初心者のためのガイド：サイバーセキュリティとは何か？

年々サイバー攻撃による被害が増える中、サイバーセキュリティ対策は日常生活でも仕事でも非常に重要です。本記事では、サイバーセキュリティの基本的な内容からサイバー攻撃の種類、そして具体的な対策までをまとめてご説明します。

1. サイバーセキュリティとは？

1-1 サイバーセキュリティの定義

サイバーセキュリティとは、電子化されたデータやシステムが、サイバー攻撃によって改ざんされたり、情報漏えいしたりすることを防ぐ対策・手段のことをいいます。総務省は、サイバーセキュリティの定義を以下のように説明しています。

私たちがインターネットやコンピュータを安心して使い続けられるように、大切な情報が外部に漏れたり、ウイルスに感染してデータが壊されたり、普段使っているサービスが急に使えなくなったりしないように、必要な対策をすること。それがサイバーセキュリティ対策です。

引用：総務省「国民のためのサイバーセキュリティサイト」

1-2 サイバーセキュリティの主な目的と必要とされる理由

サイバーセキュリティの目的は、先述の通りサイバー攻撃を防ぐことです。インターネットが普及・発展する中で、サイバー攻撃の発生数は年々増加傾向にあります。

2023年に総務省が発表した「NICTERにおけるサイバー攻撃関連の通信数の推移」によれば、2022年の攻撃観測数は5,226億パケットに上り、増加率はここ数年で小さくなっているものの、いまだに増加傾向です。

引用：総務省「情報通信白書」10章 サイバーセキュリティの動向

サイバー攻撃は、インターネットを利用している限り誰もが標的になる可能性があり、その被害も大きくなる傾向にあるため、個人・組織を問わずサイバーセキュリティ対策が必要とされています。

2. サイバー攻撃の種類と対策

ここでは、代表的なサイバー攻撃の種類をご説明します。

2-1 マルウェア

マルウェアとは、悪意のあるソフトウェアの総称で、悪質な（malicious）ソフトウェア（software）からできた造語です。マルウェアの中にもその手法により、複数の種類があります。

コンピューターウイルス

コンピューターウイルスは、コンピューター内の他のファイルなどに自らをコピーして感染させ、ウイルスのように増殖するプログラムです。次々とファイル等に感染することで、システムを破壊したり、データを盗んだりするなどユーザーの意図しない動きをします。

スパイウェア

ユーザーの行動を監視・記録し、個人情報を流出させるプログラムです。基本的にユーザーの情報を悪用することを目的としており、パスワードやクレジットカードなどの情報を抜き取られる可能性があります。具体的な手法としては、ユーザーがキーボードで入力する情報を記録する「キーロガー」や、ブラウザに保存されているCookie情報を盗む「クッキースティーラー」などがあります。 

ランサムウェア

ランサムウェアは、システムやファイルなどを暗号化して犯人以外に元に戻せないようにし、解除する代わりに身代金を要求するプログラムのことです。ランサム（Ransom）は身代金という意味で、その名の通り身代金を要求する脅迫が行われます。

アドウェア

アドウェア（adware）はその名の通り、広告を表示するために利用されるプログラムです。宣伝を目的としているので、必ずしも悪質であるとは限りません。ただし、ユーザーが意図せず動作する場合や、悪質なページに誘導し個人情報を搾取するなどの場合は問題になります。

ボットネット

悪意のある攻撃者により遠隔操作される複数のコンピューターや、そのネットワークのことを「ボットネット」と呼びます。これらのコンピューターは、マルウェアに感染していることが多く、攻撃者の指示により大量感染を引き起こす可能性があります。

トロイの木馬

トロイの木馬は、正規のソフトウェアやファイルに見せかけてインストールさせ、裏でデータの破壊などの攻撃を行うプログラムです。「トロイの木馬」という名前は、古代ギリシャのトロイ戦争で用いられた策略に由来します。

現在も進化し続けており、2023年には「Qbotトロイの木馬」と呼ばれる銀行を標的としたものが流行しています。2023年の1年間で10種の新しいプログラムが見つかっており、2024年のものには自動送金システムやライブ画面共有の機能が搭載されているとも言われています。

2-2 フィッシング詐欺

フィッシング詐欺とは、受け取った相手が思わず開きたくなるようなメールやSMSを送信し、誘導先のウェブサイトなどでログイン情報やクレジットカード情報などを盗む詐欺です。最近は、宅配の不在通知やウイルス感染を装ったメッセージが多いです。

2-3 SQLインジェクション

SQL（structured query language）インジェクションは、攻撃者が不正なSQLコードをウェブアプリの入力フォーム等に仕込むことで、データベースにアクセスする手法です。アクセス先のデータベースで、機密情報の閲覧やデータの改ざん、削除などを行います。

2-4 中間者攻撃

中間者攻撃は、攻撃者が二者間の通信に割り込み、通信を傍受したり改ざんしたりするサイバー攻撃です。セキュリティの弱い公衆Wi-Fiを利用している場合などには注意が必要です。

2-5 DoS攻撃／DDoS攻撃

DoS攻撃（Denial of Service Attack）またはDDoS（Distributed Denial of Service）攻撃は、攻撃対象のコンピュータやネットワークサービスに対し、意図的に遮断や妨害を行うことでユーザーが利用できなくなるようにする攻撃です。両者は攻撃の手法は異なりますが、いずれもサービス拒否攻撃と呼ばれるものです。対象となるサーバーやネットワークに大量のリクエストや過剰なアクセスを行うことで負荷がかかり、障害が起こります。

3. サイバー攻撃への基本的なサイバーセキュリティ対策

ここからは基本的なサイバーセキュリティ対策を、6つご紹介します。

3-1 情報セキュリティ

情報セキュリティとは、アナログ／デジタルに関わらず情報を守ること全般を指していいます。よって、インターネットを介して保管しているデータに加え、紙の文書や口頭でのコミュニケーション情報も該当します。企業においては、それらの情報資産への不正アクセスや流出などを防ぐことなどが情報セキュリティを強化することに繋がります。

3-2 アプリケーションセキュリティ

アプリケーションセキュリティとは、利用しているアプリケーションをさまざまな脅威から保護するための戦略・手法を指します。企業においては、アプリケーションの開発段階からアプリケーションセキュリティを念頭に置き、設計することが重要です。

3-3 ネットワークセキュリティ

ネットワークセキュリティとは、ネットワークへの不正アクセスを防ぐための戦略・手法を指します。代表的な対策としては、ファイアウォールの設置やアクセス制御などが挙げられます。

3-4 エンドポイントセキュリティ

エンドポイントとは、ネットワークに接続されたサーバーやデバイスとユーザーなどのことであり、サイバー攻撃の侵入ポイントになりやすいです。そのため、これらのエンドポイントからのサイバー攻撃を防ぐための戦略・手法をエンドポイントセキュリティと呼びます。

3-5 障害回復（DR）と事業継続計画（BCP）

障害回復と事業継続計画は、災害や障害などが起こった場合に、組織が迅速に業務を回復し事業を継続させるための計画および手順です。これらをしっかりと定めておくことで、万が一の事態が発生した時の生命線となります。

3-6 エンドユーザー教育

サイバーセキュリティの中で、最も予測しづらく管理も難しいのが人です。企業がどれだけしっかりとサイバーセキュリティ対策を講じていても、企業に属する人にサイバーセキュリティの知識がなければ、サイバー攻撃の被害にあう可能性は高くなります。それを防ぐため、社員教育等を行うのがエンドユーザー教育です。

4. 個人と企業のためのサイバーセキュリティ対策

ここからは、個人・企業が具体的に取り入れられるサイバーセキュリティ対策をご紹介します。

4-1 個人が取るべき基本的なサイバーセキュリティ対策

強力なパスワード設定と管理の徹底

パスワードを設定する際は、簡単に推測されないようなものにしましょう。大文字、小文字、数字、記号のすべてを含んだ12字以上のものが望ましいです。複数のアカウントで同じパスワードを使いまわしにするのもなるべく避けましょう。

二段階認証の活用

金融系などサイトやアプリによっては、二段階認証が導入されていることがあります。導入されているサービスでは、なるべく二段階認証を活用するようにしましょう。自身で設定を行う必要がある場合もありますので、いまいちどログイン時の設定を見直してみると良いでしょう。

ソフトウェアは常に最新状態を保つ

OSやアプリなどは定期的にアップデートが行われます。できる限り放置せず、常に最新状態を保っておくと安心です。アップデートがあると自動で実行される設定にしておくのもおすすめです。

公衆Wi-Fiで機密情報へアクセスしない

リモートワークなどで、カフェやホテル等の公衆Wi-Fiを利用することもあるかと思います。公衆Wi-Fiはセキュリティが弱い場合がありますので、機密情報にはアクセスしないようにしましょう。

フィッシング詐欺への警戒

差出人が不明なメール・SMSや、送信元のアドレスが公式とは違っていそうな場合などは、なるべく開かないようにしましょう。もし、開いてしまった場合もメール内にあるURLは絶対にクリックしてはいけません。常に、フィッシング詐欺かもと警戒してメールを見るようにしましょう。

4-2 企業が実施すべきサイバーセキュリティ対策

セキュリティソフトウェアを導入する

サイバー攻撃からコンピューターやデバイスを守るためのさまざまなツールやプログラムを、セキュリティソフトウェアと言います。たとえば、悪意のあるソフトウェアを検知して削除するアンチウイルスソフトウェアや、ネットワークの入口と出口に設置し許可された通信のみをやり取りさせるファイアウォールなどです。セキュリティソフトは他にも複数ありますので、自社の状況に合わせて導入を検討しましょう。

セキュリティトレーニングの実施

先述の通り、企業においては人レベルでセキュリティを強化することも重要です。セキュリティに関する研修を実施するなどし、エンドユーザーが最低限の知識を身に付けた状態にしておくのが理想です。

データ暗号化の適用

機密情報を含むデータのやりとりには、暗号化をしておくと良いでしょう。そうすることで、万が一漏えいした際にデータを保護できる可能性があります。

定期的なセキュリティ監査の実施

サイバー攻撃の手法は日々進化しています。最新の攻撃手法にも耐えられるよう、定期的な監査を実施し、発見された脆弱性は早めに潰しておくことが重要です。 

弊社Priv Techでは、バグバウンティプログラムを中心に、グローバルで通用する高度なセキュリティサービスを展開しています。特にバグバウンティプログラムは、世界各国のホワイトハッカーと協力して脆弱性を探し出し、見つかった脆弱性に対して報酬を支払う方式のサービスです。この方法により、従来のセキュリティチェックでは見落とされがちな細かな脆弱性も発見することが可能です。

詳しい内容やお問い合わせは、下記のリンクよりご覧ください。 

＞＞Priv Techのサイバーセキュリティサービス詳細ページはこちら

5. まとめ

いつ自分が標的とされても不思議ではないサイバー攻撃。それらのリスクを少しでも低くするためには、サイバーセキュリティの知識を持っておくことが非常に重要です。自分には関係ないと思わず、個人および組織レベルで対策を打つようにしましょう。