情報セキュリティにおける脅威とは? 脅威の分類や例・ セキュリティ対策について解説

セキュリティ対策を効果的に行うことは難しく、多くの方が悩まれています。この記事では、情報セキュリティにおける脅威の分類や種類、脅威対策の例について解説します。情報セキュリティの10大脅威について理解し、有用なサービスを導入して対策しましょう。

情報セキュリティにおける脅威の分類

安全にデバイスやクラウドを使うには、情報セキュリティにおける脅威への対策が必要です。まずは脅威の種類や内容、脅威とリスク、脆弱性との違いを解説します。

脅威の種類

企業が保有する情報は重要な資産であり、常に脅威にさらされています。情報セキュリティにおける脅威は、大きく分けて「人為的脅威」と「環境的脅威」の2つです。

人為的脅威は、人により生じる脅威であり、「意図的脅威」と「偶発的脅威」に分かれます。人の意識的な行為により生じるのが意図的脅威であり、不正アクセスやコンピュータウイルスなどが挙げられます。また、内部の人間によるデータの持ち出しなども意図的脅威です。一方、偶発的脅威は持ち出したデータの盗難や紛失、システムの操作・設定ミス、機器の故障などの意図せずに生じる脅威です。

環境的脅威は、地震や落雷、台風などの自然災害などによる脅威を指します。機器の老朽化や停電、火災なども含まれます。

それぞれの脅威について、外部攻撃を防ぐシステムの導入や、内部の人間への教育といった対策が必要です。

「脅威」「リスク」「脆弱性」の違い

情報セキュリティにおいて、「脅威」とは企業のシステムやデータに損失を与える要因や事象であり、「リスク」とは脅威が損失を与える可能性を指します。そして、リスクが顕在化したものが脅威です。「脆弱性」は、情報セキュリティの欠陥や弱点であり、脆弱性によって脅威が生じやすくなります。

セキュリティ脅威の例は? 情報セキュリティにおける10大脅威

IPA（独立行政法人情報処理推進機構）は「情報セキュリティ10大脅威 2024」を公表しました。これは、前年の社会的な影響が大きかったとされる情報セキュリティ事案を、個人・組織別にまとめたものです。以下では、組織における具体的な脅威の内容について解説します。

参照元：情報セキュリティ10大脅威 2024 | IPA 独立行政法人 情報処理推進機構

ランサムウェアによる被害

ランサムウェアは、コンピューターなどに侵入し、データを利用不能にするために使用され、復旧のために金銭を要求する不正プログラムです。「盗んだ情報を公開する」などと脅迫する場合もあります。ランサムウェア攻撃を受けると、業務は停止せざるをえません。

サプライチェーンの弱点を悪用した攻撃

サプライチェーン攻撃は、企業に直接攻撃するのではなく、取引先や関連企業、サプライチェーンを介して攻撃を行う手法です。資材調達から製品配送までの一連の流れ（サプライチェーン）におけるセキュリティ対策が不十分な組織を足掛かりにすれば、ターゲットである企業に侵入しやすくなります。自社の対策だけでは不十分であり、防止や検知は困難です。

内部不正による情報漏えい等の被害

内部不正とは、内部の人間が機密情報の漏えいや持ち出しを行うことです。企業への不満やプレッシャーなどが主な動機として挙げられます。内部不正により情報が漏えいすれば、関連企業や顧客からの信用は失われかねません。

標的型攻撃による機密情報の窃取

標準型攻撃とは、特定の組織や企業をターゲットにしたサイバー攻撃です。ウイルスが添付された偽装メールを介して、企業のコンピューターからネットワークに入り込みます。ターゲットに知られないよう慎重に攻撃を繰り返し、機密情報を盗んだら引き上げます。標準型攻撃の手口は巧妙であり、完全に防ぐことは困難です。

修正プログラムの公開前を狙う攻撃（ゼロデイ攻撃）

ソフトウェアの脆弱性が発見されると、修正プログラムが公開されます。ゼロデイ攻撃は、修正プログラムによる対策が確立する前に行われるため、検知システムが作動しません。ソフトウェアを最新の状態にする、サンドボックスを利用するなどの対策を行いましょう。

不注意による情報漏えい等の被害

外部からの攻撃がなくとも、メールの宛先ミスや、データが入ったUSBメモリの紛失などにより、情報漏えいが生じる場合もあります。技術的な対策に加えて、内部のセキュリティ教育の徹底が必要です。

脆弱性対策情報の公開に伴う悪用増加

複数の組織が脆弱性対策情報を公開していますが、この情報を悪用して企業が攻撃される場合があります。ゼロデイ攻撃と異なり、この攻撃は脆弱性公開後に行われます。そのため、脆弱性情報の公開後は速やかにセキュリティパッチを適用して、対策をとらなければなりません。

ビジネスメール詐欺による金銭被害

ビジネスメール詐欺は、企業にビジネスメールを送付して、金銭をだまし取るサイバー攻撃の手法です。攻撃者は経営者や取引先を装い、指示した口座に送金させます。送金の前に取引先に確認する、電子署名機能を利用するなどの対策が重要です。

テレワーク等のニューノーマルな働き方を狙った攻撃

新型コロナウイルス感染症の蔓延を契機に、テレワークなどのニューノーマルな働き方が一般化しました。しかし、Web会議サービスや家庭用のネットワークのセキュリティが脆弱では、ウイルス感染やサイバー攻撃を受けるリスクが高まります。社内外を問わず、どこでも安全に働けるセキュリティ環境の整備が必要です。

犯罪のビジネス化（アンダーグラウンドサービス）

犯罪のビジネス化とは、サイバー攻撃に使うサービスやツール、ノウハウが取引されることをいい、「アンダーグラウンドサービス」や「アンダーグラウンドビジネス」とも呼ばれます。犯罪のビジネス化により、高度なスキルがなくともサイバー攻撃を行えるようになりました。アンダーグラウンドサービス市場は年々拡大しています。

情報セキュリティ対策に重要な「脅威の可視化と高度な分析」

上述の脅威を防ぐためには、情報セキュリティ対策における「脅威の可視化と高度な分析」が重要です。実現したいビジョンを明確にしたうえで、自社にとっての脅威を正確に把握しましょう。現状を理解することにより、とるべき対策の詳細を考えられるようになります。対策をするにあたっては、有用なサービスの導入を検討しましょう。

企業における情報セキュリティ対策の詳細は、以下の記事をご覧ください。

関連記事：クラウド時代に求められる企業のセキュリティ対策とは？

10大脅威の防止に「Microsoft 365セキュリティ脅威可視化サービス」

脅威の可視化と高度な分析を行うには、「Microsoft 365セキュリティ脅威可視化サービス」が有効です。セキュリティ脅威の可視化と、約1カ月の結果をまとめたレポートを提供します。現在のセキュリティレベルを引き上げられるうえ、手軽に利用できます。

Microsoft 365セキュリティ脅威可視化サービスにできること

Microsoft 365セキュリティ脅威可視化サービスでは、次のような対策が可能です。

Teamsのアラート報告では、不正アクセスなどの脅威が検知されればアラート通知やヒアリングを行い、パスワード変更などの対応をとります。ある企業は、前月のアラート結果の確認と対処を行うことで、翌月のアラート数を減少させました。運用に必要なアラート内容を把握することで、アラートの精度を高められます。

スノーピークビジネスソリューションズでは、Microsoft 365セキュリティ脅威可視化サービスの1カ月間無料トライアルを行っています。サービスの詳細に興味があり、申し込みをしたい方は、以下のサイトをご覧ください。
関連ページ：https://snowpeak-bs.co.jp/solution/workstyle/security

まとめ

情報セキュリティにおける脅威は、人為的脅威（意図的脅威、偶発的脅威）と環境的脅威に分けられます。企業の情報を守るには、ランサムウェアや標準型攻撃、ゼロデイ攻撃やビジネスメール詐欺など、多くの脅威に対応しなければなりません。そのために必要なのが、脅威の可視化と高度な分析です。それを可能にする「Microsoft 365セキュリティ脅威可視化サービス」を導入し、自社のセキュリティを強化しましょう。