情報セキュリティで気をつけることは？
個人・組織の対策をわかりやすく解説
「情報セキュリティトラブルを避けるために気をつけることって？」
「自社のセキュリティのルールを見直したい」
「どこから手をつければいいのか分からない」と後回しにしていると、ある日突然、会社のパソコンがマルウェアに感染したり、サイバー攻撃によって業務が止まってしまうなどの危険があります。
とはいえ、情報セキュリティも気をつけること・やるべきことが多く、何から手を付けるべきかわからずにお困りの方もいるのではないでしょうか。
この記事では、情報セキュリティで気をつけることや、セキュリティ対策の基本について解説させていただきます。
この記事でわかること
- 情報セキュリティで気をつけるべき基本の考え方
- 企業の規模別セキュリティ対策の現状
- 社員・管理者・IT担当者それぞれが気をつけること
情報セキュリティで押さえておきたい3要素
情報セキュリティとは、簡単にいうと、会社や組織が持つ「情報資産」を、さまざまな脅威から守り、安全な状態を保つことです。
まずは、情報セキュリティの基本で覚えておきたいポイントを解説します。
情報セキュリティで重要な3要素
情報セキュリティでは、機密性・完全性・可用性の3要素が維持されていることが重要です。
| 要素 | 意味 |
|---|---|
| 機密性 | 許可された人だけが情報にアクセスできる状態 |
| 完全性 | 情報が改ざんや誤りなく正確に保たれている状態 |
| 可用性 | 必要なときにシステムや情報を問題なく使える状態 |
たとえば、権限のない社員が顧客情報を閲覧できる状態は、機密性が損なわれた例です。
システム障害で必要な情報にアクセスできなくなる状態は、可用性が損なわれた例といえます。
3要素のうち、どれか一つでも欠けていると、情報漏えいや業務停止などのトラブルにつながりかねません。自社のセキュリティが3要素を維持できているか、今一度確認してみてください。
合わせて押さえたい4要素
JISQ27000（※）では、情報セキュリティの3要素に加え、次の4つを含める場合があります。
（※）情報セキュリティマネジメントシステム（ISMS）に関する日本の産業規格
なりすましや不正捜査など、従来の3要素では守りきれないリスクがあるという考えから4つの要素が追加され、「情報セキュリティ7要素」とも呼ばれるようになりました。
| 要素 | 意味 |
|---|---|
| 真正性 | アクセスする利用者やデータが、なりすましや偽造でなく本人・本物であることを確実にする特性 |
| 責任追跡性 | いつ、誰が、どのような操作を行ったかを一意に追跡できる特性 |
| 否認防止 | 行った操作や事象を、後から本人が否定できないようにする特性 |
| 信頼性 | システムが意図した通りに、矛盾なく動作する特性 |
情報セキュリティ対策の基本とは？知っておきたい基本
情報セキュリティ対策は、ツールの導入のほか、社員一人ひとりが気をつけるべきことや、組織としての指針を決定するなど、やるべきことが多岐にわたります。
「これから情報セキュリティを強化したいけど、何から手をつけるべき？」とお困りの方は、まずは以下4つの点から対策を考えてみましょう。
情報セキュリティ対策の基本
| 対策 | 内容の例 |
|---|---|
| 技術的対策 | ウイルス対策ソフトやUTMの導入 |
| 人的対策 | 社員教育、社内ルールの周知 |
| 組織的対策 | セキュリティ方針の策定、対応体制の整備 |
| 物理的対策 | サーバールームの入退室管理、防犯カメラの設置 |
いずれか一つだけを強化しても、抜けている部分から被害が発生する可能性が残ります。
技術的対策・人的対策・組織的対策・物理的対策の4つの大枠をバランス良く組み合わせることが、対策の基本です。
情報セキュリティ対策をしないリスクとは？
情報セキュリティ対策ができていない場合のリスクは、ウイルス感染だけではありません。
場合によっては詐欺被害やシステムの停止など、損害が大きくなる被害に遭う危険もあります。
身近に起こり得るトラブルの例
- 取引先や上司を装ったメールによる「詐欺被害や不正送金」
- 社内通知を装った偽サイトでの「ID・パスワードの盗難」
- 管理されていないUSBメモリからの「マルウェア感染」
- シュレッダーの掛け忘れによる「書類からの情報漏洩」
業務で情報セキュリティについて気をつけることが共有されていないと、トラブルが大きくなる可能性もあります。
自社のセキュリティの状況を今一度見直してみてください。
他の企業はどんなことをしている？情報セキュリティ対策の実態
情報セキュリティ対策は、企業の規模によって進み方に差があります。
大企業・中小企業それぞれの情報セキュリティ対策の実態についてご紹介します。
大企業の情報セキュリティ対策について
大企業では、セキュリティを統括する責任者（CISO等）や専門チーム（CSIRT）を置く動きが進んでいます。
専任の体制があると、セキュリティポリシーの策定やシステムの多重防御など、組織的な対策を講じやすくなるためです。
大企業の情報セキュリティ対策の実態
以下は、国内の企業・団体2,951件を無作為抽出して実施された、警察庁の最新の実態調査結果です。
| 情報セキュリティ管理体制 | 割合 |
|---|---|
| 情報システム運用管理者が兼務 | 65.0% |
| 情報セキュリティ担当役員（CISO等）を設置 | 44.0% |
| 専従の部署や担当者を設置 | 29.3% |
| 情報システム運用管理者以外の者が兼務 | 16.5% |
| 設置していない | 4.1% |
体制を置く組織は増えている一方、専従の部署や担当者を設置できているのは3割弱にとどまり、6割超は情報システム担当者が兼務しています。
セキュリティ教育を実施していない組織では、その理由として「指導できる者が社内にいない」が58.3%と最多でした。
大企業ほど情報セキュリティ対策の感度は高いものの、企業規模の大きさと管理する範囲を考えると、専門人材の確保という点ではまだ不十分というのが実情です。
中小企業の情報セキュリティ対策の実態
中小企業では、対策の遅れが課題です。IPAの調査によると、情報セキュリティ対策への投資を行っていない企業は62.6%にのぼります。
投資を行わない理由（上位3項目）
- 必要性を感じていない：44.3%
- 費用対効果が見えない：24.2%
- コストがかかりすぎる：21.7%
しかし、ランサムウェア被害の多くは中小企業であり、体制や予算の不足が、攻撃者に狙われやすい状況を生んでいます。
規模が小さいからこそ、できる範囲から着実に対策を積み上げることが重要です。
＼定番のUTM製品が初期費用0円／
企業の各社員が、情報セキュリティで気をつけること
企業の情報セキュリティ対策は、社員一人ひとりがセキュリティ意識を持って行動することが可能です。
ここでは、トラブルを防ぐために個人が気をつけることを解説します。
社員一人ひとりが情報セキュリティで気をつけること
- パスワードとアカウント管理を徹底する
- フィッシング詐欺・ワンクリック詐欺に注意する
- 個人情報や端末の取り扱いに注意する
パスワードとアカウント管理を徹底する
パスワードとアカウントの管理は、情報セキュリティ対策の土台となる部分です。
同じパスワードを複数のサービスで使い回すと、1つの流出がすべてのアカウントの乗っ取りにつながるため、原則、パスワードは使うツールごとで異なるパスワードを使いましょう。
パスワード管理で気をつけること
- サービスごとに異なる複雑なパスワードを設定する
- 多要素認証（ID・パスワードに加えて別の認証を組み合わせる仕組み）を利用する
- 使わなくなったアカウントは速やかに削除する
フィッシング詐欺・ワンクリック詐欺に注意する
フィッシング詐欺は、日常業務で遭遇しやすい脅威の一つです。実在する企業や金融機関を装った偽メールで偽サイトに誘導し、IDやパスワード、クレジットカード情報を盗み取る手口が代表的です。
請求書や支払い明細、クレジットカードの利用履歴など、本物と同じ内容でメールが送られてくると、ついクリックしてしまいがちです。パスワードやIDを入力するような場合はとくに注意してください。
フィッシング詐欺で気をつけること
- 心当たりのないメールの添付ファイルやURLはクリックしない
- 送信元のメールアドレスやドメインを必ず確認する
- 料金を請求された場合は、慌てず社内の担当者へ先に報告する
個人情報や端末の取り扱いに注意する
パソコンやスマートフォンといった端末や、顧客の個人情報の取り扱いも重要なポイントです。
PC画面をスマートフォンで撮影して持ち出す、顧客リストを印刷して持ち帰るなど、ネット以外の経路から情報が漏れることもあります。
端末・個人情報の取り扱いで気をつけること
- ファイル共有サービスの共有リンクには必ず期限を設定する
- PCやUSBメモリの廃棄時は専用ソフトでデータを確実に消去する
- 顧客情報は社内ルールに沿って慎重に取り扱う
管理者が情報セキュリティで気をつけること
管理者は、個人レベルでできることのほか、会社としての情報セキュリティ方針の決定や、社員への教育も行う必要があります。
経営層や部門長など管理者の立場は気をつけたい情報セキュリティ3つのポイントを紹介します。
この章で解説する内容
- 重要性の認識と方針ルールの策定
- 従業員へのセキュリティ教育
- インシデント発生時の対応体制
方針・ルールを策定する
企業が情報セキュリティを強化していくうえで、まずは会社としてのセキュリティへの方針を決定し、決定事項に合わせて対策をしていく必要があります。
個人情報保護委員会「法令・ガイドライン等」によると、個人情報を取り扱う事業者には、利用目的の特定・公表や安全管理措置を講じる責務があります。
参考：個人情報保護委員会「法令・ガイドライン等」
方針や規則は担当者任せにせず、管理者自らが指揮をとることで、組織全体がスムーズに実行できます。
基本方針を策定する際に押さえたい点
- 自社の情報資産とリスクを把握する
- 把握した内容をもとに組織全体の基本方針を定める
- 個人情報保護法が求める責務の一部である、利用目的の特定・公表や安全管理措置を反映する
従業員へのセキュリティ教育を実施する
高性能な設備を導入しても、社員の意識が伴わなければ、正しく浸透していきません。
一度きりの研修で終わらせず、定期的な教育を行うことで、社員一人ひとりの意識を維持できます。
また、「既存社員は知っているけど、新入社員は知らない」という、社員によって生じる意識の差も防ぐことができます。
情報セキュリティの教育で押さえたいテーマ
- 最新のサイバー攻撃のトレンドを共有する
- 社内端末の安全な使い方を伝える
- フィッシングメールの見分け方を実例で学ぶ
インシデント発生時の対応体制を整える
サイバー攻撃の手口は年々巧妙化しており、どんなに対策をしても「100％大丈夫」と言いきることはできません。
万が一、情報漏えいや不正アクセスが発生した際に、誰がどのような手順で対応するかを事前に決めておくことで、被害を最小限に抑えることができます。
こうした運用フローを考えることが、管理者の重要な業務となります。
対応体制を整える際に確認しておきたい3点
- 最新のサイバー攻撃のトレンドを共有する
- 社内端末の安全な使い方を伝える
- フィッシングメールの見分け方を実例で学ぶ
IT担当者が情報セキュリティで気をつけること
情報システムを扱うIT担当者には、より技術的な対策が求められます。
管理者が作った方針・ルール通り、各社員が動くために、IT担当者には、より深い情報セキュリティ対策への理解が求められます。
IT担当者が情報セキュリティで気をつけることの例
- ソフトウェア更新を適切に行う
- シャドーIT・シャドーAIの対策
- テレワーク・クラウド利用時の対策
- ウイルス対策ソフト・UTMによる防御
ソフトウェア更新を適切に行う
未修正の脆弱性は、攻撃者の侵入経路になります。
警察庁の調査によると、ランサムウェア攻撃の侵入経路はVPN機器が6割以上を占めており、ファームウェアの更新を怠ることが被害に直結します。
ベンダーからアップデート情報が通知された際は、速やかに従業員へ展開し、各社員が最新版を使えるような体制を整えましょう。
シャドーIT・シャドーAIの対策を行う
シャドーITとは、会社の許可を得ずに、従業員が個人用のデバイスや外部のクラウドサービスを業務に利用することです。
近年は、生成AIサービスを無断で業務利用する「シャドーAI」も新たなリスクとして注目されています。
機密情報を許可のないAIツールに入力すると、意図しない情報漏えいにつながる恐れがあるため気をつけましょう。
シャドーIT・シャドーAI対策のポイント
- 無断インストール・無断利用を禁止するルールを周知する
- 機密情報を許可のないAIツールに入力しないルールを徹底する
- 利用状況を定期的に可視化する
テレワーク・クラウド利用時のセキュリティ対策を行う
テレワークでは、社内ネットワークの外から会社のシステムへアクセスする機会が増える点が特徴です。
たとえば、多要素認証を設定していなかったことが原因で、業務委託先のアカウントが悪用され、情報漏えいにつながったケースは典型的なリスクの一つです。
権限設定とログイン方法の見直しが、テレワーク・クラウド利用時の基本対策です。
テレワーク・クラウド利用で気をつけること
- 私物端末を業務利用させる場合は、ウイルス対策ソフトの導入を必須にする
- クラウドサービスのアクセス権限は必要最小限に設定する
- 多要素認証を必ず有効にする
ウイルス対策ソフト・UTMで端末などサイバーセキュリティを導入する
仕組みとして防御する技術的対策も欠かせません。
代表的な対策は、端末を守るウイルス対策ソフトと、ネットワークの出入口をまとめて守るUTMの2つです。
最低限導入したいツール
- ウイルス対策ソフト：ウイルス・マルウェアの検知・駆除、不審なファイルや通信のブロック、端末の稼働状況の一元管理
- UTM：ファイアウォール、不正侵入の検知・防御、Webフィルタリング、迷惑メール対策など複数機能を1台に統合
＼定番のUTM製品が初期費用0円／
パソコンだけじゃない！セキュリティリスクのある端末とリスク
情報セキュリティと聞くと、パソコンやサーバーを思い浮かべる方が多いかもしれません。
しかし、オフィスにある身近な機器にも、見落とされがちなリスクが潜んでいます。
この章で紹介するリスク
- プリンターに潜むリスクと対策
- 社用携帯（スマートフォン）に潜むリスクと対策
- 防犯カメラに潜むリスクと対策
プリンターに潜むリスクと対策
複合機・プリンターは、初期設定のまま放置すると、外部からネットワーク経由でアクセスされ、保存されたデータが流出するおそれがあります。
また、出力した書類を放置してしまうと、社外の人の目に触れて情報が漏れる原因にもなりかねません。
高度なセキュリティ対策だけでなく、書類を出力したあとの対応にも気をつけましょう。
プリンターのセキュリティ対策の基本
- ファームウェアを最新の状態に保つ
- 初期パスワードのまま使わない
- 印刷物は出力後すぐに回収する習慣をつける
社用携帯（スマートフォン）に潜むリスクと対策
社用携帯は持ち運ぶ機会が多く、紛失や盗難のリスクが常につきまといます。端末を紛失した場合、保存された取引先の連絡先やメールが第三者に見られてしまう可能性があります。
公衆Wi-Fiへの無防備な接続も、通信内容を盗み見られる危険な行為です。
日常的な備えを徹底しておくことが、紛失・盗難時の被害を抑える近道になります。
社用携帯対策の基本
- 画面ロック（パスコード・指紋認証など）を必ず設定する
- 紛失・盗難に備えて、リモートロックや位置情報検索の機能を有効にする
- 公衆Wi-Fiでの業務利用は避け、会社が許可した通信手段を使う
防犯カメラに潜むリスクと対策
防犯カメラやAIカメラは物理的な防犯に役立つ一方で、ネットワークに接続する機器である以上、初期パスワードのまま運用すると外部からの不正アクセスの対象になり得ます。
運用時のトラブルやプライバシーの問題を避けるためにも、専門業者に相談してから設置することがおすすめです。
＼情報セキュリティと防犯をまとめて対策／
サイバーセキュリティも物理防犯も！
現地調査・お見積り無料
よくある質問
最後に情報セキュリティで気をつけることについてよくある質問を紹介します。
- Q. 情報セキュリティ対策の身近な例は？
- A. パスワードを使い回さない、不審なメールのリンクをクリックしない、席を離れる際にPCをロックするなどが身近な例です。
特別な設備がなくても、日常の心がけだけで防げるリスクは数多くあります。 - Q. 情報セキュリティ対策において最も重要なことは何ですか？
- A. 技術的対策・人的対策・組織的対策・物理的対策の4つをバランス良く組み合わせることが最も重要です。
どれか一つだけを強化しても、抜けている部分から被害が発生する可能性が残ります。 - Q. 個人でセキュリティソフトを使うならどれがいい？
- A. 個人で選ぶ場合も、動作が軽いという評価を受けている「ESET」のような製品も候補の一つです。
価格や動作の軽さ、サポート体制を比較して、自分の使い方に合ったものを選びましょう。 - Q. 情報セキュリティ対策は誰が担当すべきですか？
- A. 情報セキュリティ対策は、IT担当者だけでなく、経営層から一般社員まで全員が担うべきものです。
立場ごとに役割を分担し、組織全体で取り組むことが対策の実効性を高めるポイントといえます。
情報セキュリティで気をつけること まとめ
本記事では、情報セキュリティで気をつけることを、基本の考え方から社員・管理者・IT担当者の立場別、PC以外の機器のリスクまで解説しました。
この記事のポイント
- 情報セキュリティは機密性・完全性・可用性の3要素で成り立つ
- 対策は技術的・物理的・人的・組織的の4つの大枠で整理できる
- 立場ごとに気をつけるべきポイントは異なる
- プリンターや社用携帯、防犯カメラにもリスクが潜む
情報セキュリティ対策は、どれか一つだけでは不十分で、組み合わせて初めて効果を発揮します。
まずは自分の立場でできることから、一つずつ実践してみてください。
現地調査・お見積り無料
