判明しても、実際に改善を行えなければ片手落ちとなってしまいます。
パッチ配布やポリシーの設定など、対応する手段を持っているかどうか確認しておきましょう。
持っていない、不足があるならその改善策も併せて検討しましょう。

③組織的に横断的な運用を行う
サイバーハイジーンも網羅的な推進ができなければ効果は半減してしまいます。
組織全体で統一したプロジェクトとして推進できるよう、ツールのサイロ化は避けることをお勧めいたします。

また、弊社ではご紹介したポイントを横断的に対応できるソリューション「TANIUM」を提供しています。
自社でどういった施策が必要なのか、今後の対応方針を検討するうえで助けとなるアセスメントサービスも提供していますので　ご興味のある方は是非お問い合わせください。