県内でも被害が発生－情報セキュリティ対策はじめの一歩

　最近、県内でもランサムウェアなどによる被害が発生しています。セキュリティ事故や攻撃などの被害に遭わないためにも、どのような脅威があるか、どのような対策があるかを知ることが重要です。

　経済産業省所管の独立行政法人であるIPA（独立行政法人情報処理推進機構）では、情報セキュリティ対策に関するさまざまな情報を公開しています。本ページでは、IPAのウェブサイトから情報を抜粋し、「まず知るべきこと」、「すぐに取り組むべきこと」をお知らせします。

情報セキュリティ5か条

　IPAでは、経営者が認識し実施すべき指針や社内において対策を実践する際の手順や手法をまとめた「中小企業の情報セキュリティ対策ガイドライン」を公開しています。その中で、企業の規模に関わらず必ず実行すべき重要な対策を、情報セキュリティ５か条として定めています。

　　※本情報は、IPA（独立行政法人情報処理推進機構）のウェブサイトから引用（一部修正）しております。

　情報セキュリティ５か条にもあるとおり、被害に遭わないためには脅威や攻撃の手口を知ることが重要です。IPAでは、「情報セキュリティ10大脅威 2022」を発表しており、その中で「組織の脅威」トップ３は次のとおりです。

第１位：ランサムウェアによる被害
　PC やサーバーのデータを暗号化し、データを復旧することと引き換えに、金銭を要求する等の脅迫文を画面に表示します。暗号化前に重要情報を窃取し、金銭を支払わなければ窃取した情報を公開すると脅迫する攻撃「二重の脅迫」も確認されています。脅迫に従うことによる金銭的被害に加え、窃取された重要情報（組織の機密情報や個人情報等）の漏えいにより信用の失墜にもつながるおそれがあります。

第２位：標的型攻撃による機密情報の窃取
　特定の企業や民間団体、官公庁に狙いを定め、機密情報等の窃取を目的としたウイルスをPCに感染させることで、組織内部へ潜入する標的型攻撃が確認されています。攻撃者はウイルス感染させた PCを悪用し組織内部の侵害範囲を拡大しながら機密情報等の窃取を行います。

第３位：サプライチェーンの弱点を悪用した攻撃
　組織には、必ず何らかの形でサプライチェーンとの関係性が存在します。例えば、取引先や委託先、導入しているソフトウェアまでと多岐にわたります。直接攻撃が困難な組織に対し、そのサプライチェーンの脆弱な部分を攻撃し、そこを経由して間接的または段階的に標的の組織を狙います。

　　※本情報は、IPA（独立行政法人情報処理推進機構）のウェブサイトから引用（一部修正）しております。