社内に必要なセキュリティ対策！ リスクを防ぐための取り組みとは

企業にはさまざまなIT機器・システム・ソフトウェアなどのIT資産が存在しており、業務の円滑な遂行や効率化のために欠かせないものとなっています。

また、リモートワークの普及やクラウドサービスの登場によって、オフィスの外から社内ネットワークにアクセスしたり、外部のIT端末を利用したりするケースも増えています。

そのようななか、昨今では企業が有する重要情報の窃取やシステム停止などを招くサイバー攻撃の件数が増加傾向にあり、情報セキュリティ対策の重要性は高まっています。

企業の情報システム部門や管理部門では、社内セキュリティの強化に向けてどのように取り組めばよいのか対応を検討している方もいるのではないでしょうか。

この記事では、社内におけるセキュリティ対策の基礎知識と具体的な取り組みについて解説します。

社内におけるセキュリティのリスク

社内で必要なセキュリティ対策を行わなかった場合、ウイルス感染が起きたり不正アクセスが行われたりする可能性があります。

ここでは社内セキュリティに関するトラブルと、情報セキュリティ対策における3つの要素について解説します。

社内セキュリティに関するトラブル

社内セキュリティに関するトラブルには以下のようなものがあります。

▼セキュリティに関するトラブル例

• 機密情報・個人情報の漏洩
• サーバやシステムの停止
• データの改ざん

このようなトラブルが発生すると、最悪の場合、企業の社会的な信用が失墜するおそれや、経営責任や法的責任が問われるリスクもあります。

安定した事業運営を行うには、起こり得る脅威と自社が守るべき情報（情報資産）を把握したうえで、情報資産を守るためのセキュリティ対策を講じることが重要です。

企業が守るべき情報資産には、顧客情報や販売情報などが記載されたファイル、業務データが保存される端末、記録媒体などが挙げられます。端末またはファイルに保存された顧客情報や個人情報なども含まれます。

情報セキュリティ対策における3つの要素

脅威から情報資産を保護するためのセキュリティ対策の基本の考え方として、以下の3つの要素があります。

▼情報セキュリティ対策における3つの要素

画像引用元：総務省『情報セキュリティの概念』

また、上記の機密性・完全性・可用性に加えて、真正性・責任追跡性・否認防止・信頼性も重要とされています。

社内全体でセキュリティ対策に取り組むには、方針・行動指針を定めた情報セキュリティポリシーを策定する、または見直しを行うことが必要です。さらに、自社の管轄官庁や業界団体が提唱しているセキュリティポリシーについても、参考かつ準拠することが重要です。

社内のセキュリティリスクを防ぐための取り組み

社内のセキュリティリスクを防ぐためには、ネットワークやエンドポイントを保護するための取り組みと、社内の運用体制を整備することが必要です。

ここからは、具体的な取り組みを5つ解説します。

①ウイルス対策を行う

1つ目の取り組みは、ウイルス対策です。

セキュリティ上のウイルスとは、電子メールの開封・プレビュー表示やインターネットでのWebサイトの閲覧などによって侵入するプログラムのことです。

ウイルスに感染すると、PCやシステムが破壊されたり、システムに侵入して不正操作が行われたりします。ランサムウェアの場合には、暗号化されて使用できない状態になり、復旧のために身代金が要求されます。

PCやネットワークをウイルスから守るためには、以下の対策が必要です。

▼ウイルス対策

• PCにウイルス対策ソフトをインストールする
• ソフトウェアを最新版に保つ
• 定期的にウイルススキャンを実施する
• 許可がない、または持ち主が不明なUSBやCD-ROMを利用しない
• Webフィルタリングで危険なWebサイトへのアクセスを禁止する
• セキュアウェブゲートにより、社内ネットワークに入ってくる前にウイルス検知してマルウェアを除外する

②アクセス制限を行う

2つ目の取り組みは、アクセス制限です。

社内ネットワークやシステムへの不正アクセスを防ぐために、許可されていないユーザーからのアクセス制限を実施します。アクセス制限の方法には、以下が挙げられます。

▼アクセス制限の方法

• 従業員ごとにユーザー権限を設定する
• ログイン時に2段階認証または多要素認証を実施する
• 操作ログ取得による監視・監査を実施して、意図していないアクセスが実行されていないかチェックする
• CASBによるアプリケーションの機能レベルで利用制限を実施する
• 許可されたPC以外（シャドーPC）でのアクセスを排除する

なお、社内システムのID管理についてはこちらの記事で解説しています。

社内システムのID管理によくある課題と効率化するための方法

③ネットワークを防御する

3つ目の取り組みは、ネットワークの防御です。

外部から社内ネットワークにアクセスしたり、クラウドサービスや公衆無線LANサービスへのアクセスをしたりする場合には、通信内容の盗聴、不正アクセスなどのリスクがあります。

ネットワークに対するセキュリティリスクを防ぐには、以下の対策が必要です。

▼ネットワークの防御

• ログを取得・管理する
• サーバやソフトウェアの監視を行う
• クライアントVPNによる社内システムへの接続を廃止する
• 境界防御（IDS／IPS／UTM／FW）を止めてゼロトラストネットワークを導入する
• セキュリティサービスを導入する（SASE、SWG、CASBなど）

なお、システム監視についてはこちらの記事で詳しく解説しています。併せてご確認ください。

社内システムの監視で安定稼働を目指す！ 監視対象や進め方、注意点とは？

④持ち出し・廃棄ルールを定める

4つ目の取り組みは、持ち出し・廃棄ルールの策定です。

社外で利用するPC・スマートフォン・USBメモリなどは、紛失や盗難による情報漏洩のリスクがあります。また、外出先・自宅からインターネットにアクセスすることで、サイバー攻撃やウイルス感染につながる可能性もあるため注意が必要です。

紛失・盗難によるリスクを防ぐには、IT機器や記録媒体について以下のような持ち出し・廃棄ルールを定めておく必要があります。

▼持ち出し・廃棄ルールの策定例

• 持ち運び用の端末に機密情報・個人情報を保存しない
• PC内にデータを保存させない仕組みを構築する
• 無線LANでのネットワーク通信や保存データを暗号化する
• PC廃棄時にはデータ消去を実施する
• データの消去時には、消去用のソフトウェアを利用する
• のぞき見保護フィルタを装着する
• 接続するネットワーク環境に依存しないセキュリティチェック環境を構築する

⑤復旧体制を整備する

5つ目の取り組みは、復旧体制の整備です。

セキュリティのインシデントが発生した場合に、事業を継続できるように復旧体制を整備することも重要です。社内対応だけでなく、社外への対応方針を定めることも求められます。

▼復旧体制を整備するための取り組み

• 定期的なバックアップを行う
• 初動対応のフローマニュアルを作成する

バックアップを実施する際は、事前にバックアップデータの保管方法や保管期間、取得周期を検討しておく必要があります。また、初動対応のフローマニュアルを作成する際は、以下の項目をとりまとめておくことがポイントです。

▼初動対応のフローマニュアルに定めておく項目

• 関係部門への連絡経路
• 初動対応を行う体制
• インシデントの報告先・報告手段

まとめ

この記事では、社内に必要なセキュリティ対策について以下の内容を解説しました。

• 社内におけるセキュリティのリスク
• 社内のセキュリティリスクを防ぐための取り組み

ウイルス感染や不正アクセスを防ぎ、安定した事業運営を行うには、情報資産を守るためのセキュリティ対策を講じることが重要です。

有効な対策法には、ウイルス対策をはじめ、アクセス制限やネットワークの防御、持ち出し・廃棄ルールの策定、復旧体制の整備などが挙げられます。

『FGLテクノソリューションズ』の社内システム運用管理サービスの一つとなる『インフラ管理』では、サーバ管理やクライアント管理、ネットワーク管理、死活監視に対応しております。貴社の環境に合わせて、必要なセキュリティ対策をご提案いたします。

サービスの詳細については、こちらから資料をダウンロードしていただけます。