脆弱性対策と従業員の意識向上を実現するカスペルスキーセキュリティソリューション

テレワークが広まった昨年ごろから「Emotet」をはじめとした感染力の強いマルウェアによるサイバー攻撃が増加し、警戒を強めている企業は多い。セキュリティ対策を講じる上で重要なのは、企業自ら脆弱性を把握することだ。脅威の侵入ルートに合わせたセキュリティ対策製品を導入し、リスクに対応するための防御環境の構築が不可欠である。加えて、従業員のセキュリティに対する意識やITリテラシーを高めることも忘れてはならないだろう。今回は、サイバー攻撃対策について脅威が侵入した場合の効果的な防御策なども含めてカスペルスキーに聞いた。

　企業に対するサイバー攻撃はとどまることを知らない。一昨年ごろから「Emotet」と呼ばれる感染力の強いマルウェアによる被害や最近のランサムウェア感染が増加してきたことで、企業のセキュリティ意識は高まってきている。しかし、セキュリティに対する意識や警戒感は企業によって大きな差が生まれているとカスペルスキー パートナー営業本部 本部長 佐藤輝幸氏は指摘する。「社内の脆弱性を把握していることだけでも、サイバー攻撃による被害の軽減が期待できますが、実際のところそれができていない企業はかなり存在するとみています。セキュリティ対策は企業によって後回しになったり、その対策や手法にばらつきが生じたりしているのが現状です」

　サイバー攻撃の実行者は大きく二極化しており、一方は特定の企業のシステム構成や脆弱性を把握した上で、攻撃する手順を入念に調べ上げ、システム内部へ確実に侵入する手法を企てて攻めてくる。こうした巧妙なサイバー攻撃を防ぐためには、全方位的に防御する必要があるものの、莫大な費用がかかってしまう。もう一方では、安価で手に入れることのできるエクスプロイトキット（脆弱性を突いた攻撃キット）を利用し、無作為なバックドアの仕掛けによるもので、攻撃者側にとっては低コストで企業の内部に侵入できる。この攻撃は既知の脆弱性を突いたものがほとんどで、脆弱性対策ができていれば感染そのものや、それによる被害を未然に防ぐことができる攻撃なのである。

　セキュリティコストを抑えつつ、脆弱性対策を実施できるのが、カスペルスキーが2021年2月から提供しているエンドポイントセキュリティソリューション「Kaspersky Endpoint Security Cloud」（以下、KES Cloud）と長年の実績がある「Kaspersky Endpoint Security for Business」（以下、KESB）だ。

　KES Cloudは、標的型攻撃やフィッシング、スパムといったメールによる攻撃からPCを保護する機能はもちろんのこと、未知のマルウェアを検知する「ふるまい検知」機能や、管理対象となるPCでアクセスしたクラウドサービスの利用状況などを監視し、不要なアクセスを追跡することでシャドーITを検知する「Cloud Discovery」機能を搭載する。上位版である「KES Cloud Plus」には、そのシャドーITを制御する機能を有する。さらに、PCを遠隔で管理できる機能も搭載されている。例えば、テレワークなどで従業員が利用しているPCのOSやアプリケーションの脆弱性を検知し、ファイルやメールに含まれる脅威の監視、保護が可能だ。

　KES CloudやKES Cloud Plus、KESBであれば、ほとんどのサイバー攻撃による脅威の侵入は防げるだろう。しかし、年々高度化する脅威を完全に防御できるとは限らない。万が一の事態に備え、被害を最小限に抑えるためには、侵入された後の対策を実施することも必要となる。そうした課題には2020年7月に登場したセキュリティソリューション「Kaspersky Endpoint Detection and Response Optimum」（以下、EDR Optimum）が役に立つ。サイバー攻撃を未然に防ぐための製品であるKES CloudやKES Cloud Plus、KESBに対して、EDR Optimumはマルウェアに侵入されたことを想定して、被害を最小限に抑えるための製品となる。

　EDR Optimumの機能について、同社 パートナー営業本部 第一営業部 主任 甲斐千代氏は「社内の内部システムがマルウェアに感染した際の感染経路を可視化します。同一の不正プログラムがほかのPCに入り込んでいないかをスキャンし、侵入が発見された時点で対象のPCをネットワークから遠隔で隔離できます。誰でも簡単にインシデント対応を行えるように設計されているため、専門的な知識は要りません。KES Cloud、KES Cloud Plus、KESBでマルウェアの侵入を防ぎ、防ぎきれなかった場合にはEDRソリューションを検討しなければなりませんが、コストや人的リソース・スキルに制約がある場合は、EDR Optimumで対処するという効率的なセキュリティ環境の構築が容易に実現できます」と話す。

　国内企業ではCISO（最高情報セキュリティ責任者）が設置されていない割合が多いという。このことからも分かるようにセキュリティに対する意識が低い傾向にある。CISOではなくCIO（最高情報責任者）がセキュリティ対策を兼務し、監査のときだけ対策を実施しているという企業も少なくない。こうした意識の低さも問題だと佐藤氏は警鐘を鳴らす。「従業員がセキュリティ意識を高めるためには、トップダウンだけではなく、ボトムアップによる情報の共有と、サイバー攻撃の手法に応じたセキュリティ対策が欠かせません」

　どんなに強固なセキュリティ環境を構築しても、従業員一人ひとりがセキュリティ意識を高めなくては意味がない。そこで同社はセキュリティへの意識を高められるオンライントレーニングサービス「Kaspersky Automated Security Awareness Platform」（以下、KASAP）を近日リリース予定だ。

　KASAPをリリースする背景を佐藤氏は「セキュリティ製品は、PCの台数に応じてユーザーが増加していきます。PCの台数以上にセキュリティ製品が導入されることはありません。そのため、どのような付加価値を提供できるかが我々には問われています。KASAPは、全ての従業員のセキュリティに対する意識を底上げできるトレーニングソリューションになるでしょう」と説明する。

　KASAPは、従業員の能力に応じてセキュリティに関する知識を学習できるように工夫されている。例えば、全く知識のない新入社員に対しては、Web閲覧時の注意点やWebサイトから入手したファイルを気軽に開かないようにすることなど、セキュリティ対策の基本が学べる。一方、ITリテラシーが高く知識のある従業員に対しては、不正なリンクの見極め方や、PCの設定方法などを具体的に学べる。甲斐氏は「KASAPによるトレーニング終了後、管理者などが従業員に対して模擬フィッシングメールを仕掛けることができます。従業員が誤ってメールを開封したり、不正プログラムを実行したりしないかなどの習熟度を測れます」と特長を話す。

　今後の展望について甲斐氏は「KES Cloud、KES Cloud Plus、KESB、EDR Optimumは、サブスクリプション管理ポータル『iKAZUCHI(雷)』でも提供しています。ダイワボウ情報システムさまと協力して認知度の向上と、さらなる販路拡大を目指していきます」と語った。