情報セキュリティに関するISOであるISO27001（ISMS）が昨年アップデートされ、2013年版から2022年版へ改訂されました。新たに11項目の管理策が追加になったのですが、そのひとつに、5.7脅威インテリジェンスという管理策があります。

内容を簡単に述べると、

情報セキュリティの脅威に関する情報を収集・分析し、それを基にした対策を立てること

というものです。

最近サイバー攻撃の手法やツールがますます高度になり、受動的なセキュリティ対策ではついていけなくなっていますよね。

弊社もISO27001を認証取得しているので内容は存じています。脅威インテリジェンスという言葉自体、よく耳にするようになりましたね。

そうですよね。

新規格である2022年版での審査がはじまっていますが、脅威インテリジェンスの部分について細かくチェックする審査員も多いという情報が入ってきています。情報収集・分析だけじゃなく、対策しているかどうかまで見られるそうです。アクションを重視しているんですね。

コンサルティングする中で、日々、お客様のセキュリティ対策についてお伺いする機会がありますが、「なんらかのウイルス対策ソフトが入っていたら大丈夫でしょ？」という認識の方が多いです。無料のセキュリティソフトを入れているだけの方もいらっしゃいますが、情報セキュリティの対策って、どこまでやるべきなのでしょうか。

有料と無料のものの違いをあまり分かっていなかったので勉強になります。

ニュースや掲示板サイトを見ていると、毎日のようにサイバー攻撃や情報漏洩のニュースが流れていますよね。

そうですよね。最近特に恐いのはランサムウェアです。

ランサムウェアとは･･･
コンピューターシステムに不正に侵入し、ユーザーのデータを暗号化して利用できない状態にした上で、解除するための身代金を要求するマルウェアの一種。ランサム（身代金）とソフトウェアを組み合わせた造語。

そうなんです。
こわがらせるつもりはないんですが（笑）、すこし事例を紹介させてもらいますね。

数年前ではありますが、大手のゲームメーカーK社がランサムウェアで大損害を被りました。

K社はこれによって、メールだったりファイルサーバーが利用できなくなってしまい、業務停止に追い込まれました。

さらに顧客や取引先の個人情報まで流出してしまい、流出した個人情報は確認されただけでも約15,000人、推定で最大39万人にも及ぶと報告されています。

自社がそんなことになったら一体どうなってしまうのか…、考えただけでも恐ろしいです。被害者にとっては大きな精神的・経済的ダメージとなりますよね。とんでもない脅威です。

ターゲットとしては、やはり大手企業が狙われやすいのでしょうか。

警視庁が発表した2021年のランサムウェア被害件数を見ると、全体で146件のうち大企業が49件（34％）、中小企業が79件（54％）、その他が団体等でした。

半数以上が中小企業なんですね。

勝手なイメージで、大企業とか上場企業ばかり狙われているのかと思っていました。

事業規模を問わずランサムウェアの被害が発生していますね。企業のサーバーが直接攻撃されるケースも多いみたいです。

防御が強固な大企業の端末ではなくて、グループ会社の末端の小規模な組織のセキュリティが行き届いていない端末を狙うそうです。

いまは中小企業であっても全く油断できませんよと皆さんにお伝えしています。

システム技研様もセキュリティ事業を行われていますが、取り扱われている『クラウドストライク』とはどのようなセキュリティ製品なのですか？

まず第一に、従来のセキュリティソフトとは全く仕組みが異なるものです。

既存のセキュリティ製品は「パターンマッチング」といいまして、該当するウイルスに対応したパターンファイルというのを各端末に当てていないと対応できない、いわゆる「この症状に効くこの風邪薬でないと効かない」というものなんですね。

一方クラウドストライクというのは、クラウド上でパソコンのOSの振る舞いというのを常時監視していて、通常と違う動きをしたときに「何かおかしいぞ」「異常が起きている」と検知が入る仕組みになっているんです。

クラウドストライクはアメリカの製品であり、ハッカー集団とか敵対国とか世界中の攻撃者に関する情報を常に集めており、それこそ最新の脅威インテリジェンスを保有しています。また、AIで機械学習もさせており、パターンファイルというのを入れてなくても最新の脅威に対抗できるようになっています。

従来のセキュリティソフトだと、最新のバージョンを入れていない人は少し古いウイルスでもやられてしまう可能性がありますが、クラウドストライクだとそういうことがない。

たしかにウイルス対策ソフトって更新する必要がありますよね。

クラウドストライクは更新の必要がないんです。１回インストールすればあとは何もしなくて良い。

その差は大きいですね。お客様に「更新されていますか？」と尋ねると更新されていないケースがしばしばあります（苦笑）

クラウドストライクは更新の必要もありませんし、さらにスキャンという概念もありません。

従来の製品は１日１回ハードディスクスキャンの時間があって、スキャンしておかしいものがないかチェックするんですが、その間動きが重くなるし長引くとPCが使用できない時間が発生したりします。

忙しい日に限ってパソコンが重くなったりしますよね。更新やスキャンが不要ということは、社内にＩＴリテラシーが高くない方がいても安心ですね。

や、そうなんですよ。まさにそのような会社さんには最適です。

大手の企業では情シス部門とかで端末ごとに最新のウイルス対策ソフトが入っているか管理されていますよね。

そういう場合は専用のサーバーが必要なんですが、クラウドストライクは専用サーバーも不要です。ブラウザで管理者としてログインすれば管理できるので管理工数が激減しますね。期限やバージョン管理の必要もないです。

対処スピードも段違いで、攻撃が実行された瞬間に隔離されます。従来のセキュリティ製品の２倍くらいの値段がかかることだけが懸念にあがるポイントです。

やはり品質が高いだけ価格も上がりますよね。

はい。

あと、最初に「脅威インテリジェンスが審査項目に追加になった」というお話がありましたが、クラウドストライクであれば脅威の分析もできます。

もし攻撃された場合も、ログが出るのでどこから攻撃されたか残るので、どこにどのような対処を行えば次から防げるかも分かります。

ログの解析は難しいのでクラウドストライクに取得・解析してもらえるオプションもあります。繰り返しになりますが、速度と対応できるウイルスの種類を考えるとクラウドストライクは突出しています。

聞けば聞くほどISO27001認証をとられている企業さまにピッタリですね。

ISOコンサルティングチーム内でも共有させていただきます。

セキュリティ対策をどこまでやるべきかというのは、組織の状況とご予算にもよりますので一概に結論は出せませんが、最新の脅威に関する情報収集は怠ってはならないと思っています。

最終的には、セキュリティ対策は組織のリスク許容度やビジネス目標とのバランスを取りながら、継続的な改善を行うことが重要です。

今日はセキュリティに関して深いお話をお伺いできて非常に勉強になりました。

ありがとうございました。

こちらこそありがとうございました。

ISO新規格への移行で疑問が出てきたらまた相談させてください。