最新セキュリティの動向とその必要性（2023）
はじめに
私たちの働き方はCOVID-19の影響や生活習慣の変化により、従来の人との信頼関係を構築する仕事の在り方から、デジタルへ信頼を築く在り方にシフトしています。これによりセキュリティニーズや守るべき範囲にも変化が生じています。
守る範囲の拡大
これまでのセキュリティにおいては、閉じた環境でインターネットの境界（ネットワークの通り道）を守る動きが強く、その対象も本社や支店がほとんどでした。しかし働き方の変化した現在の守るべき範囲は、本社や支店のみならず、在宅環境やIoT機器など、インフラ全体に及んでおります。
セキュリティ製品の変化
セキュリティ製品にも変化があります。
これまでのインターネットの境界を守る製品に加え、データの在りかを守るエンドポイント製品や、昨今のクラウドシフトで重要視されているCASB、CWP、DLP、リモートワークの増加で再注目されているSWG、ZTNAなど、多岐にわたります。下記に一例を記載します。
インターネットの境界を守る製品
NGFW（Next Generation Firewall）
NWの境界に置きセキュリティ対策を行う。IPSとアプリケーションコントロールの機能等を備えたファイアウォール。類似の言葉にUTM（統合脅威管理）という言葉があり、ファイアウォール・アンチウィルス・IPS/IDS・Webフィルタリングなどの複数のセキュリティ機能を統合したアプライアンス製品をさす。
IPS（Intrusion Prevention System）,IDS（Intrusion Detection System）
IPSは不正侵入防止システムといい、OSやネットワークを行き来する通信を監視し、不正な通信や変更を防御する。IDSは不正侵入検知システムといい、検知して管理者に通知をするまでを行う。
WAF（Web Application Firewall）
Webアプリケーションの脆弱性を突いた攻撃へ対するセキュリティ対策。ネットショッピングやインターネットバンキングなど、顧客情報やクレジットカード情報に関するデータのやり取りが発生するWebサービスを保護する。
データの在りかを守るエンドポイント製品
EPP（Endpoint Protection Platform),EDR（Endpoint Detection and Response）
従来からあるEPPはアンチウイルスソフトウェアなどを指し、マルウェアの侵入を未然に防止する働きをする。昨今トレンドとなっているEDRは侵入された後にいち早く検知・分析をし復旧までをサポートするものをいう。
クラウドシフトで重要視されているもの
CASB（Cloud Access Security Broker）
SaaSの利用が増えたことで、さまざまな機密情報がクラウド上に保存される状況となっており、その従業員のクラウドサービスの利用を監視するためもの。クラウドサービスへのアクセスの可視化や不正アクセスやデータ流出の阻止、適切なクラウドサービス利用のための監視や制御、送受信するデータの暗号化などの機能がある。
CWP（Cloud Workload Protection）
クラウド・ワークロードの監視と保護のためのもの
DLP（Data Loss Prevention）
データに着目した情報漏洩対策で、機密情報と特定した情報のみを常に監視する。セキュリティポリシーに反する不審な挙動や、許可されていない情報の持ち出しをリアルタイムで検出し、制御や修復を行うことで不慮の事故による情報の損失や、重要情報の漏洩を防ぐもの。
リモートワークで再注目されているもの
SWG（Secure Web Gateway）
URLフィルタやアプリケーションフィルタ、アンチウイルス、サンドボックスなどの機能を提供するサービス。アクセス先のURLやIPアドレスからその安全性を評価し、安全でないと評価された場合にはアクセスを遮断する。
ZTNA（Zero Trust Network Access）
「全てのアクセスを信頼しない」というゼロトラストの考え方を取り入れた、セキュリティソリューション。データファイルやアプリへのアクセス制御を一元的に管理する。
その他
Sandbox
攻撃されても問題のない仮想環境を構築し、その中で怪しいファイルを実行し、問題を分析してセキュリティ対策を行う。
NAC（Network Access Control）
ネットワークへのアクセス制御のセキュリティポリシー、コンプライアンス、および管理を実施。 認証済みの信頼できる端末やノードのみがネットワークリソースとインフラストラクチャにアクセスできるようにするネットワークソリューションでネットワーク上にあるアクティビティを監視・制御を行う。
セキュリティニーズの拡大
攻撃手法の高度化、攻撃対象の拡大、攻撃量の増加に伴い、日本におけるセキュリティニーズは右肩上がりとなっています。
市場は今後も拡大し続け、従来のインターネットの境界を守るファイアウォールだけに頼る企業は、業界の遅れを取ることを意味します。
※参考（ JNSA調査研究部会）
サイバーセキュリティにおける義務と責任の所在
2022年6月、電力や通信といった重要インフラ事業者のサイバーセキュリティ対策に関する行動計画を5年ぶりに改定し、サイバーセキュリティ対策は専門部署任せにせず、経営陣の責任だと明確に定義されました。
現在の対象は重要インフラ事業者に留まっていますが、今後のセキュリティニーズの高まりにより、将来的には一般企業でもサイバーセキュリティ対策に関する行動計画は改定されることが伺えます。改定内容は下記参照。
- 経営陣の義務に適切なサーバーセキュリティ対策を講じる義務が含まれ得る
- 対策の不備で情報が漏洩した場合経営陣が賠償責任を問われる可能性がある
- 経営陣が阻止区の特性を把握。組織に適した対策を促進
- 供給網を含むリスクを明確にし供給網全体でサイバー攻撃への対応能力を向上
- 体制が適切であることを担保するための内部監査を実施
情報漏洩発生時の報告義務化、サイバー攻撃被害を想定した組織運営が求められます
2022年4月より、万が一個人データの漏えい等が発生し、個人の権利利益を害するおそれがあるときは、個人情報保護委員会への報告及び本人への通知が義務化されます。
不注意、故意による漏えい、サイバー攻撃による被害などを想定して、対策および対処方法のご確認を！
※参考（ 個人情報保護委員会）
セキュリティインシデント発生後の企業価値
セキュリティサービスを展開するサイバーセキュリティクラウドは17日、セキュリティインシデントと株価の変化に関するレポートを発表しました。調査対象とした110件の個人情報漏洩事案のうち、約2割が上場企業で発生。そのうち18件がサイバー攻撃に関する個人情報漏洩事案であることが判明しました。
上記の被害にあった企業約8割が、インシデント公表後株価下落。最大下落率は21.6%にもなり、平均下落率も2.8%と発表されています。さらに、インシデント公表後の株価下落幅は、30日経過しても継続する傾向を指摘し、あらためて定期的なセキュリティ対策の重要性を説いています。
※参考（ Cyber Security Cloud）
おわりに
企業のサイバーセキュリティ対策は、これまではコスト扱いであり、削減要素がないかを問われていました。
しかし、昨今のインシデント発生時の株価の下落や売り上げ減、経営者の責任の所在を求められる状況を見ると、これまでのコストという考えを改める必要があります。
弊社オープンストリームではお客様の環境に合わせたセキュリティのご提案が可能です。また、今現在の環境において潜在するセキュリティリスクの調査として脆弱性診断の実施も可能です。
今後のセキュリティニーズの高まりに合わせ、是非一度弊社へお問い合わせください。