1日2000件の標的型サイバー攻撃に立ち向かう 具体的なノウハウとは？

日に日に増え続けるサイバー攻撃。もはや悪意の侵入を防ぎきることは事実上不可能であり、企業はセキュリティ対策に対する基本的な考え方や施策を再点検しなければならない。富士通は社内のセキュリティ組織のあり方を見直し、多層防御の仕組みを整え、スピーディーなインシデント対応を実現して、組織の安全を守る体制を整えた。その具体的なノウハウとは――。今、企業が取り組むべき統合的なセキュリティ対策の考え方と具体的な施策例を挙げていく。

サイバー攻撃の勢いは、全く緩む気配を見せない。警察庁が発表した資料によると、2015年、企業や個人を狙った標的型攻撃の件数は、同庁と連携している事業者などから報告を受けたものに限っても3828件に上り、過去最多となった。2014年と比べると、実に2.2倍の件数だ。日本企業を取り巻くサイバー攻撃の脅威は、過去最悪のレベルに達していると言える。

標的型メール攻撃やランサムウェアなど、ユーザーの注意力の隙をつく脅威が猛威を振るう一方で、攻撃対象となる端末は増えている。ワークスタイルの変化によりビジネスパーソンはモバイル端末を持ち歩き、営業先・出張先でも気軽に使うようになった。企業のサービス拠点や小売店舗のカウンターには、多数の担当者が入れ代わり立ち代わり操作する端末が並んでいる。

サイバー攻撃の危険が増している現在、企業はどのようなセキュリティ体制を整えるべきなのか。ICT企業である富士通は、体制作りから脅威発見の仕組みまで、独自の方法で強固な対策を施している。

1日2000件の標的型メールに立ち向かう

監視対象ログ1日10億件、標的型メール・攻撃ブロック数1日2000件──。これが2016年4月から9月の間に、富士通が受けたサイバー攻撃に関する実態だ。「サイバー攻撃の件数は2014年あたりから急激に増えました。さまざまな部署に、国内外からまんべんなく攻撃が来ている。この傾向はどの企業でも同じでしょう」と富士通 総務・リスクマネジメント本部 セキュリティマネジメント統括部 統括部長兼セキュリティセンター長の西嶋 勉は語る。

同社が受けているサイバー攻撃のうち、8割以上が標的型メール攻撃だという。残りが、水飲み場攻撃やランサムウェア攻撃、ばらまき型のフィッシングメールなど。攻撃と防御はいたちごっこのようなものだ。2016年2月、日本郵政をかたり不正送金を目論むマルウェアが全国に拡散したときなどは、危険なメールをブロックするたびにすぐさま添付ファイルを変えたメールが来る、といったことを繰り返していたという。

大量の攻撃に対して、人力だけで対応することはとうてい不可能。多くの企業は様々なセキュリティツールを導入しているものの、全ての脅威に自動的に対応できるわけでもない。このため、より視野を広げた組織的な対応が必要になる。

富士通では実際に、どのようなセキュリティ体制をつくっているのだろうか。また、その体制には、同社の長年にわたるセキュリティ対策の経験とノウハウがどのように生かされているのだろうか。

セキュリティ組織はICT部門と分ける

同社のセキュリティの組織の特長の一つは、CIO（Chief Information Officer）とは別に情報セキュリティ総轄責任者、CISO（Chief Information Security Officer）を置いていることだ。CISOはセキュリティポリシーを策定し、セキュリティ統制の方針をとりまとめ、施策の実施を指揮する。そして対策の実施状況をモニタリングし、評価する体制を作る。従業員へのセキュリティ教育にも責任を持つ（図1）

なぜCISOなのか。CIOではいけないのか。西嶋は「もともとセキュリティの組織はCIOが統括するICT部門の中に置かれていました。しかしその体制では、もしICT投資を抑制するということになったときに、同じくセキュリティへの投資も抑えられてしまう可能性があります。ICT投資とは別の観点からセキュリティ投資を見るために、ICT部門の外にセキュリティ組織を設けることにしたのです」と話す。

同社のセキュリティセンターは、総務・リスクマネジメント本部に所属し、全社のリスクマネジメント部門の一つに位置づけられている。本来、企業としては製品やサービスのトラブル、防災、コンプライアンスなど、対処すべきリスクはいくつもある。情報セキュリティは、それらのリスクの一つであるという考え方をとっているのだ。

CISOは、取締役会に直結したリスク委員会にレポートする役目を持ち、セキュリティ統括組織をマネジメントする責任もある。セキュリティ組織は総括組織とその下の各部門の担当事務局で構成され、各部門の中にも情報セキュリティ推進責任者がいて、総勢では数百人の体制という。

続きは、こちらからお読みいただけます

• 資料をダウンロード