Cloud Campus

企業がすべき情報セキュリティ対策とは?被害事例と対策も紹介

2024.11.18

eラーニング

ITスキル

人事制度・組織づくり

キーワード
  • 情報セキュリティ
企業がすべき情報セキュリティ対策とは?被害事例と対策も紹介

セキュリティ対策を怠ると、ウイルス感染やサイバー攻撃によって情報漏洩が発生し、自社だけでなく取引先や顧客にも影響を与える可能性があります。

近年では外部攻撃だけでなく、社員による顧客情報持ち出しや人的ミスによる情報漏洩が発生しているため、企業として適切なセキュリティ対策を講じることが大切です。

本記事では、セキュリティ対策の重要性や企業がすべき対策を解説します。

情報セキュリティの被害事例や個人ができる対策も紹介するので、ぜひ参考にしてみてください。

セキュリティ対策とは

セキュリティ対策とは、企業の情報資産をウイルス感染や不正アクセス等から保護するための対策のことです。

IT化が進んだ昨今では、さまざまな情報をシステム上に保管しているため、情報漏洩やシステム停止が発生しないように対策する必要があります。

セキュリティ対策をする際は、以下の3つの要素を意識しましょう。

  • 機密性:許可された人物だけが情報にアクセスできること
  • 完全性:他者によって情報が改ざんや削除されないこと
  • 可用性:必要なときに必要な情報にアクセスできること

これらの要素の一つでも欠けると、情報漏洩が発生したり、必要な情報にアクセスできなくなったりするので、総合的な視点をもってセキュリティ対策に取り組むようにしましょう。

セキュリティ対策の重要性

情報漏洩やシステムの停止が起きると、企業イメージが低下したり取引先や顧客に損害を与えたりする可能性があります。

セキュリティ対策を講じるときは、なぜ対策をしなければならないのか?ここからはセキュリティ対策の3つの重要性を解説していきます。

1. 情報資産を守るため

企業の情報資産には、知的財産や財務情報、顧客・従業員情報等があります。

知的財産や財務情報が流出すると、企業としての競争力が低下し、業績が悪化する原因になることも考えられるでしょう。

また、顧客情報が漏洩すると、企業の信用が低下するだけでなく、損害賠償を請求される可能性もあります。

そのような状況にならないためには、情報漏洩が発生しないようにセキュリティ対策を徹底することが重要です。

2. 日常業務がストップするのを防止するため

ウイルス感染やサイバー攻撃等によって社内システムが停止すると、業務が止まってしまう可能性があります。

日常業務が停止すると、本来得られるはずの利益や営業機会を失い、経済的損失を被ることになります。

また、サービスが提供できなくなると、取引先や顧客からの信用低下、損害賠償の請求につながることも考えられるでしょう。

継続して安定した業務を行うためにも、日頃からセキュリティ対策を取り入れておくことが大切です。

3. 企業の信用を保つため

セキュリティ対策が不十分な企業は、情報漏洩やホームページの改ざんによって社会的信用を失う可能性があります。

情報セキュリティ事故が発生しないように機密情報を適切に管理するのは、企業の社会的責任です。

一度失った信用を取り戻すには、想像以上の時間と手間がかかります。

企業としての信用を失うことにならないためにも、適切なセキュリティ対策をしておきましょう。

情報セキュリティの被害事例

ここからは、実際に起きた情報セキュリティの被害事例を紹介します。

セキュリティ対策が不十分な場合に、どのような被害が発生するのかを把握しておきましょう。

被害事例1.外部攻撃による情報漏洩

大手SNS会社と技術協力関係にある企業の子会社A社の取引先のパソコンがマルウェアに感染し、約44万件の個人情報が流出しました。

マルウェアに感染したA社と大手SNS会社の認証基盤が一部共通化していたことでサイバー攻撃を受けたとされています。

大手SNS会社は、今後の対策として認証基盤を子会社から分離させる方針を示しています。

被害事例2.社員による顧客情報の不正持ち出し

学生向けの不動産賃貸業を手がける企業の社員が約2万9,000人の顧客情報を第三者に不正に提供した事例です。

企業は、顧客から「ウォーターサーバーの勧誘がくる」といった計33件の苦情が寄せられたため、社内調査を実施したところ社員による情報漏洩が発覚しました。

社員は、顧客管理システムに不正ログインし、外部にデータを持ち出したとされています。

企業は、再発防止策として顧客管理システムの使用範囲の制限やセキュリティの強化を行いました。

被害事例3.人的ミスによる情報漏洩

大手自動車メーカーが子会社に管理を委託していた顧客情報の一部がクラウド環境の設定ミスにより、外部から閲覧できる状態が10年ほど続いていたことが判明しました。

大手自動車メーカーは、データの取り扱いルールの説明が不十分だったこと等が原因であったと考え、クラウド設定を監視するシステムの導入や従業員への教育を徹底することとしました。

大手自動車メーカーは漏洩した顧客情報が二次利用されたり、複製されたりした被害は確認されていないと公表しているが、顧客一人ひとりに連絡したうえで専用のコールセンターを設置することになった。

企業がすべきセキュリティ対策5選

情報セキュリティの被害を防ぐためには、適切な対策を実施することが大切です。

ここからは、企業がすべきセキュリティ対策を紹介します。

1. マルウェア感染対策

マルウェアとは、ウイルスやフィッシング、スパム等、ネットワーク上で被害を与えることを目的とした悪意のあるソフトウェアのことです。

マルウェア感染対策として、以下のような対策が有効とされています。

  • マルウェア対策ソフトの導入
  • ソフトウェアの更新
  • 危険なWebサイトのフィルタリング

マルウェアに感染したときは、パソコンのLANケーブルを抜いたり、無線LANのスイッチを切ったりして、それ以上感染を広げないことが重要です。

マルウェアに感染したときに全従業員が迅速に対処できるようにネットワークの遮断方法を教育しておきましょう。

2. 不正アクセス対策

不正アクセスを防ぐためには、適切なアカウント管理をすることが大切です。

企業秘密や顧客情報等の重要な情報へのアクセスは、必要最低限の担当者に制限しましょう。

くわえて、誰が、いつアクセスしたのかの履歴が残るようにしたり、不正アクセスを検知して管理者に通知するシステムを導入したりするのも効果的です。

不正アクセスにすばやく気付くことで、被害を最小限に留められます。

また、退職者のアカウントは不正使用されないように、速やかに削除や無効化するようにしましょう。

3. 情報漏洩対策

リモートワークの導入によって社外で仕事をする機会が増え、パソコンやUSBメモリの紛失によって情報漏洩が発生するリスクが高まっています。

企業は社内だけでなく、社外でパソコンを利用するときに情報漏洩が発生しないように、セキュリティ対策を徹底する必要があります。

例えば、外部にパソコンを持ち出す場合には、事前申請を義務づけたり、端末自体にデータやアプリケーション等を保存せず、社内にあるサーバーで情報を管理する「シンクライアント」を導入するのがよいでしょう。

4. 機器障害対策

ウイルス感染やネットワーク障害、操作ミスによるデータの破損、停電が発生すると、日常業務ができない状況になる可能性があります。

業務が止まると自社だけでなく、取引先に影響を与える可能性があるため、機器障害があったときの対策をしておくことが大切です。

機器障害による業務停止を起こさないためには、定期的にバックアップをとったり、停電時に電力供給が止まらないように無停電電源装置を設置したりする等の対策をしておきましょう。

5. 従業員への教育

セキュリティ対策では、企業だけでなく従業員一人ひとりの危機管理意識を高めることも大切です。

従業員にセキュリティ対策の重要性や対策方法を理解してもらうための研修を実施しましょう。

くわえて、情報セキュリティに特化した部署を設置するのも手段のひとつです。

サイバー大学のeラーニング用動画コンテンツ見放題サービスである「Cloud Campusコンテンツパック100」では、全社員向けの「ID/Password管理の徹底」や「標的型攻撃メールの例と対策」、「外部無線LAN利用禁止」等の情報セキュリティに関するコンテンツを提供しています。

>>Cloud Campus「コンテンツパック100」をチェックする

個人・従業員ができるセキュリティ対策6選

企業のセキュリティ対策では、従業員一人ひとりのセキュリティ意識を高めておくことが重要です。

ここからは、個人レベルで取り入れられるセキュリティ対策を紹介します。

1. パスワード管理の徹底

個人アカウントの不正利用を防ぐためには、推測されにくいパスワードを設定することが大切です。

パスワードを設定する際は、同じパスワードを使い回さないように意識したり、ランダムな英数字の組み合わせにしたりするのがポイントです。

また、設定したパスワードは第三者に知られることがないように管理を徹底しましょう。

企業側が一定期間ごとにパスワードを変更しなければログインできない仕組みや、パスワードを一定回数間違えた場合にログインできない仕組みを構築するのも効果的です。

2. ソフトウェアのアップデート

ソフトウェアは、時間の経過とともにセキュリティ上の弱点となる脆弱性が発見されることがあります。

この脆弱性を改善するための修正プログラムが定期的に通知されるので、そのタイミングにアップデートするようにしましょう。

アップデートを怠っていると、サイバー攻撃やウイルス感染の被害を受ける可能性があります。

このような被害を防ぐためにも、小まめにアップデートをしてソフトウェアを最新の状態に保ちましょう。

3. 標的型攻撃への対策

標的型攻撃とは、特定組織の機密情報やアカウント情報を盗み取ることを目的とした攻撃のことです。

例えば、組織内の個人に対して業務内容を装ったメールを送り、メール内のリンクをクリックしたり、添付ファイルを開いたりすることでウイルスに感染するようにつくられたメール等が標的型攻撃に該当します。

標的型攻撃の被害を防ぐためには、手口を理解して安易にリンクや添付ファイルを開かないように注意することが大切です。

企業側の対策としては、従業員に訓練用メールを送信して開封情報を収集し、従業員の意識調査をしたうえで注意喚起するのが効果的です。

4. メールの誤送信の防止

メールを送信する際に、送信先のアドレスや添付データを間違えることで情報漏洩が発生するリスクがあります。

メールの誤送信を防ぐためには、送信前に宛先や添付データに間違いがないかを確認したり、メールアドレスを入力し始めると宛先の候補を表示してくれるオートコンプリート機能を無効にしたりするのが効果的です。

誤送信を早期に発見するために、関係者を「CC」に入れて送信するのもよいでしょう。

5. SNSの適切な利用

SNSの普及により、企業も個人もSNSを利用する機会が増えています。

SNSの不適切な投稿は、情報漏洩や企業イメージ低下につながる恐れがあるため、適切な利用を心がけることが大切です。

投稿する際は、機密情報や個人情報が含まれていないかを確認してから投稿しましょう。

企業側の対策として、就業規則でSNS利用の規定を定めたり、不適切な投稿を防止するための研修を実施したりするのも効果的です。

6. 生成AIの適正な利用

生成AIでは、学習機能によって入力した情報を第三者が使用したときの回答に使われるケースがあります。

そのため、企業秘密や顧客情報等を入力していると、思わぬ情報漏洩につながる可能性があるので注意が必要です。

そのような事態を防止するためにも、どのような情報を生成AIに入力してはならないのかを事前に調べておきましょう。

企業側の対策としては、生成AIの適正な利用ができるように研修プログラムを取り入れるのがよいでしょう。

まとめ

企業秘密や顧客情報等の情報を取り扱っている企業は、サイバー攻撃やウイルス感染によって情報漏洩が発生するリスクを抱えています。

情報漏洩が発生した企業は、取引先や顧客からの信用を失ってしまいます。

情報セキュリティの被害を防ぐためには、企業だけでなく従業員一人ひとりがセキュリティ対策の重要性を理解したうえで対策していくことが重要です。

サイバー大学の「Cloud Campusコンテンツパック100」では、全社員向けの「ID/Password管理の徹底」や「標的型攻撃メールの例と対策」、「外部無線LAN利用禁止」、「生成AIの適正利用」等の情報セキュリティに関するコンテンツを提供しています。

企業の情報資産を守るためにも、適切な対策方法を学んでおきましょう。

 

低コストで厳選コンテンツ見放題!コンテンツパック100

情報セキュリティに関するコンテンツを含む、30カテゴリ、100以上のeラーニングコンテンツが見放題の「コンテンツパック100」。

ニーズの高いコンテンツを厳選することで、1ID 年額999円(税抜)の低コストを実現しており、利用企業は240社以上になります。

Cloud Campusのプラットフォーム上ですぐに研修として利用可能です。

「コンテンツパック100」の詳細は、こちらからご確認頂けます。

>>Cloud Campus「コンテンツパック100」をチェックする

 

この記事を書いた人

他の記事も見る

2023.07.26

社内講師で研修を行うメリット・デメリット

2023.07.26

社内講師で研修を行うメリット・デメリット

eラーニング

人事制度・組織づくり

人材教育

最近耳にするようになった、社内講師、社内認定講師をご存知ですか?これまでの集合研修のスタイルは社外の企業向け研修会社による講師派遣が一般的でした。 しかし近年では、社員の中から講師を選抜したり、手上げ制で講師を募集したりし、自身の得意分野を生かした社員研修を行う事例が増えてきています。ここでは、社内講師についてご紹介し、それぞれのメリットとデメリットをみていきましょう。 社内講師はどうやって決めるの? まずは、必要とされる研修の内容を人事で確定させます。その研修内容を基に、社内で適任な講師を選定し、人事から講師候補に対してアプローチするのが一般的です。 一方、「仕事を通じた経験が人を成長させる」という事に重きをおき、「自ら手を挙げた人にチャンスを与える」というポリシーの元、さまざまな知識や経験・ノウハウを持った社員が自ら社内講師として応募する会社も出てきています。 社内講師のメリット/デメリット それでは、社内講師のメリット/デメリットについてみていきましょう。 メリット 業務に直結した指導ができ、効率的 社外講師を派遣してもらう分のコストが不要になる 教える側も指導者としての実力が鍛えられる 研修ノウハウが蓄積できる 会社の状況に最適化した研修ができる 講師が社内に在籍しているので、研修後のフォローがしやすい 日程調整等しやすい デメリット 講師の選定が難しい(適任の社員が見つからない場合も) 研修の運営体制が整うまで時間がかかる 品質が担保されない(講師によりばらつきがあり、研修効果にムラが出る) 講師担当の業務が増えるため、会社のサポート体制が必要になる 社内にない知識や刺激を得ることができない 役職のある社内講師などには、意見がしづらい場合がある 社内講師に期待されること では、実際に社内講師の導入を検討する場合、期待されることを考えてみましょう。 講師自身の成長 講師として社員の前で研修を行う事により、受講者だけでなく、講師自身の成長も期待できます。単にプレゼン力や指導力が上がるだけでなく、受講者からの意見や感想を聞くことで、新たな経験やノウハウを獲得していくことができます。 体験談の共有 同じ会社で働く社員の体験談は、聞き手の社員にとっても、自身の業務に置き換えて、話の内容や状況が理解し易いのではないでしょうか?自身の実際の体験談を共有・浸透させる事が重要になってきます。 企業方針の浸透 人事サイドからすると、社内講師だからこそ成し得る、企業の方針に紐づいた業務推進の浸透を促すことが可能です。社外講師では、理解しづらい企業の在り方や経営方針について、社員への浸透を行う事が実現可能です。 受講者が研修で学んだことを実践できる 一番の目的は、受講者研修で実際に学んだことを、実践できるかどうかという事にあります。 受講者の理解を促すために、単純な座学だけではなく、ワークショップやeラーニングも取り入れたブレンディドラーニングの活用も効果的であると考えます。 ニーズを考えて使い分けを 以上のように、社内講師には、メリットが数多くありますが、運営のコストなどデメリットもあります。企業が必要とする社員のスキル習得のために必要な研修を、社内講師・社外講師で上手く使い分ける事が必要になってきます。 昨今では、社内講師育成の支援をする会社も出てきています。社員への教育効果と効率を考えたうえで、使い分けを検討していく必要がありそうです。 参考サイト: ソフトバンク流 研修内製化の真実(2016/2/4確認) “300年以上成長し続ける企業”を目指すソフトバンクグループの 人材育成戦略(前編) ――なぜ、研修を内製化するのか(2016/2/4確認) “300年以上成長し続ける企業”を目指すソフトバンクグループの 人材育成戦略(後編) ――研修を内製化する仕組みが、人と組織を成長させる(2016/2/4確認) 低コストで厳選コンテンツ見放題!コンテンツパック100 特にニーズの高いコンテンツだけを厳選することで1ID 年額999円(税抜)の低コストを実現。 ビジネス・ITの基礎知識を学べるeラーニングコンテンツが見放題、Cloud Campusのプラットフォーム上ですぐに研修として利用できます。 100コンテンツ以上の厳選コンテンツラインナップは資料請求からご確認頂けます。 >>Cloud Campus コンテンツパック100の詳細をチェックする

2023.07.01

従業員満足度アップ5つの施策|社員が幸せな企業とは

2023.07.01

従業員満足度アップ5つの施策|社員が幸せな企業とは

eラーニング

人事制度・組織づくり

企業が、日々良好な顧客関係の構築に努めるのは当然のことですが、社員との関係はどうでしょうか。 会社が社員との関係を良好に保つために配慮すべきポイントについて考えてみましょう。 社員が幸せだと生産性が12%アップ! 英ウォーリック大学の研究によると、社員が幸せに仕事ができる企業では生産性が12%向上するそうです。反対に社員が不満を抱えている企業の生産性は、10%も低下してしまうといわれています。 不満を抱えた社員が増えると、上司や部下、同僚間の意志の疎通がうまくいかず、職場のコミュニケーションが停滞します。すると、PDCAが回らず、効率や生産性が低下していきます。そうなると、社員のモチベーションも組織の結束力もどんどん下がっていくでしょう。そして、ビジネスに必要なイノベーションを生みだす力を失い、競争力も弱まってしまいます。このように、さまざまなネガティブ要素が連鎖的に発生していくのです。 従業員満足度を高める5つのポイント 社員が幸せに働くためには、企業はどのようなサポート体制を整えるべきなのでしょうか。以下の5つのポイントから考えてみます。 1.適切な評価と認識 誰もが努力やアウトプットに対して正当な評価を受けたいと願っています。自分の頑張りや成果が認められることは、モチベーションの維持や働きがいにつながります。 モチベーションに関しては、「社員のパフォーマンス向上のために知っておきたい「人が動く6つのモチベーション」」でも詳しく解説しています。 2.働きやすいオフィス環境 よりよい労働環境をつくるには、生理学的な配慮も必要です。自然光や緑を取り入れたオフィスや余裕のあるデスク、ひと息つける休憩スペースなど、オフィス環境は生産性に大きく影響します。 3.柔軟な勤務体制 プライベートを犠牲にして働き続ける社員は、いつしかやる気が低下して充実感を感じなくなり、本来の実力を発揮できなくなります。業務内容に合わせて柔軟な勤務体制を提供することは、社員のワークライフバランスを考慮するうえで重要です。 4.信頼できる人間関係 お互いの信頼関係は、同じ目標に向かって気持ちよく協働できる、オープンで風通しのいい職場環境の土台となります。こうした信頼関係は、仕事への意欲や働きがいを高め、社員の満足度にもつながります。 社内コミュニケーションと仕事の効率化については、「仕事の効率化はコミュニケーションが取りやすい職場から」「「伝わらない」は自分のせい?人を動かす「伝える力」を磨く方法」も併せてご覧ください。 5.キャリアアップの可能性 自分の将来が見えないことは、離職の理由となりかねません。仕事や研修を通して自分を向上できたり、将来のキャリアパスを描けたりすることは、社員が会社に貢献する動機となるのです。 eラーニングで教育効果を最大化するサービスについては、「eラーニング導入支援」のページをご覧ください。 社員の情緒面への配慮も人事の役割 事業経営と組織運営は異なるもので、両者を軌道に乗せてこそ会社は成長できます。社員の情緒面への配慮は、人事担当者の大事な役割だといえるでしょう。社員が自発的に会社に貢献したいと思えるような職場づくりを目指したいものです。 こちらの記事も読まれています: 部署の環境はリーダー次第!? 参考: 5 Ways To Keep Staff Happy And Motivated|Bizzmark Blog  New study shows we work harder when we are happy|University of Warwick  よく読まれている記事 eラーニングとは?概要からメリットやトレンドまで徹底解説 eラーニング導入で失敗しないための3つのポイントを解説 効果の高いeラーニング教材の作り方と3つのポイント【企業事例付き】

2024.06.24

情報セキュリティで重要な3要素とは?対策のポイントも解説

2024.06.24

情報セキュリティで重要な3要素とは?対策のポイントも解説

eラーニング

ITスキル

人材教育

あらゆる情報のデジタル化が進む現代では、情報資産の扱いが企業の明暗を分けるといっても過言ではありません。 ただしデジタル化のスピードが速すぎて、自社でどのような対策を講じればよいか分からないという声も頻繁に聞かれます。 本記事では、企業で必要となる情報セキュリティについて、汎用的に使われている3要素にくわえ、近年の動向を踏まえて追加された4要素も解説します。 必要な要素だけでなく、企業内で取りえる対策まで紹介するため、これから情報セキュリティ対策を考えているご担当者の方は参考にしていただける内容となっております。 なぜ情報セキュリティが重要なのか ここ数年で、情報セキュリティを取り巻く環境は大きく変化しています。 かつて問題となったコンピュータウイルスやハッキング等は、利用者のパソコンの誤作動を発生させることで、世間の注目を集めたり、技術力を誇示したりするのが主な目的でした。 しかし次第に、悪意や意図を持って企業のシステムを攻撃し、情報を盗む犯罪が発生するようになりました。 経済産業省所管の情報処理推進機構(IPA)は、毎年「情報セキュリティ10大脅威」を公開しています。 特にここ10年ほどでは、インターネットやスマートフォンの普及にともない、インターネットの脆弱性がサイバー犯罪者のターゲットになっています。 参考:情報セキュリティ10大脅威 2023 毎年順位に変動はあるものの、情報セキュリティの脅威はおおむね「人的脅威」「技術的脅威」「物理的脅威」に大別されます。 この観点を踏まえたうえで、企業は情報セキュリティに取り組む必要があるでしょう。 今や企業の信頼失墜や事業存続の危機に関わるようなデジタル犯罪が発生するようになっているため、自社の弱い部分を補強する情報セキュリティの重要性は年々高まっているといえます。 情報セキュリティで重要な3要素 現代社会での情報セキュリティの重要性を受けて、ISMS(Information Security Management System)では情報セキュリティの3要素を定義しています。 この3要素は「機密性(Confidentiality)」「完全性(Integrity)」「可用性(Availability)」を指していますが、本章ではそれぞれどのような定義なのかを詳しく紹介していきます。 1. 機密性(Confidentiality) 機密性とは、特定の情報へ許可された人だけがアクセス可能になっている状態のことです。 特定の情報とは、個人情報や機密情報等の情報資産が該当しますが、機密性が高い情報は企業・業態によって異なります。 例えばメーカーであれば、新商品の開発情報や、それに付随する技術情報や販促情報が該当するでしょう。 機密情報は、情報の開示や使用をブロックするだけでなく、漏えいさせないことも求められています。 機密性が十分に保たれていない場合には、許可範囲外の人にも情報を見られてしまう可能性があり、情報漏えいにつながりかねません。 機密性を保つ具体例としては、情報資産へのアクセス権限を一部の人間に限定することや、IDやパスワードでの厳密な管理等の対策が挙げられます。 2. 完全性(Integrity) 完全性とは、情報資産が外部の第三者やウイルスによって虚偽のデータに改ざんされることなく、正しい情報のまま維持される状態のことです。 仮に悪意がなかったとしても、完全性を欠いてしまうと、情報の信憑性だけでなく企業・組織としての信頼を失うことにもつながります。 従って、第三者だけではなく自然災害によるデータの破損・損失の防止にも意識を向けなければなりません。 対策としては、情報へのアクセスや更新履歴の記録、データの暗号化での保管等が挙げられます。 3. 可用性(Availability) 可用性とは、アクセス権限を与えられた人が、必要なときに情報資産を安全に利用できる状態のことです。 前章で紹介した「機密性」と「完全性」が保たれていることが、可用性を維持する前提になります。 例えば、天候不良や災害等でデータにアクセスできない場合は、可用性が保たれていない状態だといえます。 また昨今では、テレワークで社外から社内ネットワークへアクセスする際に、可用性が保たれておらず必要な情報へアクセスできない場合は、条件を満たしていないといえます。 対策の具体例としては、データの定期的なバックアップや、クラウドによる管理等が挙げられます。 さらに、データが損失した際に、いかに早く復旧できるかも重要となるため、時間のロスなく利用できる状態にする体制構築も必要となるでしょう。 追加された情報セキュリティの4要素 前述した情報セキュリティの3要素にくわえて、1996年には「真正性」「責任追跡性」「信頼性」、2006年には「否認防止」の要素が追加されています。 本章では追加された4要素についても簡単に紹介します。まとめて「情報セキュリティの7要素」として認識しておくとよいでしょう。 4. 真正性(Authenticity) 真正性とは、企業があらかじめ定義した情報制御の状態になっているかどうかを確認する観点です。 真正性が保たれていることで、昨今話題になっている「なりすまし」を防止できます。 具体的には、情報にアクセスした人が、企業が事前に許可した本人であるかどうかを認証できることが望ましい状態といえます。 対策としては、デジタル署名や複数段階による認証、生体認証等が挙げられます。 5. 責任追跡性(Accountability) 責任追跡性とは、組織や個人が情報を操作した動きを追跡できる特性のことです。 トラブルやアクシデントが起きた際には、企業は経緯や対応策の説明が求められます。そのためにも、アクセスや操作ログを残すことが、企業には求められているのです。 6. 信頼性(Reliability) 信頼性とは、本来意図しているシステム動作が確実に行われるかどうかを示す指標です。 データが欠かせない昨今のビジネスにおいては、人為的な操作ミスではなく、システムの不具合やバグによってデータが改ざんされることもありえます。 従って、システム本体がバグや不具合を起こさないよう、精緻で確実なシステム設計を行うことが求められているのです。 7. 否認防止性 (Non-repudiation) 否認防止性とは、情報に対して行われた行動や事象が、後から否認されないように証明する特性です。 前述した責任追跡性が保たれることで、否認防止性も保たれやすくなります。アクセスや操作ログを残すことで、否認防止性にもつながりやすくなるでしょう。 何かインシデントが起こった際に「いつの間にか発生していた」という状態にしないためにも、悪質な操作の根源を記録している状態をめざす必要があるといえます。 情報セキュリティ対策の必ず押さえるべき4つのポイント 情報セキュリティは、「何かが起こった際に対応できるために」という取り組みのため、つい後回しにしてしまいがちです。 ただし現代社会では情報セキュリティを疎かにすると、企業の存続にも影響するリスクにつながりかねません。 本章では、企業としての最低限の情報セキュリティ対策を紹介します。 対策①予算と人員を確保する 社内の体制として、情報セキュリティに関する予算と担当人員を適切に確保しましょう。 組織規模が小さいと、システム担当や総務担当等、業務範囲や役割分担が曖昧になるケースも多いかもしれません。 ただし、経営リスクを避けるためにも、情報セキュリティのミッションを任せる組織や人員を確定し、必要な予算を確保するようにしてください。 もし社内の人員だけで不安がある場合は、社外の専門家に頼るのも一手段です。 経済産業省は、2016年から「情報安全確保支援士」制度を設立し、司法書士や社労士と同様に、情報セキュリティ支援の専門家に国家資格を与えています。 社外の専門家にアドバイスをもらうことも含めて、盤石な情報セキュリティの体制を整えておきましょう。 対策②情報セキュリティ意識を高める教育を徹底する 情報セキュリティは担当者だけでなく、社員全員で高める必要があります。 例えば「社員が社内データを個人のUSBメモリに保存して紛失した」「社員が会社のパソコンでスパムメールを開いてウイルスに感染した」等の人的なリスクは、どのような企業にも存在します。 社員全員の情報セキュリティ意識を高めていくために、定期的な教育の機会を設けるようにしましょう。 昨今の潮流として、eラーニングに代表されるオンラインの教育コンテンツを準備しておくと、全国の拠点や新たに入社した社員の教育にも展開しやすくなります。 対策③セキュリティソフトの導入 システムによる対策としては、ウイルス対策用のセキュリティソフトの導入も有効です。 昨今はウイルスの種類が多様化しているので、セキュリティソフトを導入することで最新のウイルスを発見できます。 導入後はインストールして満足するのではなく、定期的に自動更新をすることで、常にソフトを最新版にアップデートするようにしましょう。 対策④緊急時や復旧対応のための体制を整備する さまざまな対策をしたとしても、情報セキュリティへのリスクを完全になくすことはできません。 そのため、万一の事態に備えて緊急時の対応体制を整備する必要もあります。 対策のポイントは、リスクが発生しそうなシーンを具体的に想定し、その場面に遭遇したときは誰が何をすべきか事前に具体的に示しておくことです。 例えば「社内パソコンが入っている鞄を外出先で紛失して30分以上見つからない場合は、直ちに上長もしくはセキュリティ担当に報告する」のように具体的なルールを明示しておきます。 ルールや体制が整備されていないと、万が一セキュリティ・インシデントが発生した場合に初期対応が遅れ、より大きな損害につながる可能性も出てきます。 まとめ 情報セキュリティは、社員一人ひとりの人員的ミスから、社内システムに対する組織的なダメージまで、幅広いリスクを想定しています。 特に昨今はIT技術が発展していることから、情報セキュリティの重要性と難易度は増しているといえます。 ただし、情報セキュリティにまつわるインシデントの多くは、扱う社員の認識の甘さに起因していることも否めません。 盤石なシステムを構築すると同時に、社員一人ひとりの情報セキュリティに対する感度を高める取り組みも忘れないようにしましょう。 低コストで厳選コンテンツ見放題!コンテンツパック100 特にニーズの高いコンテンツだけを厳選することで1ID 年額999円(税抜)の低コストを実現。 ビジネス・ITの基礎知識を学べるeラーニングコンテンツが見放題、Cloud Campusのプラットフォーム上ですぐに研修として利用できます。 情報セキュリティ関連を含む、100コース・1500本以上の厳選動画をラインナップ。コース一覧詳細は無料でこちらからご確認頂けます。 >>Cloud Campus コンテンツパック100の詳細をチェックする

まずはお試しください!