サイバー攻撃とは？その種類と企業が取るべきセキュリティ対策

あらゆる情報がデジタル化されている現在では、想像する以上に多くの Web サイトがサイバー攻撃の対象になります。大切な情報を守りるために、堅牢な Web サイトセキュリティ対策が必要不可欠です。

警察庁の発表によると、国内では2021年度にランサムウェアによる被害が拡大しました。ランサムウェアとは、企業のデータを不正に取得し、「人質」としてデータを元に戻す代わりに、身代金(＝ランサム)を要求する攻撃です。2021年度の被害件数は146件に上り、年々右肩あがりで増加しています。またキャッシュレス決済の普及等を背景として、国内でのサイバー犯罪件数が12,275件（暫定値）と過去最多を記録するなど、危機感が高まっています。サイバー攻撃に対するセキュリティ対策がこれまで以上に重要になっていると言えるでしょう。

クロスサイトスクリプティング（XSS：攻撃者が、悪意のある JavaScript コードを、信頼できるウェブサイトを通じてユーザーのブラウザに仕掛けるもの）から、組織のメールアカウントを狙うフィッシング攻撃、怪しいファイルリンクを含む悪質なマルウェアまで様々な手口が登場する中、サイバーセキュリティは中小企業経営者にとってますます大きな関心事となっています。このため、ホームページの作成やプライベートネットワークの設定など、日々の業務を通じてサイバーセキュリティの基本を理解し、データ侵害からシステムを保護する方法を理解しておくことが重要です。

サイバーセキュリティとは、インターネット上にある機密情報と重要なデータを保護することです。今日、内外の脅威から機密データを守り、攻撃に備えるために、多くの組織や中小企業がサイバーセキュリティ対策を実施しています。

しかし、中小企業の経営者・役員825名と大企業の経営者・役人207名を対象として行った日本損害保健協会による調査では、中小企業のうち60.4％が「近年リスクが増えていると思う」と回答した一方、36.6％が特に対策を行っていないと回答。リスクに対する意識の低さも伺えます。

米国では、防衛システムの改善と連邦機関の統一のため、ジョー・バイデン米大統領が2022年3月1日、「Strengthening American Cybersecurity Act（米国サイバーセキュリティ強化法）」に署名しました。この法律により、すべての重要インフラ事業者は、リスクの管理と低減を目的とした政府組織であるサイバーセキュリティインフラストラクチャ安全保障局（CISA）に攻撃を報告することが義務づけられました。日本でも経産省が警鐘を鳴らし、産業界へ「セキュリティ対策徹底」を呼びかけています。

とはいえ、インフラ整備やセキュリティ対策が強化されるにつれて、ハッカーの手口もますます巧妙になってきています。すべての脅威を排除することは不可能に近いですが、強力なサイバーセキュリティポスチャ*を確立することで、ハッカーの攻撃にさらされる機会を大幅に減らすことは可能です。

*サイバー攻撃に備えた効果的な体制（＝ポスチャ）のこと

 目次

サイバーセキュリティとは
 
 中小企業が注意すべき、サイバー攻撃の種類
  マルウェア攻撃
  ランサムウェア
  フィッシング
 
 スモールビジネスオーナーが取るべき対策
  CIA トライアドとは
  NIST サイバーセキュリティフレームワーク
 
 安全なホームページ作成サービスの選び方
  セルフホスト型とマネージドサービスの比較
  その他のリソース
 
 さいごに
 
 

ハッカーが中小企業を標的にする主な理由は2つあります。1つは、小規模企業は IT リソースがなく脆弱であることが多いため。もう1つは、大企業とパートナーシップを結んでいる小規模企業の場合、ハッカーはそこから大企業の機密データに直接アクセスすることができるためです。

企業や顧客情報を効果的に保護するために、中小企業にとって重要となる3つのサイバーセキュリティの脅威を理解しておきましょう。

マルウェアには、トロイの木馬やウイルスなどさまざまなサイバー脅威が含まれます。これらの攻撃では、ハッカーはコードを使用してプライベートネットワークに侵入し、データを盗んだり破壊しようとします。マルウェアの攻撃は通常、不正ダウンロード、スパムメール、または他の感染したデバイスへの接続から発生し、被害を修復するために多大な費用がかかってしまうことも珍しくありません。

前述の CISA によると、2021年にランサムウェアの脅威は大幅に増加しました。ハッカーは通常、メールを通じてコンピューターにウイルスを感染させ、甚大な被害と出費をもたらします。その名が示すとおり、ランサムウェア攻撃（ransom = 身代金）は、パスワード、ファイル、データベースなど、被害者の機密データを身代金として要求します。24〜48時間以内に金銭を支払わなければ、データを破壊または漏洩させると脅されるのが通常のパターンです。

フィッシングとは、ハッカーが不正なリンクを貼ったメールやダイレクトメッセージを会社の従業員に送りつける手口のことです。実際、組織のメンバーや仕事上のメールはビジネスやネットワークへの直接の経路となるため、中小企業のデータ漏洩の主要な原因となっています。

フィッシング攻撃は、データ流出、システムのフリーズ、ウイルスのインストールにつながる可能性があります。フィッシング対策協議会の2021年度レポートでは、これらの攻撃の増加により、令和 2 年上半期の不正送金の被害額は約 5 億1,200 万円に上り、前年同期と比べ大幅に増加したことが報告されています。

上でも述べたように、中小企業は復旧に必要なリソースが不足しているため、大企業よりも間違いなくサイバー攻撃の影響を受けやすいといえます。実際、スモールビジネスの 60 %は、攻撃を受けてから 6 か月以内に倒産しています。

中小企業がどのように自らを守ることができるかを説明する前に、まず、現代のサイバーセキュリティ基準の基礎として国際的に広く受け入れられているモデルである「 CIA トライアド」についてご説明します。

CIA トライアドは、機密性、完全性、可用性という 3 つの重要なセキュリティ要素を定義したものです。すべてのサイバー攻撃は、これらの属性の少なくとも1つを侵害しようとするものであり、これらの属性の関係は、情報システムがどのように動作すべきかのガイダンスとセキュリティ基準を提供するための指標となります。

これらの用語の関係をよりよく理解するために、ネットショップで成功しているビジネスオーナーの場合を例に挙げて、CIA トライアドをどう実践すべきかを一緒に考えてみましょう。

具体的な対策の例

NIST（米国国立標準技術研究所）は米国商務省の一部門であり、企業のサイバーセキュリティ体制の強化を支援している機関です。NIST では CIA トライアドを参考にして、中小企業が情報セキュリティシステムを守るための 5 つのステップからなる「NISTサイバーセキュリティフレームワーク」(英語)を策定しています。

サイバーセキュリティ計画を作成する最初のステップは、監視と保護が必要なすべてのデバイス、アカウント、およびデータを特定することです。これには以下が含まれます。

サイバー脅威からビジネスを守るには、多角的なアプローチが必要です。ここでは、その主なステップを紹介します。

サイバー攻撃から会社や人を守るには、ネットワークシステムの継続的な監視が不可欠です。不正なログイン試行、予期しないファイル転送やデータの移動など、通常とは異なる、または疑わしい動きがあれば、セキュリティ担当者に報告して直ちに調査する必要があります。

サイバー攻撃を受けた際の対応方法もしっかりと確認しておきましょう。

サイバー攻撃から回復するのは大変なことです。しかし、不幸な出来事と同様に、これを教訓とし、二度と同じことが起きないようセキュリティ対策に繰り返し取り組むことが大切です。攻撃された後は、通常通りビジネスを再開したり、新しい取り組みを行う前に、忍耐強くシステムと従業員の復旧を優先させましょう。また、同時に以下のことも忘れずに行いましょう。

ホームページには、支払いプロセスの情報、顧客のクレジットカード情報、メールアドレス、ログイン情報、在庫情報などの個人情報が含まれている可能性があります。このため、Web サイトのセキュリティはビジネスを保護するために最も重要な施策のひとつだと言えます。ホームページ作成サービスを選ぶときには、セキュリティ対策が特に充実したものを選ぶよう心がけると良いでしょう。

サイトのセキュリティをユーザーに任せるセルフホスティングプラットフォームとは異なり、Wix のようなマネージドプラットフォームでは、セキュリティ専門チームが年中無休でサイトを監視しています。すべてのユーザーに最高レベルのセキュリティを保証するために、Wix はレビュープロセスを開発して疑わしいアクティビティを調査し、外部のセキュリティコンサルタントと連携して信頼性の高い Web ホスティング、HTTPS および SSL 証明書による保護を提供しています。ホームページを万全の体制で保護することで、ビジネスオーナーは安心して企業活動により多くの時間をかけられるようになります。サイトセキュリティについてはこの記事で詳しく説明しています。

マネージド型のホームページ作成サービスは、世界で最も高水準のプライバシーおよびセキュリティ基準にも取り組んでいます。これは、予約システム、メルマガ配信、オンライン決済処理など、そのサービス内で提供されるすべてのビジネスツールやアプリにも適用されます。サイバーセキュリティの脅威が進化する中、これらの脅威に対応するために必要なリソースを持つサービスを賢く選んで、ビジネスに集中できる環境を整えましょう。

また、ホームページビルダーを選ぶときは以下の規格に準拠しているか確認しておくとより安心です。

マネージド型のホームページ作成サービスでサイトのセキュリティを効率的に管理することで、ユーザーは安心してスモールビジネスを運営できるようになります。しかし、ネットワークやメールアカウントなど、パスワードで保護された他のシステムやデータベースも同じく保護する必要があります。IT 部門を持たない中小企業では包括的なセキュリティシステムを構築することは困難であり、負担が大きいと思われるかもしれません。既存のリソースをうまく活用して、できる限り総合的なセキュリティ対策を講じることが大切です。

いかがでしたでしょうか？

今回はサイバー攻撃の種類を紹介すると同時に、中小企業やスモールビジネスが直面するサイバーセキュリティリスクとその対策を解説しました。この記事で紹介したセキュリティ対策に関するリソースと Wix が提供するセキュリティ対策を利用して、ホームページのセキュリティ対策をもう一度見直してみましょう。まずは、できるところからサイバーセキュリティ対策のアップデートを始めることが肝心です。

編集者：Miyuki Shimose
 ブログ コンテンツマネージャー