セキュリティFAQ・よくある質問

「完璧」を最初から目指すより、被害が大きくなりやすい所から順に手当てするのが現実的です。一般に、次の基本から着手することが推奨されています。

• OS・ソフトウェアを最新の状態に保つ（修正プログラムの適用）
• パスワードの使い回しをやめ、重要なサービスは多要素認証（MFA）を有効にする
• 重要データのバックアップを取り、復旧できることを確認しておく
• 不審なメール・リンクへの注意を従業員と共有する

自社にとって「何を・どの順で」守るべきかは、業種・規模・扱う情報によって変わります。優先順位の整理は当社へご相談いただけます。

参考：IPA（情報処理推進機構）「中小企業の情報セキュリティ対策ガイドライン」等の公的資料。最新の内容は各機関の発表をご確認ください。

ランサムウェアは、パソコンやサーバー内のデータを暗号化して使えなくし、復旧と引き換えに金銭を要求する不正プログラムです。近年は、データを暗号化するだけでなく、盗み出した情報の公開をちらつかせて二重に脅す手口も確認されています。

感染すると、業務システムの停止、データの消失、取引先への影響など、事業全体に及ぶ被害につながることがあります。日頃のバックアップと、感染経路（メール・VPN機器の脆弱性など）への対策が重要です。

仕組みと対策の詳細は、解説記事もあわせてご覧ください。

→ 解説記事「ランサムウェアとは？仕組み・感染経路・対策」を読む

参考：IPA「情報セキュリティ10大脅威」、JPCERT/CC の注意喚起等。

フィッシングは、実在する企業やサービスになりすまし、偽サイトへ誘導してID・パスワードやクレジットカード情報をだまし取る手口です。次のような特徴が見られることがあります。

• 「至急」「アカウント停止」など、不安をあおって急がせる文面
• 表示名は正規でも、リンク先URLが正規ドメインと異なる
• 身に覚えのない請求・配送・当選などの通知

判断に迷う場合は、メール内のリンクからではなく、公式サイトやアプリを自分で開いて確認するのが安全な確認方法です。完全に見分けられる「確実な方法」は存在しないため、多要素認証など多層の備えと併用することが大切です。

参考：フィッシング対策協議会、IPA の注意喚起等。

脆弱性とは、OSやソフトウェアに含まれるセキュリティ上の弱点（欠陥）のことです。パッチ（修正プログラム）は、その弱点を直すために提供される更新プログラムを指します。

攻撃者は公開された脆弱性を悪用してくるため、特に「悪用が確認されている」「インターネットに公開された機器」に関わるものは、できるだけ早い適用が望まれます。すべてを同時に対応するのが難しい場合は、影響度と悪用状況をふまえて優先順位をつける考え方（脆弱性管理）が役立ちます。

参考：IPA・JPCERT/CC の脆弱性情報、JVN（Japan Vulnerability Notes）等。

多要素認証（MFA）は、パスワード（知識）に加えて、スマートフォンのアプリやSMS（所持）、指紋・顔（生体）など、種類の異なる要素を組み合わせて本人確認を行う仕組みです。

パスワードが漏れても、もう一段の確認があることで、不正ログインのリスクを下げる効果が期待できます。メール・クラウドサービス・管理者アカウントなど、重要なものから有効化することが推奨されています。なお、MFAは万能ではなく、フィッシング等への注意とあわせて運用することが大切です。

参考：IPA・各サービス提供事業者のセキュリティ設定ガイド等。

バックアップは、ランサムウェア感染や機器故障からの復旧の要です。一般に「3-2-1」の考え方が知られています。

• 3つのコピーを持つ（本番＋バックアップ2つ）
• 2種類の異なる媒体に保存する
• 1つはネットワークから切り離した場所（オフライン／遠隔地）に置く

あわせて、定期的に「実際に復元できるか」を試すことが重要です。バックアップごと暗号化される被害もあるため、常時接続のバックアップだけに頼らない構成が望まれます。

参考：IPA・JPCERT/CC のランサムウェア対策資料等。

はい、規模の大小にかかわらず標的になり得ます。攻撃の多くは特定の企業を狙い撃つより、脆弱な機器や設定を広く自動的に探す形で行われるためです。

また、大企業との取引における「取引先（サプライチェーン）」の一つとして、対策状況を問われたり、踏み台として狙われたりするケースも指摘されています。「うちは小さいから大丈夫」とは言いにくいのが実情です。まずは基本の対策から始めることをおすすめします。

参考：IPA「情報セキュリティ10大脅威（組織編）」等。

多くの被害は、メールのリンクを開く・添付ファイルを実行するといった「人」を起点に広がります。そのため、技術的な対策と並んで、従業員の理解は重要な防御の一つと考えられています。

難しい内容を一度に詰め込むより、「不審なメールの見分け方」「困ったときの相談先」といった実務的なポイントを、定期的に短く繰り返す形が続けやすく効果的とされています。標的型メール訓練などを組み合わせる方法もあります。

参考：IPA の啓発資料・情報セキュリティ教育コンテンツ等。

まず落ち着いて、被害の拡大を止めることを最優先します。一般的な初動の考え方は次のとおりです。

• 感染が疑われる端末をネットワークから切り離す（電源を切る前に、まず通信を遮断）
• 勝手にデータを消さず、状況（時刻・現象）を記録する
• 社内の責任者・相談窓口に速やかに連絡する
• 必要に応じて専門機関（JPCERT/CC・IPA・警察等）や専門事業者に相談する

個人情報の漏えいなどでは、法令に基づく報告・通知が必要になる場合があります。具体的な対応は状況により異なるため、早い段階での専門家への相談をおすすめします。当社でも初動のご相談を承ります。

参考：個人情報保護委員会の漏えい等報告の案内、JPCERT/CC のインシデント対応情報等。具体的な法的判断は専門家にご確認ください。

まずは「何を持っているか（資産）」「どこが弱いか（リスク）」「いま何ができているか（対策状況）」を棚卸しすることが出発点になります。公的なチェックリストを使った自己点検から始める方法もあります。

自己点検で見えた課題に優先順位をつけ、具体的な改善計画に落とし込む段階では、第三者の視点が役立つことがあります。Future Secure Wave では、現状の整理から優先順位づけまでのご相談を承っています。お気軽にお問い合わせください。

→ サービス内容・お問い合わせはこちら

参考：IPA「5分でできる！情報セキュリティ自社診断」等の自己点検ツール。