「中小企業の情報セキュリティ対策ガイドライン」改訂版が公開されました。
関連法令等が最新の内容に更新され #テレワークセキュリティ に関する解説が追加。
さらに #インシデント対応 の基本的な手順を紹介する手引きも追加されました。
手引きではインシデント対応の基本ステップ「検知・初動対応」「報告・公表」「復旧・再発防止」のほか、各フェーズで求められるアクションを「ウイルス感染・ランサムウェア感染」、「情報漏えい」、「システム停止」の3つのケースごとに紹介されています。
#IPA #独立行政法人 #情報処理推進機構
#中小企業 #情報セキュリティ #対策 #ガイドライン
#中小企業の情報セキュリティ対策ガイドライン
#インシデント対応 #基本ステップ
#ウイルス感染 #ランサムウェア感染 #情報漏えい #システム停止
中小企業の情報セキュリティ対策ガイドライン
https://www.ipa.go.jp/security/guide/sme/about.html
阪神淡路大震災や東日本大震災、毎年のように全国各地で発生する大雨災害、新型コロナウイルスによる緊急事態宣言。
いつどこで天災や事故に巻き込まれるかわからない状況です。
さらには毎日のように発生している情報漏洩（ろうえい）や不正アクセスなどの情報セキュリティに関わる事件も、企業にとって悩みの種です。
こうした背景があり、徐々に事業継続計画（BCP）が求められる時代になってきました。
中でも急激にデータ量が増えている情報化社会の中で重要度が増している「IT-BCP」について、中小企業のレベルではスッポリと欠落している場合が多いのではないでしょうか。
まず最初に経済産業省が定義するBCPの定義とは以下の通りです。
BCP（事業継続計画）とは、企業が自然災害、大火災、テロ攻撃などの緊急事態に遭遇した場合において、事業資産の損害を最小限にとどめつつ、中核となる事業の継続あるいは早期復旧を可能とするために、平常時に行うべき活動や緊急時における事業継続のための方法、手段などを取り決めておく計画のこと
https://www.chusho.meti.go.jp/bcp/contents/level_c/bcpgl_01_1.html
BCPの中で情報セキュリティは大きく分けて以下の通り2つの側面があります。
1は企業の活動が物理的な影響を受けてできなくなった場合の復旧対象の決定と優先順位の策定などを中心とした計画になります。
2は直接的に企業のデータやインフラが悪意を持った第三者に狙われることに対してどのようなポリシーを設定して対応していくのかを決め、かつセキュリティレベルを維持するべきかを検討する計画となります。
現代において意思決定に必要な情報収集・分析・伝達には情報システムが深く関与していることから、IT-BCPとして策定していく必要があります。
IT-BCPには、以下のような要素が構成されていなければなりません。
あくまでもBCP全体との整合性を取ることが大事であり、システムが使えるようになっても事業が維持できなければBCPとしては未完成であることが重要です。
IT-BCPの策定にご不安があれば、是非弊社にご相談ください。
2022年11月上旬頃より、Emotetの攻撃メールの配信が観測されない状態が続いていましたが、2023年3月7日から #Emotet 攻撃メールの再開が確認されています。
攻撃の手口は従来から大きくは変わりませんが、メールに添付されたZIPファイル内に500MBを超えるWord文書ファイルが含まれているものが新たに確認されました。
2022年11月上旬頃より、Emotetの攻撃メールの配信が観測されない状態が続いていましたが、2023年3月7日から再開されたことを観測しました。
これは攻撃に使用するファイルのサイズを大きくすることでセキュリティソフトなどの検知を回避する目的があると考えられます。すでに国内企業・組織にも着信している可能性が考えられますので「不審なメールの添付ファイルを開かない」などの基本的な対策を実践してください。
Emotetは、情報の窃取に加え、更に他のウイルスへの感染のために悪用されるウイルスであり、悪意のある者によって、不正なメール（攻撃メール）に添付される等して、感染の拡大が試みられています。
Emotetへの感染を狙う攻撃メールの中には、正規のメールへの返信を装う手口が使われている場合があります。これは、攻撃対象者（攻撃メールの受信者）が過去にメールのやり取りをしたことのある、実在の相手の氏名、メールアドレス、メールの内容等の一部が流用された、あたかもその相手からの返信メールであるかのように見える攻撃メールです。
このようなメールは、Emotetに感染してしまった組織から窃取された、正規のメール文面やメールアドレス等の情報が使われていると考えられます。すなわち、Emotetへの感染被害による情報窃取が、他者に対する新たな攻撃メールの材料とされてしまう悪循環が発生しているおそれがあります。
Emotet（エモテット）と呼ばれるウイルスへの感染を狙うメールについて
https://www.ipa.go.jp/security/security-alert/2022/1202.html
#Network #NetworkEngineering #ITSecurity #InfoSecurity #CyberSecurity
#UTM #L2Switch #アンチウイルス #アンチウイルスソフト #セキュリティ #ネットワーク #ネットワークセキュリティ #ネットワーク関連
#BCP対策 #事業継続計画
こちらの記事について、物騒な傷害事件としての側面は本稿では取り扱いしませんが、故意にコンピューター内のデータを消去してしまうという行為について、刑事・民事の両面からとりあげてみたいと思います。
マスク指導に不服でデータ削除 低評価なら「刺す」 市職員を免職
「マスク指導でもめましたよね。納得できず削除しました」
「（人事評価は） 自分は 標準だと思うがそれより低かった場合は、包丁をもって脅したり、刺したりすることを考えている」
https://www.asahi.com/articles/ASR315FGWR31UJHB00J.html
まず、刑事事件として扱分ける可能性についてですが、過去の判例から、故意に削除した場合、電子計算機損壊等業務妨害罪（刑法243条の2）に該当し、5年以下の懲役又は100万円以下の罰金に処せられることがありそうです。
次に、民事上の責任についてですが、故意又は過失によりデータを消去し業務上の損害が発生した場合、民法709条に基づき、その損害の賠償を請求することができます。
おそらく、データを再入力するための人件費や、データの再構築に要する費用は損害と言えます。
またそれ以外にデータ消去により休業を余儀なくされたのであれば、過去数ケ月分の収入を基に休業期間の得られたであろう利益・収益を損害として請求されることになります。
事業継続（IT-BCP対策）のためにも重要かつ企業の大切な資産であるデータ（各種情報）と、大切な社員を犯罪者にしないためにも、共有データ領域への適切な権限運用（閲覧・書き込み・削除）を実施することも、企業の重要な責務です。
