企業が今すぐに実施すべき4つのセキュリティ対策

完璧なコンピュータやネットワーク防御は存在しません。コンピュータセキュリティは、常に進化を続けるいたちごっこのようなものです。最新の脅威に対処するのと同じくらい早く、攻撃者はすでにネットワークにアクセスし、PCに侵入するための新しい手法を開発しています。しかし、基本的な対策に重点を置けば、リスクを最小限に抑え、ほとんどの攻撃から防御することができます。

中小企業はITリソースが限られており、あらゆる攻撃や脆弱性を突く攻撃から防御することは不可能です。何を優先すべきか、どうすればわかるでしょうか？まずは、インターネットセキュリティセンター（CIS）、SANS Institute、そして国家安全保障局（NSA）が作成した「20の重要なセキュリティコントロール」レポートをご覧ください。企業や政府機関を支援するため、最も頻繁な攻撃をブロックするセキュリティコントロールが定義されています。

先日開催されたRSAセキュリティカンファレンスで、Qualysの会長兼CEOであるフィリップ・クルトー氏は、コンプライアンスとセキュリティを混同しないよう警告しました。クルトー氏は、セキュリティはビジネス目標の達成を妨げるものではなく、促進するものであると強調し、このレポートを貴重な出発点として挙げました。

SANS研究所所長のジョン・ペスカトーレ氏は、これをパレートの法則と比較しました。「80/20ルール」として一般的に知られるこの法則は、基本的に、20%の努力や投入が80%の成果を生み出すというものです。

ネットワークとPCに対する潜在的な攻撃の80%に対処するために取り組むべき上位20の優先事項は、長年セキュリティのベストプラクティスとして実践されてきた常識的な基本事項であることがわかりました。しかし、この比較的限定的なリストでさえ、範囲が広すぎます。さらに細かく分類すると、今すぐ実践すべき上位4つのセキュリティ対策がここにあります。

1. 許可されたデバイスと許可されていないデバイスのインベントリ

製造されたすべてのデバイスの脆弱性やエクスプロイトをすべて把握することは不可能です。また、脆弱性の存在すら把握できなければ、保護することはできません。物理サーバーと仮想サーバーの両方に加え、ネットワークに接続されている、あるいは環境内で使用されているPC、スマートフォン、タブレットなどのデバイスについても、正確なインベントリを作成しましょう。

ネットワーク上のすべてのデバイスを手動で追跡するのは現実的ではありません。また、不正なデバイスや許可されていないデバイスを監視することもできません。GFI MAXやQualysGuardなどの資産追跡ツールを使用して、プロセスを自動化する必要があります。

2. 認可ソフトウェアと認可されていないソフトウェアの一覧

同様に、これまでに作成されたすべてのアプリケーションのあらゆる欠陥を追跡することはできません。ネットワークに接続されているデバイスにどのようなソフトウェアがインストールされているのかを把握することで、新たな脅威のリスクと潜在的な影響を判断することができます。

ネットワークで使用されているハードウェアとソフトウェアの正確なインベントリを維持することは困難です。特に、プロセスを自動化するツールがない場合、なおさらです。しかし、ハードウェアのインベントリを作成するのと同じツールで、アプリケーションも監視できます。

3. 継続的な脆弱性評価と修復

ほとんどの攻撃は既知の脆弱性、つまりベンダーが既にパッチを公開している公開された欠陥を悪用します。たとえ実際に悪用されている脆弱性が存在しなくても、ベンダーがパッチをリリースすると、攻撃者はそれをリバースエンジニアリングして新たな攻撃を仕掛けることができます。脆弱性評価とパッチ管理のシステムがあれば、攻撃者が発見する前にこれらの脆弱性を塞ぐことができます。

しかし、新たな脆弱性はほぼ絶え間なく発見されるため、脆弱性スキャンを実施してもすぐに結果は古くなってしまいます。QualysGuardやnCircle PureCloudなどのツールを使用すれば、定期的に自動で脆弱性スキャンを実行するように設定できます。

4. マルウェア防御

攻撃の大部分は、ウイルス、ワーム、トロイの木馬、ボットネット、ルートキットなどのマルウェアによるものです。McAfee Internet Security 2013やBitDefender Internet Security 2013などのマルウェア対策ソフトを導入し、定期的に更新していれば、既知のマルウェアの脅威を検知・ブロックできるはずです。また、ほとんどのマルウェア対策ツールには、疑わしい動作や悪意のある動作を識別し、新たな未知の攻撃から防御するヒューリスティック手法も搭載されています。

20の重要なセキュリティコントロールは数年前から存在していますが、定期的に更新されています。最新版はバージョン4.0です。