Firewallを通り抜ける、不正な通信を検知するIDS（Intrusion Detection System）の設置
Firewallを通り抜ける、不正な通信を遮断するIPS（Intrusion Prevention System）の設置
自社Webサーバーのセキュリティ対策
-
自社サイトの不正ログインや乗っ取りを防ぐWAF（Web Application Firewall）の設置
対策レベル2は、IT専門家がいない中小企業にとっては専門的で、必要性がよく理解できないと思います。しかし、ダークウェブでは脆弱性を突くサイバー攻撃方法が、日々生み出されています。ウイルス対策ソフトだけでは、サイバー攻撃を防ぎきれないため、ネットワークに対するセキュリティ対策も非常に重要です。
中小企業にとって、自社でネットワークセキュリティ機器を設定するのは、ハードルが高いと思います。事業者が必要な設定をしてくれるセキュリティサービスの利用をお勧めします。
(3) 対策レベル3
組織として情報セキュリティ対策を確実に実施するための仕組み作りです。この点がしっかりしていないと、いつしか綻びが生じ、サイバー攻撃の被害を受ける危険性が高まります。次のような取り組みです。
-
統括責任者と部門責任者の選任
全社の情報セキュリティを推進する組織を編成します。情報セキュリティ投資の意思決定も必要なので、統括責任者は役員クラスの方の選任が望ましいです。
-
情報セキュリティ・ルールの策定
情報セキュリティ対策を運用するルールを策定します。自社の実情に合った実行可能なルール作りと、ルールだけではカバーできない残存リスクの認識がポイントです。
社内の人材だけで情報セキュリティ・ルール策定が難しい場合は、外部専門家の利用をおすすめします。セキュリティ対策関連の補助金を設けている自治体もありますのでご確認ください。
-
従業員への情報セキュリティ・ルールの教育と日々の運用
ルールの遵守には、従業員への教育が必須となります。その上で、情報セキュリティ・ルールを、日々運用します。
-
PDCAサイクルによる情報セキュリティ・ルールの改善
ルールを策定しても、定期的に見直しをしなければ、ルール本来の目的が薄れます。PDCAサイクルで見直しを行うことで、情報セキュリティ・ルールを継続的に改善してください。
【ぜひ試してもらいたいセルフチェック】
以上、情報セキュリティの重要性と、対策のステップアップについて説明しました。最後に、IPAが提供している「5分でできる！情報セキュリティ自社診断」をご紹介します。これは、25問のセルフチェックで自社のセキュリティレベルを把握できるものです。ITに詳しくない経営者の方でも回答できますので、自社のセキュリティレベル判定に納得できると思います。
