日本年金機構もやられた「サイバー攻撃」をわかりやすくご紹介します

Pocket

サイバー攻撃
日本年金機構の個人情報の流出事故で、日本中のみんなが腹立たしく思っていたところへ
また驚くべきニュースが入ってきました。

なんと日本年金機構は「サイバー攻撃」に対して、具体的な対策をとっていなかったとのニュースです。
正直言って、意味がわかりません。

こんなことで、これから始まる「マイナンバー制度」は大丈夫なんでしょうか。
年金以上のすべての個人情報が含まれているんですよ。

怒りと驚きはひとまず抑えて、
最新の「サイバー攻撃」の段階と、
対策を考えてみました。


最新のサイバー攻撃と対策

2fb161415b4f51c8f09c0b6db700f4de_s
一部の大企業はある程度の対策はうっていることでしょうが、
一般の中小企業はウィルス対策までが精いっぱいかもしれません。

でも狙われるのは大企業だけではありません。
これから「マイナンバー制度」スタートしますから、
重要な個人情報をどこの企業でも管理しなければなりません。

ですから、現状の対策で十分かを、一度しっかり考える必要があります。

サイバー攻撃の概要

5c9bae65656a44f69631d657e4c1de79_s

ここでいうサイバー攻撃というのは、「標的方」といわれるものです。
特定の企業を狙って、そのデータベースへ入り込み、
データの抜き取り、改ざん、流出させるなどの犯罪行為です。

これまで一般的に注意喚起されていた攻撃というのは、
どちらかというと不特定多数の愉快犯的な攻撃だと思います。

しかし、標的型というのは、その企業への悪意を持った攻撃ですので、
これまでの事故に比べ、
はるかに被害が大きくなるはずです。

今回の日本年金機構もそうですよね。

いままでの対策ではダメなのか?

376ea2fcaea5999dca6f4bb5e12f7396_s

皆さんの企業も、ある程度セキュリティ対策をとっていると思います。

基本的はウィルス対策ソフトの導入や、
ファイヤーウォール製品の導入などはされているかと思います。

しかし、残念ながら、それら製品では、
標的型サイバー攻撃は防ぐことができないんです。

これまでの製品は、マルウェアの攻撃パターン情報があってはじめて対応することができます。
最新の標的型サイバー攻撃は、攻撃パターン情報が存在しません。
(未知のマルウェアは、年間1億個ぐらい生成されているとの話もあります)

 

標的型サイバー攻撃の段階

それでは、どんな手順で攻撃してくるのかを、ざっくりですが、
ご紹介してみます。

d85a98bdc54ea98bcfde855e48e954ae_s

①攻撃目標企業の調査
対象企業とのメールなどのやり取りの情報により、
企業の組織形態などを調べ上げる。
②メール攻撃
開封するだけで感染し、システムに入り込めるメールを送る。
③裏口を作る
対象企業が正規に開設したネットワークによる入口と出口以外の
秘密の出入口を構築する。
メール攻撃により、システムに入り込めているので、
気がつかれず、作れてしまうらしいです。
④権限を奪う
パソコン、サーバなどのハードやシステムなどを、
自由に設定できる権限を乗っ取ります。
パソコンやサーバを使っていると管理者権限(アドミニ)とか言いますよね。
それと同じようなものだと思います。
⑤盗む
あとは、個人情報を盗んだり、データを改ざんしたりするだけです。

裏口がありますから、いつでも犯罪者の出入り自由な状態になってしまっています。
しかし、企業側は気が付いていない状態です。
ニュースになってから気がつくわけですね。

対策は?

1cc4d7fcda18710705328d431d4094fc_s

既存のセキュリティ対策では、対応は難しいと先程書きました。

侵入されるのは、標的にされたら完全に防ぐのは不可能と言われています。

ということで、入られても出られないようにすることが大切のようです。
出られないというのは、データが暗号化されているために、抜き取られても
内容を知られない。
また、侵入されたら素早く認識できる、ログ監視を可能とするシステムを
導入することが重要と言われています。

 

まとめ

対策について、暗号化やログ監視が重要と書きましたが、
セキュリティ対策を提供している各企業からいろいろな種類のソフトやハードが
販売されているので、関心がある場合は問い合わせてみたらいかがでしょうか。

でも実はこれ以前に大切なのは、
社員教育なんです。

不審なメールは開かない、不必要なWebサイトを閲覧しないなどを徹底させる
必要があると思います。

日本年金機構の事故もそうですが、
最初のつまづきの一歩目は、
ヒューマンエラーの場合が多いはずです。

セキュリティ製品に頼る前に、
まずは、足元から(社内)見なおしましょう。

Pocket

スポンサードリンク

SNSでもご購読できます。

コメントを残す

*