不正アクセスとは、正規の権限を持たない第三者がシステムやネットワークに侵入する行為を指します。企業の機密情報の漏えいや、業務システムの停止など、被害が発生してからでは取り返しのつかない事態につながるため、適切な対策が不可欠です。
しかし、「セキュリティ対策が大事なのは分かっているけれど、難しいシステムは現場が使いこなせない」と悩む方も多いのではないでしょうか。
そこで今回は、不正アクセスのおもな手口と対策例を中心にご紹介します。
- 外部からの不正アクセスを防ぐための、具体的な手法を知りたい担当者
- 企業としてやるべきセキュリティ対策のチェックリストを作りたい情シス担当者
- 他社がどのようなセキュリティ対策アプリを導入しているか把握したいIT担当者
上記に当てはまる方はこの記事を参考にすると、自社の対策に潜む抜け漏れを把握でき、不正アクセスを未然に防ぐための具体的なアクションが明確になります。
目次
現場の油断から生まれる不正アクセスとは
ここでは、企業の現場で実際に起きている不正アクセスの代表的な手口を3つご紹介します。まずは自社の現場でどのようなリスクが潜んでいるのか、実態を正確に把握しましょう。
（1）不正ログイン
1つ目の例は、不正ログインです。
不正ログインの手法のひとつとして、不正に入手したIDとパスワードのリストを利用してログインを試みる「パスワードリスト攻撃」があります。とくに、複数のサイトで同じIDとパスワードの組み合わせを使いまわしていると、芋づる式に被害が拡大するのです。
こうした被害を防ぐためには、パスワードの入力後にスマートフォンへ一度限りの確認コードを送る「二段階認証」などの仕組みを徹底し、パスワードだけに頼らない管理体制を作ることが欠かせません。
（2）情報漏えい
2つ目の例は、情報漏えいです。
たとえば、退職した社員のアカウントが削除されないまま残っていると、第三者に悪用されるリスクがあります。また、社内フォルダのアクセス権限が「全員共有」のまま放置されていると、本来見られてはいけない重要なデータまで簡単に持ち出されてしまいます。
こうしたリスクを未然に防ぐために、アカウントの棚卸しとアクセス権限の定期的な見直しを、運用ルールとして組み込むことが必要です。
（3）外部からの侵入
3つ目の例は、外部からの侵入です。
たとえば、社員が承認されていないクラウドサービスを業務で勝手に利用する「シャドーIT」は、管理者が把握できない通信経路を生み出します。また、テレワークで使用するWi-Fiから社内システムへ侵入されることもあります。
そのため、社員の勝手な判断で侵入の危険を生まないよう、外部からのアクセス経路を組織として把握・管理し、想定外の侵入口を作らない体制を整えることが重要です。
不正アクセスを防ぐための具体的な手法
ここでは、不正アクセスを防ぐための具体的な手法を3つご紹介します。実際にどんな対策をすればよいか分からない方は、以下を参考に対策を進めましょう。
外部からの不正通信を防ぐ「ファイアウォール」
1つ目の手法は、ファイアウォールです。
ファイアウォールとは、社内ネットワークとインターネットの境界に設置して、許可されていない通信を自動的に遮断する仕組みです。たとえば、攻撃者が社内システムへの侵入を試みた場合、ファイアウォールが不審な通信を検知してブロックするため、入り口の段階で侵入を防げます。
ただし、ファイアウォールはあくまで「入り口の門番」であり、内部からの情報漏えいや、許可済みの通信に潜む攻撃には対応できない点に注意しましょう。
Webサービスへの攻撃を防ぐ「WAF」
2つ目の手法は、WAF（Web Application Firewall）です。
WAFとは、Webアプリケーション層を狙った攻撃を検知・遮断する仕組みです。たとえば、自社のECサイトや業務システムをWebで公開している場合、通常のファイアウォールでは防げない攻撃をWAFが補完して防ぐ効果があります。
そのため、Webサービスを外部に公開している企業にとって、WAFはファイアウォールとセットで導入すべき対策といえます。
パスワードだけに頼らない「二要素認証」
3つ目の手法は、二要素認証です。
二要素認証とは、パスワードに加えてスマートフォンへの認証コード送信など、異なる種類の確認を2段階で実施するログイン方式です。たとえば、パスワードが第三者に漏えいした場合でも、認証コードがなければログインできないため、不正ログインを大幅に防げます。
特別な知識がなくてもログイン方法を少し変えるだけで導入できるため、最も手軽で効果の高い不正アクセス対策のひとつです。
対策の抜け漏れを防ぐ「チェックリスト」
4つ目の手法は、チェックリストの作成です。
セキュリティ対策は、ツールを導入するだけでは不十分です。たとえば、「退職者のアカウントが削除されているか」「アクセス権限が最小限に設定されているか」といった運用面の確認を定期的にしなければ、気づかないうちに対策に穴が生まれます。
したがって、確認すべき項目をチェックリスト化し、担当者が変わっても同じ水準で対策を維持できる仕組みの構築が重要です。
他社のセキュリティ対策アプリ導入事例
ここでは、他社のセキュリティ対策アプリの導入事例を2つご紹介します。以下の事例を、他社の事例を把握して、自社のセキュリティ対策に役立てましょう。
中西金属工業（NKC）｜多要素認証（MFA）アプリを導入
こちらは多要素認証の導入により、在宅勤務のセキュリティ強化に成功した事例です。
中西金属工業株式会社はベアリング・リテーナーや産業用機械などの製造・販売を主力事業とするメーカーです。同社では、在宅勤務への急激な移行に伴い、社員が社外からシステムをつなぐときのセキュリティ強化が急務となっていました。そこで、ログイン時にスマートフォンの認証を必須とする多要素認証アプリを導入しました。
その結果、パスワード漏えいによる不正ログインのリスクを大幅に低減し、在宅勤務環境のセキュリティ強化に貢献しました。現在はVDIやSSL-VPN経由の社内システムへのリモートアクセスにも多要素認証の適用を拡大しています。
中外製薬株式会社｜MDM（モバイルデバイス管理）ツールを導入
こちらはMDM（モバイルデバイス管理）ツールの導入により、PC・スマートフォンの管理を一元化しセキュリティ強化に成功した事例です。
中外製薬株式会社では、従業員が使用する膨大な数のパソコンとスマートフォンが別々のシステムで管理されており、運用の手間とセキュリティのばらつきが課題でした。そこで同社は、すべての端末を一元管理できるクラウド型の管理基盤へ移行しました。
その結果、社内外を問わず統一された安全な環境で端末を管理できるようになり、年間の運用コストを抑えながら、紛失時などの不正アクセスリスクを減らすことに成功しています。
【要注意】不正アクセス対策でよくある失敗とは
ここでは、不正アクセス対策でよくある失敗を4つご紹介します。これらの落とし穴をあらかじめ避けることで、現場に負担をかけない確実な対策が可能になります。
現場がルールを守らなくなる
1つ目の失敗は、セキュリティルールが複雑で形骸化し、現場がルールを守らなくなることです。
たとえば、複数の認証手順を毎回求めたり、利用できるツールを過度に制限したりすると、メンバーが面倒に感じ、ルールが守られなくなる恐れがあります。その結果、私物端末や個人向けクラウドサービスの利用など、本来禁止すべき行動につながるのです。
そのため、不正アクセス対策では、現場が無理なく継続できるルールを整備するとともに、多要素認証やアクセス制御などのセキュリティ機能を備えたツールを活用し、運用負担を減らすことが重要です。
パスワードの使いまわしを黙認している
2つ目の失敗は、パスワードの使いまわしを組織として放置していることです。
パスワードの使いまわしは、ひとつの情報漏えいから甚大な被害につながる恐れがあるため、とくに注意が必要です。たとえば、社員が社内システムと個人サービスで同じパスワードを使っている場合、個人サービス側で情報漏えいが起きただけで、社内システムへの不正ログインに直結します。
個人の意識改革だけに期待するのではなく、システム側で簡単な二段階認証を必須にするなど、使い回しが通用しない仕組みを導入することが不可欠です。
アカウントを適切に管理できていない
3つ目の失敗は、アカウントを適切に管理できていないことです。
たとえば、退職した社員のアカウントが削除されないまま残っていたり、異動後も前部署のフォルダにアクセスできる状態が続いていたりするケースは、多くの企業で見られます。
こうした「使われていないアカウント」は、攻撃者に悪用される入り口になります。そのため、人事異動や退職のタイミングに合わせてアカウントとアクセス権限を必ず見直す仕組みを徹底しましょう。
スマホのセキュリティ対策が個人任せになっている
4つ目の失敗は、業務で使うスマートフォンのセキュリティ管理をメンバー個人に委ねていることです。
たとえば、業務用スマホを紛失したときに遠隔ロックの仕組みがなければ、そこから社内システムへの不正アクセスを許します。また、個人スマホを業務に使うBYOD環境では、OSのアップデートが放置され、脆弱性が残ったままになりがちです。
さらに、PCと比べて、スマホは社外でも操作する機会が増えます。そのため、業務用スマホのセキュリティ対策は個人に任せるのではなく、ツールを導入するなどして組織として一元管理できる体制を整えましょう。
大切な情報を守り、全員が迷わず使えるツールとは
以下では、情報の不正アクセスを防ぎ、社内のあらゆる知見を「誰でも・いつでも・即座に」活用できるツールをご紹介します。
日々の業務の中で、セキュリティの穴が放置されているケースは少なくありません。この状態を放置すると、ある日突然、外部からの不正アクセスによって顧客情報が流出し、現場の業務が完全にストップしてしまうなどの甚大な実務トラブルを招きます。
こうしたリスクを防ぐために、会社側が複雑なセキュリティルールを定めても、個人の努力に頼るだけでは限界があります。また、システムが使いづらいと、メンバーがルールを守らずに個人フォルダなどでデータを管理するようになり、かえって情報漏えいが起きやすくなるのです。
そこで重要なのは、ITに詳しくない現場のメンバーでも迷わず使い続けられるほど簡単かつ、安全性の高い仕組みの構築です。操作がシンプルでありながら、裏側のセキュリティやアカウント管理が強固に守られていれば、現場に一切の負担をかけることなく、情報の流出や埋没を完全に防止できます。
こうした条件に最も当てはまるのが、セキュリティ機能が豊富にあり『非IT企業』でも当たり前にナレッジが蓄積・活用されるAIナレッジツール「ナレカン」です。ナレカンは、ISO27001に基づく厳格なセキュリティ環境で安全に情報を管理でき、シンプルな操作画面を採用しているため、ITスキルに不安がある社員でも迷わず使いこなせます。
万全のセキュリティで情報を管理できるツール「ナレカン」
https://www.stock-app.info/narekan/
＜ナレカンをおすすめするポイント＞
- 【ナレッジが組織に蓄積される】
社内に散在した情報や、個人に属人化したノウハウを一元化。記事・ファイル・メール・チャットなど、あらゆる社内情報を“組織のナレッジ”として蓄積できます。
- 【必要な情報に誰でもたどり着ける】
生成AIを活用した自然言語検索や、高精度なキーワード検索によって、“上司に質問するように”必要な情報を探せます。検索スキルに依存せず、誰でも簡単にナレッジにアクセスできます。
- 【ナレッジ活用が現場に定着する】
シンプルな操作性と、充実した導入・運用サポートによって、ITツールに不慣れな企業でも無理なく活用できます。さらに、情報を継続的に更新・整理できる仕組みにより、“使われ続けるナレッジ基盤”を実現します。
＜ナレカンの料金＞
- ビジネスプラン：標準的な機能でナレカンを導入したい企業様
- エンタープライズプラン：管理・セキュリティを強化して導入したい企業様
- プレミアムプラン：「AI自然言語検索」も含めて導入したい企業様
各プランの詳細や金額は、下記「ナレカン資料の無料ダウンロード」ボタンより、資料をダウンロードしてご確認ください。
ナレカンのセキュリティ対策機能
ナレカンでは、アクセスを特定のIPアドレスのみに制限する「IPアドレス制限」や、メンバーのログイン時に都度二段階認証を要求する「二段階認証の必須化」などの機能を活用し、確実に不正アクセスを防げます。
さらに、チームの操作やログイン履歴をCSV形式で出力する「アクセスログ」があるので、不審な操作がされている場合に気づきやすいです。
不正アクセスの手口と具体的な対策まとめ
これまで、不正アクセスの手口と具体的な対策を中心にご紹介しました。
不正アクセスを受けると、情報の漏えい・改ざん・破壊が発生する恐れがあり、企業の信頼にも大きく影響します。そのため、企業は不正アクセスに対する理解を深め、適切な対策を講じることが不可欠です。
とくに、社内で利用するツールに「万全のセキュリティを備わっているか」を必ず確認しましょう。また、ツールを十分に使いこなすには、導入後の運用支援が重要です。
したがって、自社の導入におすすめなのが、国際的なセキュリティ基準を満たしており、企業ごとに運用方法の提案・サポートが充実した「ナレカン」です。
無料の導入支援も受けられるので、ぜひ「ナレカン」を使って、不正アクセスの悩みを解消しましょう。
