企業が実施すべき不正アクセス対策4選！被害を受けた場合の対策と併せて解説

 近年、業務でクラウドサービスを利用する機会が増えました。加えて、テレワークの普及によって働き方も大きく変わっており、今まで以上に不正アクセスへの対策が求められます。不正アクセスは、企業活動に多大なインパクトを与えかねない大きなリスクです。
この記事では、不正アクセスの概要から原因、リスクの例や対策方法について解説します。

■不正アクセスとは

不正アクセスとは何なのか、発生する原因と併せて概要について見ていきましょう。

◇「不正アクセス」について

不正アクセスとは、アクセスする権限のない者が、サーバーやシステムなどへ不正に侵入する行為のことです。不正アクセスは「不正アクセス禁止法（不正アクセス行為の禁止等に関する法律）」でも定められているとおり、法律で禁止されています。
不正アクセスの被害に遭うと、個人情報の漏洩やWebサイト・システムの破壊・改ざんなどのリスクが考えられるでしょう。また、不正アクセスによって盗取されたデータは、闇取引で売買されることもあります。

被害は年々増加傾向にあり、2021年に警視庁に報告された不正アクセスの件数は2,806件でした。2018年～2020年までは2,000件に満たない状況でしたが、直近では非常に高い水準となっています。
IPA（情報処理推進機構）のセキュリティセンターが公表した資料でも、2013年から2018年までは減少傾向にあった不正アクセスは2019年以降急増しています 。コロナ禍で働き方が変わった現在、特に狙われやすくなっているのかもしれません。
不正アクセスは企業の重要データの盗取をはじめ、あらゆるサイバー攻撃の足がかりとなるため、企業にとって対策するべきリスクの一つといえるでしょう。

◇不正アクセスの原因

不正アクセスの原因としては、おもにパスワードの漏洩とソフトウェアの脆弱性への対策不足が考えられます。
昨今、企業を取り巻く業務環境はネットワークでつながっており、一部のユーザーのパスワードが漏洩することで、不正アクセスにつながる例が多く見られます。業務上多くのサービスやシステムのパスワード管理が求められ、煩雑になりやすいことから、安易なパスワードを設定するユーザーも少なくありません。

また、不正アクセスは、ソフトウェアのセキュリティ的に弱い部分である「脆弱性」を狙って行なわれることもあります。脆弱性はソフトウェアのバグなどから発生するもので、どのようなソフトウェアであってもゼロにはなりません。脆弱性に対するリスクを減らすためには定期的なアップデートが必須ですが、対策を行なわないことによって不正アクセスにつながるケースもあるのです。
近年では情報自体の価値が上昇しており、コロナ禍でアクセス環境が大きく変わったことから、不正アクセスのリスクが増大しています。スマートフォンの利用も増え、パソコンだけでなく、スマートフォンを含む小型デバイスの不正アクセスにも注意しなければなりません。

 

■不正アクセスの対策法4選

不正アクセスの対策として、各デバイスのOSやソフトウェア・アプリを最新に保つことやセキュリティ対策ソフトを導入することは大前提です。不正アクセスは外部からの攻撃だけでなく、内部からの攻撃も意識しなければなりません。ここでは、外部・内部の侵入経路に対する不正アクセスの対策方法について紹介します。

◇二段階認証・二要素認証の導入

二段階認証や二要素認証は、従来のパスワードのみによるユーザーIDの保護に加えて、スマートフォンを活用したデバイス認証や、生体認証などを組み合わせたものです。
「知識要素」であるパスワードと、本人のみが所持する「所持情報」や本人自身の「生体情報」などを組み合わせることで、より強固なセキュリティを実現します。
二段階認証や二要素認証は、本人以外に認証を突破することが難しく、不正アクセス対策として非常に有効です。実際に多くの企業でも導入されており、さまざまなサービスも対応していることから、利用したことのある人も多いのではないでしょうか。

なお、二段階認証は要素の種類を問わず2回に分けて認証を行ない、二要素認証は2つ以上の要素を組み合わせて認証を行なうという違いがあります。より詳しく知りたい方は、「二段階認証とは？二要素認証との違いやメリット、セキュリティ強化のポイントを解説」も併せてご覧ください。

◇アクセスコントロールの徹底

不正アクセス対策は、認証と認可の両面から対策を実施することが重要といえます。簡単に違いを説明すると、認証は許可を行ない、認可はユーザーの権限を付与するものです。不正アクセスの対策のためには、「誰が・何を・どの程度まで」できるのかを細かく管理するアクセスコントロールが必要です。
例えば、以下のようにアクセス制限を設定します。

●社員：重要な情報やサーバーなどへアクセスできる
●外部の協力社員：社内ネットワークにはアクセスできるが、重要な階層にはアクセスできない

このように、ユーザーごとに権限を定義することが大事です。さらに、部署に応じて書き込みや読み取りの権限を分ける、などの対応も有効でしょう。
アクセスコントロールを徹底することは、外部からの不正アクセスだけでなく内部からの不正アクセスも防げます。仮に悪意を持った社員が内部から情報を持ち出そうとしても、アクセス範囲と権限をコントロールしていれば、被害を最小限に抑えることが可能です。

◇業務IDのライフサイクル管理

業務IDのライフサイクル管理とは、IDの登録・変更・削除などのメンテナンスアクションの管理を表します。新入社員へのID付与や、部署変更によるID情報の変更、退社によるIDの削除などが該当します。
業務IDのライフサイクル管理ができていないと、不正アクセスにつながりかねません。例えば、退職した社員のIDを利用されて、不正アクセスが発生する可能性が考えられます。
近年ではクラウドサービスの業務利用も増え、社外から業務システムに接続できる環境も多くなっています。そのため、適切なライフサイクル管理の重要性は増しており、適切なアクセス範囲をコントロールできることからも、不正アクセス対策として有効です。

◇社内のデバイス管理を徹底する

従業員の私物デバイスを業務利用するBYODの普及もあり、企業が管理すべきデバイスの数は急増しています。また、クラウドサービスの業務利用やテレワークの普及など、働き方や環境が変わったことで、社内システムにアクセスするデバイスも多様化しています。そのため、企業はユーザーIDの管理と同じくらい、デバイス管理の重要性が増しました。
このような状況では、適切に管理できていない端末があれば、不正アクセスが発生してもおかしくありません。社内システムへの接続経路の多様化は、利便性の向上の反面、リスクの増大にもつながることを理解する必要があります。

デバイス管理を強化するには、IDとデバイスを紐づけて管理し、社内システムなどへのアクセスを可視化することが重要です。スマートフォンを含め、業務利用する社内デバイスは徹底的に管理することが、不正アクセス対策になります。

 

■企業が不正アクセスされることのリスクとは？

企業が不正アクセスの被害に遭うと、次のようなリスクが考えられます。

◇企業情報、個人情報の漏洩や盗取

不正アクセスによって、企業が守るべき社外秘のデータや顧客の個人情報などが盗み出される可能性が考えられます。このような情報漏洩は、企業経営に多大な損害を与えるものであり、非常に大きなリスクです。
また、情報の漏洩や盗取は外部からのサイバー攻撃による不正アクセスだけでなく、内部からの不正アクセスにも注意しなければなりません。企業が持つ情報は価値のあるものとして常に狙われています。
不正アクセスを含め、サイバー攻撃の被害に遭った企業や組織の平均被害額は、年間1億円を超えるという報告もあります。この数値からも、不正アクセスによる情報の漏洩や盗取が、非常に大きな問題であることがわかるでしょう。

◇システムの破壊・改ざんなどによる業務影響

不正アクセスは情報の漏洩や盗取だけでなく、業務利用するサーバーやパソコンなどを利用できない状態にする破壊行為にもつながります。また、Webサービスなどを提供している場合は、コンテンツを書き換えるなどの改ざんも起こりえるでしょう。
不正アクセスによるこれらの行為は、業務を継続できなくなるリスクとなるため、企業活動に大きく影響します。

◇攻撃の踏み台にされる

不正アクセスは自身が被害者になるだけでなく、まるで自社が他社に攻撃を行なっているように見せかけて、加害者になる可能性も考えられます。不正アクセスによって内部に侵入されてしまうと、攻撃者の隠れみのとして利用されてしまうリスクも考えられるのです。
また、社員になりすましてウイルスを添付したメールを取引先に送る行為なども、不正アクセス後には簡単に行なえます。自社の防衛対策としてだけでなく、他社への被害拡大を防ぐ目的でも、不正アクセス対策は重要なのです。

■不正アクセスをされてしまった場合の対処法

不正アクセスをされてしまった場合、その後の対応は迅速に行なう必要があります。ここでは、不正アクセスをされてしまった場合の対処方法を紹介します。

◇対象の機器をネットワークから切り離す

不正アクセスの痕跡を発見した場合、対象機器にウイルスなどのマルウェアが感染している可能性が考えられます。機器をネットワークに接続したままでは、被害が拡大する可能性があるので、まずは機器をネットワークから切り離しましょう。
有線接続している場合はLANケーブルを外し、無線接続している場合はWi-Fiを切断することでネットワークとの接続を断ちます。
加えて、対象機器を利用しているアカウントを停止してください。管理者を通じて該当アカウントの利用権限を剥奪することで、被害の拡大を防げます。

◇対策部門への連絡

不正アクセスの被害の拡大を防ぐためには、社内での迅速な連携が不可欠です。社内の情報システム部や情報セキュリティ組織がある場合は、まずそれらの部門へ連絡してください。
社内で解決できない場合は、IPAの相談窓口や各都道府県警のサイバー犯罪相談窓口に相談するのも手です。相談する際は、現在の被害状況や対策状況をまとめておき、今後の動きについて確認するとよいでしょう。
不正アクセスの対応が遅れるほど被害が拡大するおそれがあるため、迅速に連絡・相談して対応することが重要です。

◇被害状況の確認・復旧対応

被害の拡大を防ぐ措置をとったら、不正アクセスの対象となったアカウントの特定や、実際の被害範囲などの具体的な被害内容を確認します。不正アクセスが疑われる場合は、ウイルスなどのマルウェアに感染する可能性もあるため、セキュリティ対策ソフトを使ってスキャンも行ないましょう。
なお、被害状況を確認するなかで、被害の証拠となるログは必ず保存しておいてください。各都道府県警のサイバー犯罪相談窓口に相談する際に、証拠があるとスムーズです。
被害状況を事細かに確認することは、その後の対応を適切に行なうために重要といえます。復旧対応の前に、まずは被害状況をしっかりと確認しましょう。

■まとめ

不正アクセスは、アクセスする権限のない者がサーバーやシステムなどへ不正に侵入する行為です。情報を多く持つ企業は、常に不正アクセスを狙われているものとして対策しなければなりません。
不正アクセスを防ぐためには、以下4つの対策が有効です。

●二段階認証・二要素認証の導入
●アクセスコントロールの徹底
●業務IDのライフサイクル管理
●社内のデバイス管理の徹底

不正アクセスによる影響は、企業活動に大きな損害を与えかねないため、入念な対策をとりましょう。

---