サーバーのセキュリティ対策は、企業が安定して事業を継続するためには欠かせないものです。個人情報や機密情報など事業の継続に必要な情報の多くがサーバーで管理されていることが多く、攻撃者はこれらの情報の窃取を狙っているからです。
この記事では、企業のセキュリティ担当者に向けて、サーバーのセキュリティ対策の必要性と、サイバー攻撃の種類、具体的なサーバーセキュリティ対策の方法や事例について詳しく解説します。
また、企業がやるべきセキュリティ対策で自社に足りないものがわかるセキュリティチェックシートを無料で配布しています。ぜひダウンロードしてご活用ください。
サーバーを含めたITシステムのセキュリティ対策の必要性
顧客や取引先の情報、売上、社内資料……企業は外部に漏えいしてはならない多くの情報をサーバーを含めたITシステムで管理しています。ITシステムのセキュリティ対策が疎かだと、不正アクセスやサイバー攻撃によって情報の漏えいや使用停止が発生してしまいます。
このようなトラブルが発生すると、顧客や取引先からの信頼を失うだけでなく、復旧や損害賠償のための多大な金銭的被害をもたらす結果になりかねません。
そうならないためにも、サーバーを含めたITシステムには強固なセキュリティ対策が必要不可欠です。企業活動を円滑に進めるためにも、セキュリティ対策を行うことはもはやすべての企業で必須と言える時代になっており、コストではなく投資と考えて差し支えないでしょう。
サーバーのセキュリティを脅かすサイバー攻撃
サーバーのセキュリティを脅かすサイバー攻撃、と言われてもピンと来ないかもしれません。そこでIPA（情報処理推進機構）が公開している「情報セキュリティ10大脅威 2023」をご紹介します。
これは日本国内で発生した社会的に影響の大きかった脅威を取り上げ、セキュリティの専門家によってランク付けしたものです。個人と組織の二部門で構成されており、企業にとって重要なのは組織の方です。
「情報セキュリティ10大脅威 2023」の中でもサーバーを脅かすサイバー攻撃として代表的なものとして、第1位の「ランサムウェアによる被害」第3位の「標的型攻撃による機密情報の窃取」第8位の「脆弱性対策の公開に伴う悪用増加」が特に注意が必要です。
下記、詳しく見てみましょう。
ばら撒かれるランサムウェアとは
ランサムウェアはマルウェアの一種で、感染するとデータを暗号化して読み取れなくしてしまうソフトウェアです。復号するという名目で身代金（ランサム）を要求することからランサムウェアと呼ばれています。メールやWebサイトを経由して大量にばら撒かれ、世界中で猛威を振るっている悪質なサイバー攻撃です。
特的の企業をターゲットにした標的型攻撃とは
標的型攻撃とは、特定の企業や個人をターゲットにしたサイバー攻撃です。ターゲットが所属している企業のサーバーに侵入して、機密情報の窃取や業務妨害などをもくろみます。
ターゲットの関係者や取引先に成りすましてメールを複数回やり取りすることで不審さをなくし、信頼を得たタイミングでマルウェアに感染させたり、サーバーに不正アクセスするなど、非常に悪質なサイバー攻撃と言えます。
詳しくは「標的型攻撃メールの対策方法とは？特徴や事例などについても解説」で解説しています。併せてご覧ください。
サーバーの脆弱性とは
サーバーの脆弱性とは、サーバーにおけるプログラムのバグや設計ミスなどの不具合によるセキュリティ上の欠陥のことです。脆弱性が存在するサーバーはサイバー攻撃の格好の餌食であり、サーバーで管理している情報が窃取される、そもそもサーバーが乗っ取られる、といったリスクが存在しています。
とは言え、こうしたプログラム上の脆弱性を完全になくすのは非常に困難であり、脆弱性が発見されたタイミングで、開発者・管理者が更新プログラムを公開して修正対応するというのが一般的な対策です。
サーバーセキュリティ対策の方法
サーバーのセキュリティを確保して安全に運用するためにはどうすればよいのでしょうか。ここではサーバーセキュリティ対策の具体的な方法について解説します。
セキュリティパッチを適用する
サーバーのOSやサービスのソフトウェアに脆弱性があった場合、開発者からセキュリティパッチが公開されるのが一般的です。セキュリティパッチとは脆弱性を解消する修正プログラムのことです。脆弱性を悪用したサイバー攻撃の被害に遭わないためにも、セキュリティパッチが公開されたらすぐに適用しましょう。
強固なパスワードを設定する
サーバーへの不正アクセスを防止するには、強固なパスワードを設定することも重要です。推測されやすい文字列や短すぎる文字列を設定するのはよくありません。パスワードに設定する文字列は、英数字に加えて記号などを含めたものを設定し、外部に漏えいしないように管理を徹底することが重要です。
使用していないサービスを停止する
私用していないサービスを稼働させたまま放置しておくと、不正アクセスを受けて情報が窃取されたり乗っ取られたりする要因となります。サーバー上では使用するサービスのみを動作させて、使用していないサービスを停止すると、リスクが軽減できます。
適切なアカウント管理を徹底する
管理者のIDがデフォルトでは統一されている場合が多く、そのままでは、管理者アカウントが乗っ取られて悪意のある設定変更が行われてしまう恐れがあります。そのため管理者アカウントのIDは出来る限り独自のものに変更しましょう。
また使用していないアカウントをそのままにしておくのも望ましくありません。退職者のアカウント、テスト的に作成したアカウントなどが残っている場合は、速やかに削除しましょう。
ログの保存と分析を行う
サーバーへのログイン履歴や操作履歴などのログを保存して、必要な時に分析できる体制を整えておきましょう。不正アクセスが発生してもログが残されていれば、早期発見につながります。
こうした対策が適切に行われているか、無料のチェックシートで確認しましょう。
サーバーセキュリティ対策の事例
サーバーセキュリティ対策の事例をご紹介します。
Kdan Mobileの事例
PDF Readerなどデジタルコンテンツ作成のサービスを提供しているKdan Mobileでは、AWSインフラストラクチャでホストされたサーバを利用しています。
顧客の個人情報にアクセスできる従業員は厳格に制限され、また、顧客データは常に暗号化された状態でバックアップされます。
NECの事例
NECでは、CISOを筆頭にサイバーセキュリティ対策としてさまざまな活動を国内外のグループで展開、サイバーリスク分析、サイバー攻撃対策などを通じたサイバーセキュリティ対策の強化を進めています。
サイバーセキュリティリスク分析では、標的型攻撃やランサムウェアなどのサイバー攻撃のリスク分析を行い、その結果に基づいたサイバー攻撃対策を実施しています。
国内外で事業を展開しているNECは、このようなグローバルサイバー攻撃対策は事業継続の必須条件と捉えており、組織全体における対応力強化の一環として、経営者も参加する総合演習も実施しています。
サーバーセキュリティ対策はノウハウがないと難しい
サーバーセキュリティ対策はノウハウがないと難しく、自社のみで対応するのはなかなか困難です。サイバー攻撃の手法は多様化しており、それに合わせて防御する側もあの手この手でセキュリティ対策を施す必要があります。
インターネットの普及やITの進化によって、企業は膨大なデータを保有するようになりました。そのため自社サーバーを保有して自社で運用するパターンは減ってきました。クラウドや外部のレンタルサーバーを活用するなど、サーバーとそのセキュリティ対策をアウトソースすることも検討すべきです。
LRMではクラウド型WAFのサーバーセキュリティサービス「攻撃遮断くん」を提供しています。難しい知識や技術なしですぐに導入できます。30日間の無料トライアルも実施中ですので、ぜひご検討ください。
まとめ
サイバー攻撃によって、情報漏えいやサーバーの停止などの被害に遭うと、顧客や取引先に迷惑をかけるだけでなく、自社の社会的信用も失われてしまう恐れがあります。サーバーを安全に運用するには、適切なセキュリティ対策が欠かせませんが、それには思いのほかコストが必要です。外部の専門家の力を借りることも検討し、自社にあったサーバーセキュリティ対策を施しましょう。
