2024.06.24
人材教育
ITスキル
eラーニング
- キーワード
-
- 情報セキュリティ
- コンプライアンス
- 研修
あらゆる情報のデジタル化が進む現代では、情報資産の扱いが企業の明暗を分けるといっても過言ではありません。
ただしデジタル化のスピードが速すぎて、自社でどのような対策を講じればよいか分からないという声も頻繁に聞かれます。
本記事では、企業で必要となる情報セキュリティについて、汎用的に使われている3要素にくわえ、近年の動向を踏まえて追加された4要素も解説します。
必要な要素だけでなく、企業内で取りえる対策まで紹介するため、これから情報セキュリティ対策を考えているご担当者の方は参考にしていただける内容となっております。
なぜ情報セキュリティが重要なのか
ここ数年で、情報セキュリティを取り巻く環境は大きく変化しています。
かつて問題となったコンピュータウイルスやハッキング等は、利用者のパソコンの誤作動を発生させることで、世間の注目を集めたり、技術力を誇示したりするのが主な目的でした。
しかし次第に、悪意や意図を持って企業のシステムを攻撃し、情報を盗む犯罪が発生するようになりました。
経済産業省所管の情報処理推進機構(IPA)は、毎年「情報セキュリティ10大脅威」を公開しています。
特にここ10年ほどでは、インターネットやスマートフォンの普及にともない、インターネットの脆弱性がサイバー犯罪者のターゲットになっています。
毎年順位に変動はあるものの、情報セキュリティの脅威はおおむね「人的脅威」「技術的脅威」「物理的脅威」に大別されます。
この観点を踏まえたうえで、企業は情報セキュリティに取り組む必要があるでしょう。
今や企業の信頼失墜や事業存続の危機に関わるようなデジタル犯罪が発生するようになっているため、自社の弱い部分を補強する情報セキュリティの重要性は年々高まっているといえます。
情報セキュリティで重要な3要素
現代社会での情報セキュリティの重要性を受けて、ISMS(Information Security Management System)では情報セキュリティの3要素を定義しています。
この3要素は「機密性(Confidentiality)」「完全性(Integrity)」「可用性(Availability)」を指していますが、本章ではそれぞれどのような定義なのかを詳しく紹介していきます。
1. 機密性(Confidentiality)
機密性とは、特定の情報へ許可された人だけがアクセス可能になっている状態のことです。
特定の情報とは、個人情報や機密情報等の情報資産が該当しますが、機密性が高い情報は企業・業態によって異なります。
例えばメーカーであれば、新商品の開発情報や、それに付随する技術情報や販促情報が該当するでしょう。
機密情報は、情報の開示や使用をブロックするだけでなく、漏えいさせないことも求められています。
機密性が十分に保たれていない場合には、許可範囲外の人にも情報を見られてしまう可能性があり、情報漏えいにつながりかねません。
機密性を保つ具体例としては、情報資産へのアクセス権限を一部の人間に限定することや、IDやパスワードでの厳密な管理等の対策が挙げられます。
2. 完全性(Integrity)
完全性とは、情報資産が外部の第三者やウイルスによって虚偽のデータに改ざんされることなく、正しい情報のまま維持される状態のことです。
仮に悪意がなかったとしても、完全性を欠いてしまうと、情報の信憑性だけでなく企業・組織としての信頼を失うことにもつながります。
従って、第三者だけではなく自然災害によるデータの破損・損失の防止にも意識を向けなければなりません。
対策としては、情報へのアクセスや更新履歴の記録、データの暗号化での保管等が挙げられます。
3. 可用性(Availability)
可用性とは、アクセス権限を与えられた人が、必要なときに情報資産を安全に利用できる状態のことです。
前章で紹介した「機密性」と「完全性」が保たれていることが、可用性を維持する前提になります。
例えば、天候不良や災害等でデータにアクセスできない場合は、可用性が保たれていない状態だといえます。
また昨今では、テレワークで社外から社内ネットワークへアクセスする際に、可用性が保たれておらず必要な情報へアクセスできない場合は、条件を満たしていないといえます。
対策の具体例としては、データの定期的なバックアップや、クラウドによる管理等が挙げられます。
さらに、データが損失した際に、いかに早く復旧できるかも重要となるため、時間のロスなく利用できる状態にする体制構築も必要となるでしょう。
追加された情報セキュリティの4要素
前述した情報セキュリティの3要素にくわえて、1996年には「真正性」「責任追跡性」「信頼性」、2006年には「否認防止」の要素が追加されています。
本章では追加された4要素についても簡単に紹介します。まとめて「情報セキュリティの7要素」として認識しておくとよいでしょう。
4. 真正性(Authenticity)
真正性とは、企業があらかじめ定義した情報制御の状態になっているかどうかを確認する観点です。
真正性が保たれていることで、昨今話題になっている「なりすまし」を防止できます。
具体的には、情報にアクセスした人が、企業が事前に許可した本人であるかどうかを認証できることが望ましい状態といえます。
対策としては、デジタル署名や複数段階による認証、生体認証等が挙げられます。
5. 責任追跡性(Accountability)
責任追跡性とは、組織や個人が情報を操作した動きを追跡できる特性のことです。
トラブルやアクシデントが起きた際には、企業は経緯や対応策の説明が求められます。そのためにも、アクセスや操作ログを残すことが、企業には求められているのです。
6. 信頼性(Reliability)
信頼性とは、本来意図しているシステム動作が確実に行われるかどうかを示す指標です。
データが欠かせない昨今のビジネスにおいては、人為的な操作ミスではなく、システムの不具合やバグによってデータが改ざんされることもありえます。
従って、システム本体がバグや不具合を起こさないよう、精緻で確実なシステム設計を行うことが求められているのです。
7. 否認防止性 (Non-repudiation)
否認防止性とは、情報に対して行われた行動や事象が、後から否認されないように証明する特性です。
前述した責任追跡性が保たれることで、否認防止性も保たれやすくなります。アクセスや操作ログを残すことで、否認防止性にもつながりやすくなるでしょう。
何かインシデントが起こった際に「いつの間にか発生していた」という状態にしないためにも、悪質な操作の根源を記録している状態をめざす必要があるといえます。
情報セキュリティ対策の必ず押さえるべき4つのポイント
情報セキュリティは、「何かが起こった際に対応できるために」という取り組みのため、つい後回しにしてしまいがちです。
ただし現代社会では情報セキュリティを疎かにすると、企業の存続にも影響するリスクにつながりかねません。
本章では、企業としての最低限の情報セキュリティ対策を紹介します。
対策①予算と人員を確保する
社内の体制として、情報セキュリティに関する予算と担当人員を適切に確保しましょう。
組織規模が小さいと、システム担当や総務担当等、業務範囲や役割分担が曖昧になるケースも多いかもしれません。
ただし、経営リスクを避けるためにも、情報セキュリティのミッションを任せる組織や人員を確定し、必要な予算を確保するようにしてください。
もし社内の人員だけで不安がある場合は、社外の専門家に頼るのも一手段です。
経済産業省は、2016年から「情報安全確保支援士」制度を設立し、司法書士や社労士と同様に、情報セキュリティ支援の専門家に国家資格を与えています。
社外の専門家にアドバイスをもらうことも含めて、盤石な情報セキュリティの体制を整えておきましょう。
対策②情報セキュリティ意識を高める教育を徹底する
情報セキュリティは担当者だけでなく、社員全員で高める必要があります。
例えば「社員が社内データを個人のUSBメモリに保存して紛失した」「社員が会社のパソコンでスパムメールを開いてウイルスに感染した」等の人的なリスクは、どのような企業にも存在します。
社員全員の情報セキュリティ意識を高めていくために、定期的な教育の機会を設けるようにしましょう。
昨今の潮流として、eラーニングに代表されるオンラインの教育コンテンツを準備しておくと、全国の拠点や新たに入社した社員の教育にも展開しやすくなります。
対策③セキュリティソフトの導入
システムによる対策としては、ウイルス対策用のセキュリティソフトの導入も有効です。
昨今はウイルスの種類が多様化しているので、セキュリティソフトを導入することで最新のウイルスを発見できます。
導入後はインストールして満足するのではなく、定期的に自動更新をすることで、常にソフトを最新版にアップデートするようにしましょう。
対策④緊急時や復旧対応のための体制を整備する
さまざまな対策をしたとしても、情報セキュリティへのリスクを完全になくすことはできません。
そのため、万一の事態に備えて緊急時の対応体制を整備する必要もあります。
対策のポイントは、リスクが発生しそうなシーンを具体的に想定し、その場面に遭遇したときは誰が何をすべきか事前に具体的に示しておくことです。
例えば「社内パソコンが入っている鞄を外出先で紛失して30分以上見つからない場合は、直ちに上長もしくはセキュリティ担当に報告する」のように具体的なルールを明示しておきます。
ルールや体制が整備されていないと、万が一セキュリティ・インシデントが発生した場合に初期対応が遅れ、より大きな損害につながる可能性も出てきます。
まとめ
情報セキュリティは、社員一人ひとりの人員的ミスから、社内システムに対する組織的なダメージまで、幅広いリスクを想定しています。
特に昨今はIT技術が発展していることから、情報セキュリティの重要性と難易度は増しているといえます。
ただし、情報セキュリティにまつわるインシデントの多くは、扱う社員の認識の甘さに起因していることも否めません。
盤石なシステムを構築すると同時に、社員一人ひとりの情報セキュリティに対する感度を高める取り組みも忘れないようにしましょう。
低コストで厳選コンテンツ見放題!コンテンツパック100
特にニーズの高いコンテンツだけを厳選することで1ID 年額999円(税抜)の低コストを実現。
ビジネス・ITの基礎知識を学べるeラーニングコンテンツが見放題、Cloud Campusのプラットフォーム上ですぐに研修として利用できます。
情報セキュリティ関連を含む、100コース・1500本以上の厳選動画をラインナップ。コース一覧詳細は無料でこちらからご確認頂けます。