データプラットフォームにセキュリティ対策は必要？脅威やセキュリティポリシーの策定方法
データは現代ビジネスの命綱です。しかし、データの価値が高いがゆえに、さまざまな脅威が日々その安全を脅かしています。
不正アクセスや内部からのリスク、さらには単純なミス。これらのリスクが現実となったとき、企業はどれほどのダメージを受けるでしょうか。そして、そのダメージを未然に防ぐためには、どのような対策が求められるのでしょうか。
本記事では、データプラットフォームにとっての脅威や被害例、行うべきセキュリティ対策などについて解説します。組織の大事なデータを守るためには何が必要なのか、確認してみましょう。
データプラットフォームにとっての5つの脅威
データプラットフォームにセキュリティ対策が必要なのかを考える際には、まず脅威を把握しておく必要があります。
データプラットフォームにとっての主な脅威は、下記の5つです。
不正アクセス
内部不正
ヒューマンエラー
誤作動・故障
災害
脅威の種類ごとに行うべきセキュリティ対策は変わってくるため、チェックしておきましょう。
不正アクセス
不正アクセスとは、アクセス権を持たない人物が何らかの方法を使って、サーバーやWebサイトへアクセスする行為です。不正アクセスはデータプラットフォームに限らず、インターネット上で最も一般的な脅威の一つとして知られています。
不正アクセスが実行されると、情報を盗み出されたり、勝手に内部の情報が書き換えられてアクセスできなくなったりします。そうなると、企業イメージの低下や業務が継続できなくなるなどの弊害が発生してしまいます。
総務省によると、不正アクセスの認知件数は減少傾向ですが、依然として1年で1,500件以上は存在しています。
また、不正アクセスが起きた原因を見てみると、パスワード管理の甘さやフィッシングサイトの利用が上位に来ています。
そのため、不正アクセスを防ぐには、パスワード管理の徹底やフィッシングサイト対策などが必要といえます。
内部不正
内部不正とは文字通り、組織内部の人間が情報を不正に取得して悪用することです。内部の人間が不正をするなど信じたくないかもしれませんが、現実に内部不正は起こっています。
内部不正が起きると、情報漏えいや売上低下などの被害が考えられます。実際に、自社のライバル企業へ社外秘のデータを売り渡すという被害も発生しているのです。
先ほどの総務省のデータでは、内部不正と思われる手口が3、4番目に来ています。
しかし、IPA（独立行政法人情報処理推進機構）の調査によると、内部不正に特化した社内ルールは限定的にしか整備されていないことが分かっています。
そのため、社内ルールの整備や従業員の教育が、内部不正を防ぐ鍵となります。
ヒューマンエラー
ヒューマンエラーとは人為的なミスを指し、誤送信や端末の置き忘れなどが分類されます。ヒューマンエラーはゼロが理想ですが、人間に完全はなく、リスクとしてはついて回ってくるものです。
現実に、ヒューマンエラーによって誤って情報が公開されてしまい、損害を被った企業も存在します。
ヒューマンエラーを防ぐためには、ヒューマンエラーが起きない仕組みづくりが必要です。二重、三重でチェックする体制や、単純作業にはAIなどのITシステムを導入することなどを検討するといいでしょう。
誤作動・故障
データプラットフォームの誤作動や故障は、データの損失や情報漏えいの原因となるケースがあります。
ハードウェアの故障やソフトウェアのバグなど、技術的な問題が原因でデータが破損する可能性は常にあります。
誤作動・故障はいつ起きるか予測しづらいため対策が難しいですが、定期的なバックアップや点検は、被害を小さくする手助けになるでしょう。
災害
災害は、データセンターやインフラを直接的に脅かす脅威になります。地震や洪水、火災などの災害が発生した場合、物理的なダメージによりデータが失われる可能性があります。
実際に総務省が発表した資料によると、2011年の東日本大震災では、33.1%もの企業がデータ損失の被害を受けたと回答しています。
災害もいつ起きるか予測は難しいですが、データセンターの地理的分散や災害復旧計画の策定は、災害リスクへの対策として有効です。
もしデータプラットフォームのセキュリティ対策を怠って攻撃を受けたら？
データプラットフォームにはさまざまな脅威がありますが、実際に攻撃を受けたらどのような被害があるのでしょうか。
考えられる主な被害としては、下記の3つです。
企業の信用低下
金銭的な損害
機会損失
実際の被害を知っておくと、セキュリティ対策の重要さがわかるため、確認しておきましょう。
企業の信用低下
データプラットフォームのセキュリティ対策を怠り、情報漏えいなどが起こると、企業の信用が大きく低下します。
なぜなら、企業には顧客データや取引先の情報など、さまざまな機密情報が集まるためです。それらの情報を外部に漏らしてしまうと、「情報管理ができない企業」として、企業のブランドや評価に大きなダメージを与えます。
経済産業省が発表した資料によると、日本国内で情報流失などが起こった企業の株価は、平均で10%下落しているといいます。特に、東証一部以外の企業は15%も下落したようです。
実際に、情報漏えいの影響で株価を大きく下げたり、世間的な評判が大きく下がったりした企業も多くあります。
企業の信用低下は、他のさまざまな弊害を引き起こす可能性もあるため、避けなければなりません。
金銭的な損害
セキュリティ対策を怠り情報漏えいなどが起こると、直接的・間接的な金銭的損害が発生します。
具体的には、情報漏えいが起こった後、企業は復旧作業や法的費用、顧客への補償など多額のコストが発生します。
日本ネットワークセキュリティ協会によると、一人当たりの平均想定損害賠償額は29,768円で、一件当たりの平均想定損害賠償額6億3,767万円となっています。
これは決して安い金額ではなく、企業に重大な損失を与える額です。セキュリティ対策を怠ることは、企業にとって大きな金銭的損害を生んでしまうのです。
機会損失
セキュリティ対策を怠り情報漏えいなどが発生すると、営業停止に伴う機会損失が発生する要因となります。
問題の対処に時間を奪われてしまうことで、新規顧客の獲得が難しくなる、既存の顧客が離れるなど、ビジネスの拡大が困難になるでしょう。
セキュリティ対策を怠ると、企業の将来的な成長機会をも奪う可能性があることは知っておきましょう。
モチベーション低下
セキュリティ対策を怠った結果、従業員のモチベーション低下を引き起こす可能性があります。
情報漏えいなどが起こると、世間の目が厳しくなり、従業員の士気やモチベーションに影響を与えます。特に、事件の原因が内部のミスであった場合、責任の所在や組織の信頼性に疑問を持つ従業員が増える可能性があるでしょう。
そのため、情報の取り扱いには細心の注意を払い、ミスを防ぐための教育や体制を整備しておきましょう。
データプラットフォームでセキュリティ対策をすべき3つの対象
いざデータプラットフォームのセキュリティ対策をしようと思ったとき、何を対象にすればいいのか迷ってしまいますよね。
そこでここでは、データプラットフォームでセキュリティ対策をすべき下記3つの対象を紹介します。
データ
システム
インフラ
実際にセキュリティ対策を施すときに役立つ内容ですので、ぜひチェックしてください。
データ
データは企業の価値そのものであり、最も保護すべき対象です。データは企業の競争力を形成する核心的な要素であり、その漏えいや改ざんは企業の存続に直結するリスクを持ちます。
実際に、サイバー攻撃で狙われるのは顧客情報や企業の機密情報などです。そのため、データ共有の際に権限を設定したり、ログインの際に二段階認証を設定したりなどの対策が必要です。
DataShareは二段階認証や権限設定ができ、監査機能も兼ね備えているソリューションです。データを扱ううえで必要な機能は一通りそろっているため、データを安全に共有したい場合におすすめです。
セキュリティ対策をする場合は、まずデータに目を向けてみましょう。
システム
システムのセキュリティは、データを安全に管理・運用するための基盤です。
システムが脆弱であれば、データへのアクセスや改ざんが容易になってしまいます。また、システムのダウンタイム（システムが停止している時間）は、ビジネスの機会損失をもたらすリスクがあります。
システムの脆弱性をついたサイバー攻撃も多いため、システムのセキュリティ対策は、ビジネスの継続性を保つために必須です。
インフラ
インフラのセキュリティは、システムやデータを支える土台としての役割を果たします。
インフラは基盤を意味する言葉で、もしインフラが攻撃を受けると、システム全体の稼働が停止する可能性があります。
システム全体の稼働が停止すると、企業の信用低下や金銭的・機会損失など、さまざまな被害が考えられます。
インフラのセキュリティ対策は、ビジネスの安定的な運用を保障するための基本です。
データプラットフォームでセキュリティ対策をするときの4つの観点
データプラットフォームでセキュリティ対策をするときは、対象とともに観点も重要です。
データプラットフォームでセキュリティ対策をするときの主な観点は、下記の4つです。
組織編成
運用体制
技術
人材
どこから進めればいいのかの判断基準にもなるため、チェックしてみましょう。
組織編成
セキュリティ対策の成功は、組織編成の適切さに大きく依存します。
組織内での情報共有や意思決定の迅速さは、組織編成の良し悪しによって大きく影響を受けます。適切な組織編成がなされていないと、セキュリティ対策の取り組みが遅れるリスクが高まります。
具体的には、セキュリティ部門を一つの部署として設けるのが理想です。セキュリティをIT関連の部署が担っているケースもありますが、迅速で専門的な対応ができるように、セキュリティ部署を設けるのがおすすめです。
組織編成は、セキュリティ対策の効果を最大化する鍵といえるでしょう。
運用体制
運用体制の整備は、セキュリティ対策を持続的に行うためには必要不可欠です。
日々変わるセキュリティの脅威に対応するためには、定期的なモニタリングやアップデートが必要です。これを実現するためには、しっかりとした運用体制が不可欠です。
例えば、24時間365日モニタリングできる体制を確立すれば、夜間や休日に発生したセキュリティインシデントにも迅速に対応できます。
組織編成と併せて、運用体制も整備するようにしましょう。
技術
データプラットフォームのセキュリティを強化する上では、技術面も無視できない要素です。
セキュリティの脅威は日々進化しており、攻撃の手口も多様化しています。それらに対抗していくためには、さまざまな技術を駆使する必要があります。
具体的には、アクセス制御や暗号化、不正検知システムなどです。
自社にあったセキュリティに関する技術を導入し、未知の脅威から大事な情報を守りましょう。
人材
セキュリティ体制を持続的に管理していくためには、専門知識を持った人材が必要です。
技術の進化とともに、セキュリティの脅威も複雑化しています。このような状況下で、専門的な知識と経験を持つ人材の存在は不可欠です。
社内にセキュリティの専門家がいるのが理想ですが、いない場合は外部から招へいすることも考えましょう。外部講師を呼んで社内で定期的な研修を実施すれば、社内のセキュリティ意識を向上させることも可能です。
システムも重要ですが、人材の育成と確保はセキュリティ対策の基盤となります。
セキュリティポリシーの策定方法6ステップ
セキュリティポリシーとは、セキュリティ対策における方針や行動指針を示すもので、万が一の事態が起きたときの対応などが組織内で統一されやすくなります。
そのため、データプラットフォームのセキュリティ対策をするうえで、セキュリティポリシーの策定は非常に有効なのです。
そこで、ここでは一般的なセキュリティポリシーの策定方法を、下記の6ステップに分けて紹介します。
組織作り
方向性の決定
スケジュールの決定
基本方針の決定
情報資産の洗い出しとリスク分析
対策基準と実施内容の決定
有効なセキュリティポリシーを策定するためにも、順を追って見ていきましょう。
①：組織づくり
セキュリティポリシー策定の最初のステップは、責任者と担当者を選出し、組織づくりをすることです。
セキュリティポリシーの策定は組織全体に影響を及ぼす重要なプロセスのため、責任者と担当者を選出して組織を作ることで、スムーズな進行と適切な意思決定が可能となります。
社内の人材だけでは不安な場合は、外部からコンサルタントや法律に精通している人材を招へいするのもいいでしょう。
イメージ
セキュリティポリシーの策定を円滑に進めるためにも、まずは組織作りに着手しましょう。
②：方向性の決定
組織作りができた後は、セキュリティポリシーの目的や対象範囲、期間、役割分担などの方向性を明確にしましょう。
セキュリティポリシー策定の方向性を明確にすることで、具体的なアクションプランを効率的に立てやすくなります。
目的の具体例としては、「全社員のセキュリティ意識の向上」や「社内の機密情報の保護」などです。このステップの中でも目的を先に決めておくと、その後のことも考えやすくなります。
明確な目的や対象範囲の設定は、有効なセキュリティポリシー策定の鍵になるといえます。
③：スケジュールの決定
目的や対象範囲などが決まったら、スケジュールを立てましょう。スケジュールを決めることで、後回しになりいつまでもセキュリティポリシーが定まらない、といった事態を防ぐことができます。
また、各ステップの進行状況を把握しやすくなり、全体の進捗管理が容易になります。
スケジュールは、セキュリティポリシー策定のプロジェクト内はもちろん、全社にも共有することで、社内の意識を統一することが可能です。
スムーズなセキュリティポリシー策定のため、スケジュールは決定しておきましょう。
④：基本方針の決定
続いて、セキュリティポリシーの基本方針を決定しましょう。基本方針はセキュリティポリシーの骨格となる部分であり、この方針に基づいて具体的な対策やアクションが決定されます。つまり、基本方針が決まっていることで、具体的な対策の方向性が定まるのです。
基本方針の具体例としては、「プライバシーの保護」や「情報資産の確実な管理」などです。いきなり細かいところを決めようとしても迷ってしまうため、まずは基本方針から決定しましょう。
⑤：情報資産の洗い出しとリスク分析
基本方針が決まった後は、情報資産の洗い出しとリスク分析を行い、適切な対策を決定しましょう。
このステップで情報資産の洗い出しを行うことで、どの情報がどれだけのリスクを持っているのかを明確にし、それに対する適切な対策が可能です。
例えば、情報資産の洗い出しを行った結果、顧客情報の取り扱いにリスクがあることを発見したとします。その場合は、顧客情報のアクセス制限や暗号化の対策などで問題の解決に近づけるでしょう。
このように、情報資産の洗い出しとリスク分析は、適切なセキュリティ対策を策定するための重要なステップです。
⑥：対策基準と実施内容の決定
最後に、対策基準と実施内容を明確に決定しましょう。これにより、具体的なセキュリティ対策を実行できるようになります。
対策基準を設定することで、どのような状況や条件で、どのような対策を実施するのかが明確になり、実際の運用時に迅速かつ適切な対応が可能となります。
例えば、対策基準として「不正アクセスの検出時には、即時に関連部署に報告」という基準を設定しておけば、不正アクセスが発生した際、迅速な対応が可能です。
このように、対策基準と実施内容の決定は、セキュリティ対策の具体的な実行をサポートするのに必要です。
データプラットフォームのセキュリティ対策をしましょう
データプラットフォームは、不正アクセスや内部不正、ヒューマンエラーなど多岐にわたる脅威にさらされています。そのため、データプラットフォームのセキュリティ対策は、現代のデジタル時代において絶対に避けては通れないテーマです。
これらの脅威が現実となった場合、企業の信用低下や金銭的損害、さらには機会損失など、計り知れない影響が生じます。
セキュリティ対策を行う際には、データ、システム、インフラの3つの対象を中心に、組織編成や運用体制、人材、技術の4つの観点から取り組みましょう。
また、効果的な対策を策定するためには、セキュリティポリシーの策定が不可欠です。このポリシー策定には、組織の決定から対策基準の策定までの6ステップが存在します。本記事を参考に、適切なセキュリティポリシーの策定を目指してみましょう。
この記事が気に入ったらサポートをしてみませんか？