パソコンのセキュリティ
危険な行動に誘導する案内に惑わされない
ウイルス感染や不正アクセスなどの警告とその対策を促す案内が、パソコンの画面に突然表示されたり、メールなどで届くことがあります
こうした案内には、利用者を危険な行動へ誘導し、サポート詐欺で金銭をだまし取る、パソコンの正常動作を妨げるアプリを導入するなど、悪質なものも含まれます
不審なサイトだけでなく、日常的に利用する信頼できるサイトであっても、ネット広告などを経由して表示されたり、すでにパソコンに入り込んでしまったアドウェア（迷惑な広告を表示するプログラム）によって表示されることもあり、
正規メーカーからの通知のように巧妙につくられておりますが、正規の通知が電話をかけさせたり、その場で購入や導入を急がせたりすることは基本的にありません
疑わしい案内には自分から行動せず、まずはシステム管理者に確認するというのを徹底することが、セキュリティにおいては重要です
弊社では、このような悪質な広告の表示やアドウェアの侵入を防ぐため、AdGuard の導入や安全な場所からのアプリのインストールの徹底を推奨しております
アプリは安全な場所からインストールして、必要性がないものはインストールしない
多くの人が使っている有名なアプリでも、ダウンロードする場所によっては、本物のアプリにウイルスなどのプログラムや間接的にそれらがインストールされる危険性を含んだアドウェアを混ぜたものが配布されており、注意が必要です
- そのアプリがないと業務が行えないもの以外はインストールしない
- 圧縮解凍アプリ（Lhaplus・7-zipなど）は、セキュリティ問題が見つかって悪用されたときのリスクが特に大きく、現在はWindows標準機能でZipファイルを取り扱えるため、圧縮解凍アプリのインストールは控えましょう
- OS公式ストア（Microsoft Store、App Storeなど）または公式サイトからインストールする
- 会社が許可していないアプリが業務で必要となる場合、システム管理者または上司に相談する
重要なアプリのセキュリティ更新
ウイルスなど不正なプログラムの実行は、Windowsの技術革新などで極めて難しくなったものの、不正なプログラムの実行を可能とする部分（脆弱性）が発見されることもあります
この脆弱性を解決するセキュリティ更新が提供されたときに、それをいち早く実施することが極めて重要な情報セキュリティ対策となり、特に以下のセキュリティ更新が重要となります
パスワードを使い回さず、多要素認証を設定
複数の機器やサービスで同じパスワードを使った場合、どれか１つで情報が流出すると、他でも不正アクセスが行われる危険性が極めて高くなります
そのため、それぞれの機器やサービスごとに独自のパスワードを設定することが重要ですが、いくつものパスワードを覚えるのは無理なので、パスワードを管理して入力補助もしてくれるパスワードマネージャーを活用しましょう
パスワードマネージャーによっては、ダークウェブに流出した不正利用される可能性が高いパスワードをチェックして警告する機能もあるため、より安全なパスワード管理を行えます
また、銀行のワンタイムパスワードのような多要素認証を利用できるものについては、それを活用しましょう
万一パスワードが流出しても、第三者による不正利用を防ぐことができます
推奨するパスワードマネージャー
- Microsoft Edge パスワード管理機能
- Microsoft 365と併用して、職場プロファイルで組織として管理
- Google Chrome パスワード管理機能
- Google WorkSpaceと併用して、職場プロファイルで組織として管理
- 1Password ビジネスプラン
パソコン購入時の試用版セキュリティアプリが重大なセキュリティリスクに
パソコンを購入した時に、マカフィーやウイルスバスターなどセキュリティアプリの試用版が入っていることがあります
（試用版アプリを購入した場合、パソコンメーカーに紹介料が発生するため、これらが予めインストールされていることがあります）
弊社では、Microsoft Defenderの利用を推奨すること、また無料の試用期間を超えると本来の機能をせずに重大なセキュリティリスクとなり得るため、
いち早く試用版のセキュリティアプリをアンインストールし、Microsoft Defenderに切り替えることを強く推奨しております
セキュリティ更新が行なわれなくなった古いアプリを利用しない
サポート期限が切れて、セキュリティ更新が行なわれなくなった古いアプリを利用し続けることは、極めて高いセキュリティリスクを抱えることとなり、御社の事業継続を困難とする原因になり得ます
サポート期限を意識した上での新しい製品への移行を計画的に進めてください
またWindowsは、メジャーバージョンアップの度により高度な脆弱性緩和技術が追加されており、できるだけ早めに新しいWindowsへ移行することも重要なセキュリティ対策となります
中小企業でのWindowsセキュリティ対策はMicrosoft Defenderがベスト
最近のWindowsは、不正なプログラムの実行を極めて困難にする高度な脆弱性緩和技術を含むセキュリティ機能が標準実装されており、メジャーバージョンアップの度にさらに強力になっており、
Windowsのセキュリティ機能であるMicrosoft Defenderも、Microsoftの大規模なセキュリティ投資に支えられ、極めて高いセキュリティ性能を持っています
大企業向けの製品は、Microsoft Defenderと併せて多層で動作させる形が主流であるのに対し、個人・中小企業向けのセキュリティアプリは、いまだにMicrosoft Defenderを無効化して置き換えてしまうものが多く、Windowsの更新や他のアプリと競合し、パソコンの動作不良や起動トラブルの一因となることもあります
そのため、弊社では中小企業でのWindowsセキュリティ対策としては、Microsoft Defenderの利用を強く推奨しております
現在のWindowsがどれだけ強力なセキュリティを実装しているのか、技術的に確認されたい方はマイクロソフト社のこちらのページをご確認ください
中小企業にEDRが不要な理由
弊社では、パソコンなどIT機器の利用者が多くない単一拠点の中小企業には、基本的に外部運用型のEDR導入を推奨しておりません
そもそもEDRとは、ウイルス感染などの問題が起きた後に、その対応や調査に必要な情報を収集・検知する仕組みであり、Microsoft Defenderよりもウイルス感染を防ぐ力が必ずしも強いわけではありません
社内データ共有をクラウドサービス・NAS・ファイルサーバーで行ない、パソコン同士が直接通信しない環境では、たとえ感染が起きても攻撃者が内部で侵入を広げる経路が限られるため、詳細な攻撃経路分析やフォレンジックによって得られる効果が小さく、EDRを導入する有効性は低くなります
またEDRを正しく機能させるには、高度な監視・分析を行うSOCと、インシデント発生後に早急な対応を行うCSIRTが不可欠で、これらがなければEDRは情報を収集するだけの仕組みにとどまり、セキュリティ強化にはつながりません
近年、実効性を伴わない簡易的なSOC、あるいはSOCすら持たない事業者が「EDR導入で安全」と営業するケースが増えていますが、これでは導入する意味がないどころか、誤った安心感から基本的な対策を疎かにするリスクもあります
EDRを正しく機能させるには、以下の条件を満たすことが望ましいですが、多くの中小企業では得られるメリットの割にかかるコストが大きく、非現実的です
- SOC・CSIRTのサービスが提供され、24時間365日体制であること
- SLA（サービスレベル保証）が明示されていること
- 一定期間の実運用の有効性を第三者が継続的に検証するSOC 2 Type II（米国基準の保証報告）を取得していること
- 仕組みの整備を認証するISO/IEC 27001とは評価の観点が異なり、実運用の信頼性を見極めるにはSOC 2 Type IIが適している
- 海外本社だけでなく、日本法人のサービスが対象か確認することも重要
ただし、社内のサーバーと端末が相互に通信するクライアントサーバー型の業務システム（生産管理システムなど）を運用している場合や、社内ネットワーク全体でユーザーとパソコンを一元管理する仕組み（Active Directoryなど）を用いている場合は、感染が内部で広がる経路が存在するため、詳細な攻撃経路分析やフォレンジックが重要となり、中小企業でもEDRの必要性が高まります
こうした場合には、中小企業でも無理なく弊社サポートのもと自社運用できる設定によるMicrosoft Defender for Endpoint、またはSOC運用体制まで一貫して担うフルパッケージのMDRを提案しています
MDRとしては、グローバルでの実績だけでなく、国内での実運用体制まで確認したうえで、CrowdStrike Falcon Complete Next-Gen MDR を推奨しています
社内ネットワークのセキュリティ
UTMなどのセキュリティ機器を安易に導入しない
UTMなどのセキュリティ機器を提案されることも多いかと思いますが、中小企業向け事業では、深刻な知識不足により不適切な形で導入されることが大半で、むしろ何もしなかった方が安全だったというケースが目立ちます
例えば、FortiGateなどのUTMの設定不備が原因でランサムウェアに感染したという事例が国内で数多く発生しています
大手企業による導入であっても、VPN機能を安全に利用するための設定がされていない、暗号化通信に対してセキュリティ機能を適用する設定（SSLインスペクション）が設定されておらず、そもそも実質的にセキュリティ機器として動作していないのに、リース料だけ払っているというケースがほとんどです
極めて強力なセキュリティを持つクラウドサービスを活用
生産性を高めるだけでなく、極めて強力なセキュリティにより、メールの送受信からデータ保管までを保護できるMicrosoft 365やGoogle Workspaceなどのクラウドサービスを活用することを推奨しております
弊社では、お客様がご契約のMicrosoft 365やGoogle Workspaceなどのクラウドサービスを、より安全に利用するためのセキュリティ設定を行い、
お客様の状況に応じては、情報セキュリティ方針・標準の策定、コンプライアンスポリシーの構築、Microsoft Intune + Microsoft 365 Defender for Endpointによるより高度なセキュリティ対策（MDMとMAMによるデバイス管理制御・不正アクセスの監視・シャドーITの検出など）を提案・提供いたします
中小企業でのセキュリティ教育
セキュリティ教育・研修の実施
情報セキュリティについて、日常業務における様々な危険やそのリスクを回避・軽減するための取り組みを知ることはとても重要です
独立行政法人情報処理推進機構（IPA）が、中小企業におけるセキュリティの取り組みについて様々な情報を提供しており、活用できます
特に、中小企業でのセキュリティ教育・研修を進めるうえでわかりやすく参考になるものとして、以下の２つのページをご紹介します
従業員が個人所有しているパソコンも、仕事で利用するなら対策が必要
自宅にある従業員が個人所有しているパソコンであっても、テレワークで会社のシステムに接続する、または会社のデータを取り扱うことがあるのなら、そのようなケースへの対策も重要で、個人所有のパソコンでも適切なセキュリティ更新を行うことを周知してください
マンガや映画・アニメなどの著作物を権利者の許可なく違法に公開しているサイトがあり、このようなサイトを従業員が利用することも少なくありません
このようなサイトは、広告収益を目的とするだけでなく、ランサムウェアなどの不正なプログラムに感染させることを目的とした危険なサイトも多く、特にWindowsやブラウザのセキュリティ更新を怠っている状態でアクセスすると、不正なプログラムに感染する確率は高くなります
このような違法サイトの危険性を周知したとしても、本来お金を払って利用するべきものを無料で何とかしようとするケースはゼロにはできないため、福利厚生で動画の見放題サービスを提供するなどの取り組みも、現実的なセキュリティ対策としては有効な手段となります