サイバーセキュリティとは？

サイバーセキュリティと情報セキュリティの違いについて、実務的な観点から説明します。

まず、両者の基本的な関係性を理解することが重要です。情報セキュリティは、サイバーセキュリティを包含するより広い概念として位置づけられます。以下、具体的な違いを見ていきましょう。

情報セキュリティの本質：

情報セキュリティは、デジタルとアナログの両方を含む、あらゆる形態の情報資産の保護を対象とします。例えば、以下のような要素が含まれます：

• 紙の文書や印刷物の管理
• 口頭でのコミュニケーションの管理
• 物理的なアクセス制御（施設やオフィスへの入退室管理など）
• デジタル情報の保護
• 人的セキュリティ（従業員教育、内部不正対策など）

サイバーセキュリティの特徴：

一方、サイバーセキュリティは、デジタル空間における脅威に特化しています（「サイバーセキュリティ対策6選」を参照）：

• ネットワークと境界のセキュリティ
• エンドポイント・セキュリティ
• アプリケーション・セキュリティ
• データ・セキュリティ
• アイデンティティ／アクセス管理 (IAM)
• ゼロトラスト・アーキテクチャ

特に注目すべき違い：

1. 対象とする脅威の性質

• 情報セキュリティ：自然災害、人的ミス、意図的な情報漏洩など、幅広い脅威を対象
• サイバーセキュリティ：マルウェア、ハッキング、ランサムウェアなど、デジタル空間での脅威に焦点

2. 対応のアプローチ

• 情報セキュリティ：組織的、人的、物理的、技術的な対策を総合的に実施
• サイバーセキュリティ：技術的対策を中心に、デジタルな防御と検知を重視

実務での統合的アプローチ：

現代の組織においては、これら二つの概念を個別に考えるのではなく、統合的に捉えることが重要です：

1. リスク管理の観点
両者を包括的なリスク管理フレームワークの中で位置づけ、組織全体のセキュリティガバナンスを確立します。

2. 人材育成の観点
技術的スキルとマネジメントスキルの両方を備えた人材の育成が必要です。

3. 投資判断の観点
デジタルとフィジカルの両面でバランスの取れたセキュリティ投資を行うことが重要です。

デジタル・トランスフォーメーション（DX）の進展に伴い、サイバーセキュリティの重要性は増す一方ですが、それは決して情報セキュリティの重要性を減じるものではありません。むしろ、両者を統合的に管理し、組織全体のセキュリティレベルを高めていく必要があります。

サイバーセキュリティと情報セキュリティは、相互に補完し合う関係にあり、現代の組織においては両者の適切な統合が重要となります。

ロシアのウクライナ侵攻は、軍事的および破壊的なマルウェア攻撃によって特徴づけられています。侵攻が拡大するにつれ、重要インフラへの攻撃の脅威、そして致命的な機能停止の可能性が高まっています。どの組織も無関係ではいられません。

多くの組織は、すでにセキュリティ上のさまざまな問題に直面していますが、今、特に重要なのは、自社向けにカスタマイズされた脅威情報を活用し、政府関係者から、対応できない可能性のある攻撃にどのように備えるべきかのガイダンスを得ることです。

ロシアのウクライナ侵攻への対応について経営幹部が戦略を練る際には、サイバーセキュリティの計画を優先してください。例えば、コントロール可能な課題に集中し、インシデント対応計画が最新のものであることを確認します。潜在的な脅威の増加を検出し、防御するために意識と警戒を高めます。それと同時に組織が感じているストレスとプレッシャーが増していることも意識しましょう。これらの威力による人為的なミスは、実際のサイバー攻撃よりも大きな影響を組織に与える可能性があるからです。

サイバー攻撃は、コンピュータシステムやネットワークに対して意図的に行われる悪意のある活動です。これらの攻撃は、データの窃取、システムの破壊、サービスの妨害などを目的として行われ、個人や組織に深刻な被害をもたらす可能性があります。以下、サイバー攻撃について体系的に説明します：

最も一般的かつ注目すべきサイバーセキュリティ攻撃には以下のようなものがあります。

• フィッシングやソーシャル・エンジニアリングを利用した攻撃
  攻撃者が、適切なアクセス権を持つ正規ユーザーを騙して、権限のないユーザーでも入り込めるよう操作させ、情報やデータの外部転送 (データ流出) を誘導する攻撃です。
• インターネット接続サービスのリスク (クラウド・サービスを含む)
  企業、パートナー、ベンダーが、クラウド・サービスをはじめとするインターネット接続サービスを既知の脅威から適切に保護できていないこと (構成管理ミスなど) が原因で生じる脅威です。
• パスワード関連のアカウント不正利用
  権限のないユーザーが、ソフトウェアなどのハッキング手法を用いて、よく使われるパスワードや再利用されているパスワードを特定し、それを悪用して機密システム／データ／資産にアクセスする攻撃です。
• 情報の誤用
  権限のあるユーザーが、正当なアクセス権のある情報やデータを過失または故意により広めたり、またはその他の方法で誤用したりすることです。
• ネットワーク関連／中間者攻撃
  組織のファイアウォール内外でメッセージを暗号化しなかったために、攻撃者によって、セキュリティ保護されていないネットワーク・トラフィックの盗聴や、トラフィックのリダイレクト／中断が可能になることです。
• サプライチェーン攻撃
  パートナー、ベンダー、その他のサードパーティの資産やシステム (またはコード) によって侵害される攻撃です。企業システムへの攻撃や情報流出のきっかけとなります。
• DoS (サービス妨害) 攻撃
  攻撃者が企業システムに過剰な負荷をかけ、一時的なシャットダウンやスローダウンを引き起こす攻撃です。DDoS (分散型DoS) 攻撃もシステムに過剰な負荷をかけるフラッド型攻撃ですが、デバイスのネットワークを利用する点が異なります (「DDos攻撃とは？」も参照してください)。
• ランサムウェア
  組織のシステムに感染する不正なソフトウェアであり、身代金が攻撃者に支払われるまで、暗号化されたデータやシステムへのアクセスを制限します。身代金を支払わないとデータを流出させると脅す攻撃者もいます。

以下に、主なサイバー攻撃について説明します。これらのサイバー攻撃に対しては、技術的な対策だけでなく、従業員教育や継続的な監視、インシデント対応計画の策定など、包括的なセキュリティ対策が不可欠です。

マルウェアは「悪意のあるソフトウェア」の総称です。コンピュータシステムや機器に損害や混乱を引き起こすことを目的として作られています。主な種類として、ウイルス、ワーム、トロイの木馬、ランサムウェア、スパイウェア、アドウェア、ボットなどがあります。これらの脅威から守るため、組織はウイルス対策ソフトやファイアウォールなどの複数の防御層を構築することが重要です。

DDoS攻撃とは、サイバー攻撃者がデバイスのネットワークを利用して、企業システムに過剰な負荷をかける攻撃のことです。この形態のサイバー攻撃はサービスをシャットダウンさせることが可能ですが、実際のところ、ほとんどの攻撃は、サービスを完全に中断させるのではなく、混乱を引き起こすよう設計されています。

現在、何千件ものDDoS攻撃が毎日報告されていますが、その大半は、通常業務の中で軽減されており、特別な注意を払う必要はありません。しかし、サイバー攻撃者は攻撃範囲を拡大することができ、DDoS攻撃は複雑さ、量、頻度において増大し続けています。そのため、小規模な企業であっても、ネットワーク・セキュリティに対する脅威が高まっています。

また、アプリケーションを直接狙うDDos攻撃も増えています。したがって、このタイプの脅威に対して有効かつ費用対効果の高い防御策を講じるには、以下のような多層的なアプローチが必要になります。

• 内部：ファイアウォールの内側にある企業ネットワーク内部での防御
• エッジ：オンプレミスのソリューション (企業のファイアウォールやエッジ・ルーターの上または外側にある物理デバイス)
• 外部／クラウド・プロバイダー：インターネット・サービス・プロバイダー (ISP) など外部に対する防御
• 人とプロセス：インシデント対応や軽減策のほか、攻撃を阻止するために必要なスキルセットの強化

DDoSの軽減には、他のタイプのサイバー攻撃に対する防御策とは異なるスキルが要求されるため、ほとんどの組織はサードパーティのソリューションによる機能強化が必要になります。

SQLインジェクション攻撃は、Webアプリケーションの脆弱性を突いてデータベースを不正に操作する攻撃手法です。20年以上前から知られていますが、現在でも多くのアプリケーションに影響を与えています。HTMLフォームやURL、HTTPリクエストなどを通じて悪意のあるSQL文を注入（インジェクション）することで実行されます。OWASP (Open Web Application Security Project：オープン・ウェブ・アプリケーション・セキュリティ・プロジェクト） によると、インジェクション攻撃は依然としてWebアプリケーションにおける重大なリスクの上位に位置しています。

フィッシングは、ビジネスメール詐欺（Business E-mail Compromise：BEC ）のひとつです。2022年から2023年にかけて、ソーシャル・エンジニアリングによるインシデントは約2倍に増加し、マルウェア感染の主要な経路となっています。攻撃者は常に手法を進化させており、従来の対策では防ぎきれない高度な脅威となっています。特に、特定の個人を標的にしたスピア・フィッシングや、未知の脆弱性を突く攻撃が深刻な問題となっています。

中間者攻撃（MITM）は、「Man-In-The-Middle（マン イン ザ ミドル）」攻撃の略で、深刻な脅威となっています。攻撃者は二者同士の通信を傍受して、SMS、通話、メール、アプリやWebサイトなどのデータを盗取または改ざんすることができます。この攻撃は、マルウェアの配布やフィッシング詐欺にも利用され、場合によっては、攻撃者が犠牲者のデバイスを完全に制御下に置くことも可能です。

ゼロデイ攻撃は、ソフトウェアの未公開の脆弱性を突く攻撃です。この種の攻撃は特に危険で、対策が確立される前に実行されるため、防御が困難です。そのため、すべての脆弱性に対処するのではなく、自社や自組織にとって最も危険度の高い脅威を特定し、重要な資産を優先的に保護する戦略が必要になります。攻撃の事前準備として、インフラの重要度、既存の対策、攻撃される可能性などを総合的に評価することが重要です。