IPAの「中小企業の情報セキュリティ対策ガイドライン」第4.0版について、経営者向けの記事では、経営者が決めておくことを整理しました。
この記事では、情報システムの担当者に向けて、ガイドラインの対策をネットワークの側からどう実践するかを整理します。
ガイドラインの対策は、端末や人、社内の規程が中心です。ネットワークの機能を組み合わせると、端末ごとの対策の漏れを補い、侵入されたときの被害を小さくできます。
「情報セキュリティ6か条」は、端末ごと、人ごとの対策が中心です。1台でも漏れがあれば、そこが入口になります。ネットワークの側では、次のように補います。
| 6か条 | ネットワークの側で補うこと |
|---|---|
| OSやソフトウェアを最新に | 管理基盤で機器と端末の台帳を自動で作り、バージョンとメーカーのアドバイザリを突き合わせる。ルーター、スイッチ、アクセスポイント、VPN機器のファームウェアも対象にする |
| ウイルス対策ソフトを入れる | ルーターのIPSとDNSフィルタリングで、感染した端末の通信や危険なサイトへの接続を止める（ホテルの記事で詳しく紹介） |
| パスワードを強化する | 管理画面、リモートアクセス、クラウドサービスに多要素認証をかける。Wi-Fiは全員共通のパスワードをやめ、WPA3-EnterpriseやPPSKで人や端末ごとに分ける |
| 共有設定を見直す | 複合機、NAS、カメラなどをVLANで分け、必要な通信だけを許可する。管理画面をインターネットに公開しない |
| バックアップを取る | バックアップの保存先を業務のネットワークから分け、ランサムウェアが届かないようにする（後述） |
| 脅威や攻撃の手口を知る | DNSフィルタリングで偽サイトへの接続を止め、ログから実際に届いている手口を把握する |
| VPN機器を最新に保つ | 経営者向けの記事で紹介した事例のように、VPN機器はランサムウェアの侵入口として狙われています。メーカーのアドバイザリを確認し、修正が出たらすぐに適用します。 サポートが終わった機器は使い続けず、入れ替えます。入れ替えまでに時間がかかる場合は、その間だけでも外部からの接続元を絞るなど、危険を減らす手立てを取ります。 |
|---|---|
| ゼロトラストネットワークアクセスへ置き換える | VPNは、一度つながると社内のネットワーク全体に入れるのが普通です。IDと多要素認証で利用者と端末を確かめ、必要なアプリケーションにだけつなぐ仕組み（ゼロトラストネットワークアクセス）に置き換えると、入口の機器そのものをインターネットに出さずに済みます。 |
| 管理画面とリモートデスクトップを外に出さない | ルーター、NAS、カメラの管理画面や、リモートデスクトップ（RDP）を、インターネットに直接公開しません。外部から保守する場合も、ゼロトラストネットワークアクセスかワンタイムVPNを経由させます。 |
| 外から見えるものを確かめる | 自社のグローバルIPアドレスで、どのポートが外から見えているかを定期的に確かめます。外部の評価サービス（SecurityScorecardなど）で、外から見た弱点を把握する方法もあります。 |
| ネットワークを分ける | 業務用の端末、サーバー、複合機やカメラ、来客用などをVLANで分け、ネットワークの間は必要な通信だけを許可します。1台が感染しても、ほかのネットワークに広がりにくくなります。 |
|---|---|
| 端末はEDRで見張る | 端末の中で起きている不審な動きを見つけ、その端末をネットワークから切り離します。仕組みはSOCの記事で紹介しています。 |
| 横展開の兆候を見る | 社内の端末どうしのリモートデスクトップやファイル共有の通信、ふだんと違う時間帯の管理者のログインは、侵入が広がっている兆候です。SOCの記事で紹介したMITRE ATT&CKの「横展開」に当たります。 |
| 管理者の権限を絞る | 日常の作業は一般の権限で行い、管理者の権限は必要なときだけ使います。乗っ取られた端末から管理者の権限を奪われると、被害は一気に広がります。 |
| 3-2-1で取る | データのコピーを3つ持ち、2種類の媒体に保存し、1つは別の場所に置きます。 |
|---|---|
| ランサムウェアが届かない場所に置く | ネットワークにつながったままのバックアップは、ファイルサーバーと一緒に暗号化されます。少なくとも1つは、ネットワークから切り離した媒体か、書き換えや削除ができない形（イミュータブル）のクラウドに置きます。 バックアップの管理画面やアカウントも、業務のものとは分けます。 |
| 戻す訓練をする | 事例の会社が基幹システムを5日で戻せたのは、年2回の復旧訓練をしていたからです。止まったら困るシステムから順に、実際に戻せるか、何時間かかるかを確かめます。 |
経営者向けの記事で触れたSCS評価制度では、★3で基礎的な組織的対策とシステムの防御策が、★4でシステムの防御と検知、インシデント対応などを含む包括的な対策が求められる予定です。ここまでの対策は、その技術面の土台になります。
ガイドラインの付録5（情報セキュリティ関連規程のサンプル）には、★3・★4の要求事項との対応が載っています。いまの対策と突き合わせておくと、制度が始まったときに準備しやすくなります。制度のしくみと、ネットワークに関わる要求事項は、SCS評価制度の記事で整理しています。
| 項目 | チェック項目 |
|---|---|
| 6か条の底上げ | 機器と端末の台帳、IPSとDNSフィルタリング、多要素認証、人や端末ごとのWi-Fiの認証、VLANでの分離 |
| 入口 | VPN機器の更新とサポート切れの入れ替え、ゼロトラストネットワークアクセス、管理画面とRDPを外に出さない、外から見えるポートの確認 |
| 広げない | VLAN間の通信制御、EDR、横展開の兆候の監視、管理者の権限の絞り込み |
| 気づく | ログをSIEMに集約、見る人と時間帯の決定、時刻の同期 |
| 戻す | 3-2-1、ネットワークから切り離した保管、バックアップの管理を分ける、復旧の訓練 |
| SCS評価制度 | 付録5で★3・★4の要求事項といまの対策を突き合わせる |
当社は、ネットワーク機器の更新と分離の設計から、ゼロトラストネットワークアクセスへの移行、ログの集約と監視の体制づくりまで、中小企業の規模と予算に合わせて支援しています。