情報BOX 【 知って得するサイバーセキュリティ講座 】
第7回サイバー攻撃を受けたら何をするべきか【1】
2012年5月24日
サイバー攻撃は突然、身に降りかかってきます。事前に対策できているのであれば、リスクはかなり軽減できているはずですが、問題はほとんど対策できていないにもかかわらず、攻撃者が進化している現状です。
私たちがサイバースペース上で攻撃を受けたことを初めに認識するのは、外部からの通報によってもたらされる情報である場合が少なくありません。目に見えない形で行われるサイバー攻撃では、自分が攻撃されていることがわかりにくいため、被害が表面化して初めて攻撃を知ることになるのです。
たとえば、利用者から「こんなメールが送られてきたのですが、情報が漏れているのではないですか?」という連絡がきたり、クレジットカード番号が盗用された疑いから発覚したりします。
こうした利用者や外部からの情報提供によってインシデントの発生が発覚した場合の行動手順について、今号から4号連続で示していきたいと思います。今号は「絶対に触らず、専門家に相談する」についてお話します。
【手順1】 絶対に触らず、専門家に相談する
サイバー攻撃を受けた可能性がある場合、冷静な対応が必要です。自分たちで解決しようとして、専門家でない人がコンピュータやサーバを触ることは、“絶対に“してはいけません。情報システム担当部門の人でも同じです。不見識な人が下手に触ると、サイバー攻撃の証拠を失ってしまう可能性が高いからです。サイバーセキュリティにおいては専門的な知識と訓練が必要とされるため、専門知識を持たないエンジニアでは対応が難しいのです。
サイバー攻撃が疑われる場合は、まっさきに、セキュリティのプロフェッショナル・サービスを提供する専門会社に相談してください。24時間365日対応する、緊急対応のための連絡先が、ホームページで公開されています。詳しいことが不明であっても、躊躇することなく、連絡してください。サイバー攻撃では、対応を開始するまでの時間が勝負となります。
システムの開発を依頼した会社に対応を相談するケースがありますが、開発者はセキュリティの専門家ではないため、事故対応はできません。場合によっては、証拠を失ってしまう可能性もあります。また、開発会社が、自分たちに責任があると感じ、脆弱性を隠そうとすることで、ますます原因追究を難しくする可能性もあります。
開発会社には、サイバー攻撃を受けた可能性を伝え、セキュリティの専門家とともに緊急対応に入ったことを伝えてください。サイバー攻撃の方法や被害の分析、被害の軽減のために、開発者の協力が必要となります。
脆弱性があるからといって、すべての責任が開発会社にあるとは言えません。事態が起こった時は、攻撃を阻止し、証拠を確保することが先決です。緊急対応後は、再発防止を行うために、開発者とセキュリティ専門家を含めた対策チームを作る必要があります。適切な事故対応を進めるためにも、冷静な対応を行い、開発会社の責任を追及したり、糾弾したりすることなく、良好な関係を保つようにしてください。
これは一般の社会問題への対応と同じです。法律に関する問題が起こったときは、自ら法律を勉強して対処しようとするより、まずは弁護士に相談します。体に不調が出たら、まずは医者に相談します。それと同じく、セキュリティに関する専門家をあらかじめ決めておくことが必要です。
◆ 次回は「サイバー攻撃を受けたら何をするべきか【2】・エマージェンシー・レスポンス(緊急対応)を行なう」についてお届けします。
セミナー講演のご依頼・お問い合わせはこちらから。
過去の記事一覧
- 2011年11月1日 第1回 サイバースペースのセキュリティ
- 2011年12月20日 第2回 なぜサイバーセキュリティが必要か?
- 2012年1月25日 第3回 サイバーセキュリティの意義
- 2012年2月29日 第4回 エラーとバグと脆弱性
- 2012年3月23日 第5回 権限と脆弱性
- 2012年4月12日 第6回 人間の持つ脆弱性
- 2012年5月24日 第7回 サイバー攻撃を受けたら何をするべきか【1】
- 2012年6月27日 第8回 サイバー攻撃を受けたら何をするべきか【2】
- 2012年7月26日 第9回 サイバー攻撃を受けたら何をするべきか【3】
- 2012年8月22日 第10回 サイバー攻撃を受けたら何をするべきか【4】
- 2012年9月19日 第11回 汎用ソフトウェアの脆弱性対策
- 2012年10月17日 第12回 ゼロデイ攻撃・標的型攻撃と新型ウイルス対策
- 2012年11月21日 第13回 Webアプリケーションの脆弱性対策
- 2012年12月19日 第14回 Webアプリケーションのセキュリティ設計
- 2013年1月23日 第15回 サイバーセキュリティを実現する
- 2013年2月20日 第16回 デジタルフォレンジックスの導入
- 2013年3月26日 第17回 情報漏洩対策
- 2013年4月24日 第18回 メールの添付ファイル禁止とファイル送信サービス
- 2013年5月22日 第19回 私物モバイル対策(BYOD対策)
- 2013年6月19日 第20回 新型サイバー攻撃には多層防御で対抗する
- 2013年7月23日 第21回 マスコミ社会から口コミ社会へ
- 2013年8月22日 第22回 批判にさらされる企業
- 2013年9月26日 第23回 サイバースペース上での企業の責任を知る
- 2013年10月23日 第24回 顧客の情報を預かる責任
- 2013年11月20日 第25回 個人情報取得のポリシー
- 2013年12月18日 第26回 即応性の危機管理広報
- 2014年1月6日 第27回 情報という経営資源を守れ
- 2014年2月19日 第28回 利用者中心のサイバーセキュリティへ向けて
- 2014年3月13日 第29回 安全・安心なサイバー社会の実現(最終回)