情報セキュリティ対策とは？　必要性や対策の具体例、方法を解説

企業の信頼喪失や損害賠償を防止するため

情報セキュリティ対策がおろそかな状態で情報漏洩が起こると、企業の信頼を失ったり、損害賠償を請求されたりする原因になります。

個人情報の漏洩や企業情報の漏洩などが起こった場合、「なぜそれが起こってしまったのか」を利害関係者に説明しなければなりません。その際、情報セキュリティ対策のずさんさが原因であると受け止められてしまうと、顧客や投資家から「セキュリティに問題のある企業」「情報を預けるのはリスクがある」という評価を受けることになります。
反対に、万全の対策をしていたにもかかわらず情報漏洩が起こってしまった場合は、問題のある企業だという評価を受ける可能性は低く、原因となった不正アクセスなどの手口や今後の対策に目が行きやすくなるでしょう。

そもそもトラブルを起こさないことがベストですが、万一問題が起こってしまった場合は、それまで行ってきた対策の内容と事後対応によって企業の評価は大きく変わります。万全の対策をとって被害を防ぐと共に、問題発生時にはすぐに関係者に適切な説明ができるように準備しておくことが大切です。

企業の基幹システム停止の回避

ランサムウェア（感染したパソコンやサーバー内のデータを暗号化などで使用不能にし、復旧と引き換えに金銭を要求するマルウェア）や情報を書き換えるタイプのウイルスなどに感染すると、これまで通りの業務が行えなくなってしまいます。

現在、パソコンやサーバーなどを一切利用せずに仕事を行っている企業は、ほとんど存在しないといっても過言ではないでしょう。悪意ある攻撃によって社内の基幹システムが停止してしまったり、パソコンが使えなくなったりすれば、一切の業務が止まってしまいかねません。
業務が停止するということは、日々寄せられる顧客の要望に対応できなくなることを意味しています。そのあいだに競合他社に顧客を奪われてしまうおそれも十分にあり、顧客からの信頼喪失と併せて、莫大な損失につながる可能性があります。

ウイルス感染

ウイルス感染は、メールの添付ファイルやWebサイトにウイルスを仕込まれることで起こる被害です。ウイルスの仕込まれた添付ファイルを開いたり、Webページを開いたりすると、パソコンなどがウイルスに感染してしまいます。
ウイルス感染後に引き起こされる被害は多種多様です。個人情報や社外秘の情報の漏洩を引き起こすものなどのほか、ランサムウェアもウイルス感染被害の一種です。

不正アクセス

不正アクセスとは、ID・パスワードを入力することで利用できるシステムなどに、利用権限を持たない人物が不正に侵入してしまうことです。漏洩したID・パスワードの情報が不正利用されたり、システムの脆弱性をつかれて必要な認証手順を踏まずにアクセスされたりすることで起こります。
本来、アクセス権を持たない人間が内部情報に不正アクセスすることで、顧客情報や営業上の機密情報などを盗まれる可能性があり、情報の不正な書き換えなどが行われることもあります。

端末の紛失などを原因とする情報漏洩

情報漏洩被害は、ウイルス感染や不正アクセスといった第三者の悪意ある行動によって引き起こされることもありますが、従業員のミスによって起こることも珍しくありません。

企業のパソコンやスマートフォンには、顧客や従業員などの個人情報、社外秘の経営情報や製品開発に関する情報などが保存されています。これを紛失したり、盗まれたりすると、機密情報が容易に漏洩してしまいます。また、メールなどの誤送信によって情報漏洩が引き起こされることもあります。
そのほか、事務所荒らしや車上荒らしによる端末類の盗難や、引ったくりなどによる情報漏洩なども、情報セキュリティ被害の一種です。

あわせて読みたい

• USBメモリ紛失時の対策とは？　紛失時の対策や対応方法、有効な防止策を解説

機器障害

災害による大規模停電など、避けようのない障害によるトラブルも、必要な情報にアクセスできなくなるという点では情報セキュリティ被害といえます。予備システムの配備や、リアルタイムでバックアップがとれる環境構築などで対策することも、情報セキュリティ対策の一種です。

不正アクセスを防ぐ仕組みを作る

情報セキュリティ被害の多くは、情報へのアクセスを許可されていない人に情報が渡ることで引き起こされます。外部から社内のシステムに不正アクセスされることがないように、対策をとっておく必要があります。
併せて、不正アクセスがないかどうか常時監視し、問題のあるアクセスを検知できるようにしておくことも重要です。

あわせて読みたい

• アクセス制御とは？　機能や方式、制御システム導入時の考え方を解説

重要な企業情報や顧客データを厳重に守る

重要性の高い個人情報や機密文書等については、内部の人間であっても容易にアクセスしたりデータを持ち出したりできないようにしておくと、情報漏洩のリスクを大幅に軽減できます。閲覧や持ち出しに制限をかけたり、高レベルのセキュリティシステムを導入したりして管理すると安心です。

あわせて読みたい

• 社外秘の資料を守るには？　情報漏洩を防ぐ管理・運用方法を解説

安全にパソコンを運用できる環境にする

業務に使用するパソコンには、ウイルス対策用のセキュリティソフトを必ず導入しましょう。企業側から貸与しているパソコンはもちろん、従業員のプライベートなパソコンを業務に使用する場合も、ウイルスソフトのインストールは必須です。

ただし、ウイルスソフトなら何でもいいというわけではありません。一定以上の効果を期待できる高機能なソフトを選定する必要があります。個々の従業員に判断を任せていいものではないので、企業側が適切なソフトを選定します。

従業員教育を徹底する

いくらシステム面のセキュリティを整えても、「従業員が重要なデータを個人のUSBメモリにダウンロードした上に紛失した」「あやしいメールを開いてウイルスに感染した」といった人的な問題による漏洩を防ぐのは困難です。従業員一人ひとりの意識を高めていくことは、情報セキュリティ対策をする上で必須です。

あわせて読みたい

• 情報セキュリティ教育は必要？　実施方法やコンテンツ例を解説

適切なウイルス対策用のセキュリティソフトを選定・導入する

Windowsパソコンでは、Windows 10以降、ウイルス対策ソフトとしてWindows Defenderが標準搭載されるようになりました。しかし、Windows Defenderは、新しいウイルスへの対策が遅い、迷惑メール対策や個人情報保護の機能がないなど、有料のセキュリティソフトと比較して機能が限定されています。企業の情報を守るためには、それに適した性能を有するウイルス対策用ソフトの導入が求められます。

セキュリティソフトにも多くの種類がありますが、新しいウイルスに対応するアップデートがスピーディに行われているかどうかや、モバイル端末への対応可否などをチェックして選定しましょう。

定期的にOS・ソフトウェアを更新する

OSやソフトウェアは、セキュリティの脆弱性に関する問題などを随時修正、アップデートしています。更新ファイルが配布されたら、速やかにインストールすることも重要です。

ただし、ソフトウェアのサポート体制によっては、適切なアップデートが行われないこともあります。セキュリティソフトや会計ソフト、勤怠管理ソフトといった自社が利用しているソフトの中に、長い間アップデートが行われていないものがあれば、見直しを検討してください。

適切なパスワードを設定する

パソコンの立ち上げやシステムにログインする際のパスワードは、簡単に推測できないものにしなければなりません。誕生日や社員番号などは避ける必要があります。

大文字と小文字、数字を組み合わせる、一定以上の長さにするなど、社内ルールを定めて各端末のパスワードを設定することが大切です。ルールに合致するパスワード以外は登録できないようにしておけば、一定レベルのセキュリティを保てます。
なお、近年ではパスワードを自動作成、管理してくれるツールもあります。このようなツールを活用すれば、一切個人の情報と関係のない、推測されづらく複雑なパスワードを生成することが可能です。

情報の持ち出しに制限をかける

従業員が顧客情報や社内の機密情報を容易に持ち出せてしまうと、データの紛失や漏洩リスクが高まります。情報を持ち出すことができないような体制づくりが必要です。

具体的な対策としては、「業務に必要なデータを原則として業務用パソコン以外の記録媒体に保存できないようにする」「持ち運び可能な外部メディアの利用を禁止する」「社内のパソコンは持ち出さずにセキュリティワイヤーをつけた状態で帰宅する」などがあります。

不審なメールの見極め方を従業員に周知する

セキュリティソフトには、ウイルスファイルが添付されているような不審なメールを除外する機能がついているのが通常ですが、過信は禁物です。万が一、セキュリティソフトの検知を逃れた不審なメールが来ても、添付されたウイルスファイルを開いたり、不審なURLをクリックしたりすることがないように、注意が必要なメールの特徴を従業員に周知しましょう。
具体的には、「ファイルの拡張子を確認する」「アドレス帳に登録されたメールアドレスからの連絡かどうか確認する」「事前に総務部やセキュリティ管理部門等から案内がなかったシステムアップデートファイルは開かないルールにする」といった対策が考えられます。

また、不定期にメールの防犯意識を確認するための訓練を行うのも効果的です。不審な条件を満たすメールを従業員に対して送信し、ファイルを開いてしまった従業員に対して改めて教育を行うといった方法があります。

情報管理のルールを設定し、その遵守を徹底する

情報漏洩を防ぐために組織として最も重要になるのは、情報をどのように扱うかのルールを設定し、浸透させることです。社内の様々な重要情報について誰がどのように管理を行うのか、情報にアクセスできる人の範囲や業務フローなどのルールを定める必要があります。
セキュリティ対策が必要な重要情報を業務上で利用したい場合の手順などもあらかじめ決めておくことで、常に一定のルールに基づいた運用ができます。