TOUCH THE SECURITY Powered by Security Service G
4月は企業や学校で新しい生活をスタートさせる方が多く、そのような方々を狙ったサイバー攻撃が増えると言われています。
コロナ禍でのリモートワークの促進に伴いオフィス外での業務も増えたことで、一人ひとりがセキュリティ意識を高く持つことの必要性が高まっており、今一度みなさんとセキュリティの知識を勉強するため、谷口 健輔さん(技術本部 IT技術部 セキュリティG)に、新年度に改めて気を付けるべきセキュリティの基礎知識について伺いました 。
情報セキュリティの基礎知識
― そもそもセキュリティの事って全然わからないんですよね。 目に見えないものなので難しいイメージがあります。そうですよね。
セキュリティは実体があるものではないので、イメージが伝わりにくいんですよね…
― リモートワークが導入される際に、VDIとかVPNというワードをよく耳にしました。
上司から「VPN を設定してください」や、「VDIに切り替えてください」と 言われても、何がなんだか分からずに会社から送られてきたマニュアル通りにやりましたが、実際どういうものなのでしょうか？
まず、VDIとは、Virtual Desktop Infrastructureの略です。
普段社内で使っているPCの”デスクトップ”と呼ばれる画面をサーバー上におき、そのサーバーからそのデスクトップ環境を私用PCに転送することで、私用PCを通して社用PCのデスクトップ環境で操作ができる技術のことです。
もともとはセキュリティ対策目的で利用され、デスクトップを仮想化することで、端末の紛失・盗難や、端末がウイルス感染してしまった場合でも端末本体に社用のデータを残すことがないので、情報漏洩を防ぐことができます。
― VPNはどのようなものなのでしょうか？
VPNは、Virtual Private Networkの略で、インターネット回線を使用した仮想の専用回線のことを意味します。
自宅やお客様先などの遠隔地から、PTCS社内のネットワークへの接続ができる技術になります。
― VPNに危険性はないのですか？ インターネット回線を使用して自宅やお客様先などの遠隔地を繋ぐとしたら、悪意ある第三者に間に割り込まれると情報を抜かれたりしませんか？
VPNは通信する情報が暗号化されるので、第三者からの盗み・改ざんの防止を実現することできます。
― VDI・VPNが理解できました。
VDIは仮想デスクトップをサーバーに置き、VPNは暗号化された仮想の社内専用回線をひくことで、遠隔地でも社内PCを操作することができるんですね！
簡単に説明するとそうなりますね。
押さえておきたい情報セキュリティ対策
ただ、皆さんがお使いのネットワークには結構危険が潜んでいる場合があります。そのため 、私たちのようなセキュリティ領域のエンジニアが「脆弱性診断」と言って、パソコンやネットワーク環境に欠陥が無いかをチェックする役割を担っているのです。
― ニュースなどで顧客情報の流出等はかなり大きく報道されますよね。
具体的にはどのようなことに気をつけるべきなのでしょうか？
Zoomの貧弱性について
例えばですけど、お客様とのZoom会議なども危ないですね。
Zoomにも脆弱性があり、フィッシングメールと言って、攻撃者が本物そっくりのメールを送り、記載されたURLのログイン画面などから、受信者のユーザIDやパスワードなどの個人情報を盗む手法のサイバー攻撃があります。
仕掛けられたZoomのミーティングURLにアクセスをしてしまった場合に、Windowsの認証情報が盗まれてしまうのです 。
特に4月は新卒社員の方や、転職した方が多く入社する時期でもありますので、会社に慣れていない方を狙って社内研修を装ったZoom会議が送られることが予想されるため、注意が必要です 。
実際に送られてきたZoomのフィッシングメール。ここにWindowsの認証情報を入力してしまうと個人情報が抜かれてしまいます。
― たしかに4月は注意するべき時期ですね 。
しかし 、巧妙にメールを作られてしまうと見分けが難しくないですか？
本来参加しないといけない会議や研修を意図せず不参加になってしまうと相手に失礼になってしまいます。 その場合はどのように注意をすればいいのでしょうか？
対策としては送られてきたURLを必ず確認することです 。
正規のものは「hxxps://zoom.us/~」と、「zoom.us」と入っています。
偽装されたものは「hxxps://u<ランダムな数列>.」となっていることが多いです。お客様とZoomでのやりとりがある際は必ずURLはご確認ください。
― 基本と言えば基本かもしれませんが、フィッシングメールのように本物を忠実に再現したメールを送られてくると騙されてしまいそうですね。
また、Zoomに関してはスマートフォンのアプリで使用することもオススメできません。
iOSアプリでZoomを使用した際に、ユーザ情報や会議情報などのデータがFacebookに送信されてしまったという事例があります 。このことはZoom自体にFacebookのログイン機能が実装されていたことが原因であるとされています。
なるべくスマートフォンのアプリでZoomは使用しない方がいいかもしれません。
― 谷口さんのお話しを聞けば聞く程怖くなってきました。
情報セキュリティを脅かすウイルス
ただ、これまでの話はほんの一例にしかすぎなくて、他にも「ランサムウェア」のような「マルウェア」と言われるウイルスがあります。― ランサムウェアとかマルウェアとかってよく聞きますが、正直よく分からないんですよね…。
ランサムウェアとは、いわゆる身代金要求型の攻撃と言われるコンピュータウイルスです。
このウイルスに端末が感染してしまうと、個人の所有しているデータが暗号化されたり、PC本体がロックされたりします。そしてその後 「このデータを開放してほしければお金を支払え」と言って仮想通貨等で金銭の要求をされます。
― それって非常に恐ろしいですね。 感染してしまったら、かなりの損失を招きそうです。
おっしゃる通りです。
マルウェアとは、先ほどのランサムウェアも含む、悪意ある目的をもとに作成されたソフトウェアやコード全般のことを指します。
― しかし、こんなランサムウェアなどのようなもので悪い人に狙われてしまったら大変ですね。
ただ、会社も多くの費用をかけてセキュリティを強化しているので、攻撃者も一朝一夕ではランサムウェアのようなウイルス攻撃をしかけることは困難なのは事実です。
まとめ
先にお話ししたフィッシングメールやマルウェアも進化しており、攻撃手法もより巧妙化していますので、脅威は常に存在します。そのため、組織・個人のふとした気の緩みが会社の情報資産を脅威にさらすことになるのです。
― ひとりひとりがセキュリティの意識を強く持つことで、巧妙な攻撃を仕掛けるサイバーテロリストに有益な情報を与えることを防止するのですね。
その通りです。 今回私がお伝えしたいのはまさにその点です。 サイバー攻撃者の巧妙なフィッシングメールやウイルス攻撃の被害を避けるために、セキュリティの意識を強く持つことが大切だということです。
― 谷口さんありがとうございました。 業務中だけでなく日々の生活からセキュリティへの意識を強く持ちたいと思います。
