夏季休業中のセキュリティ対策

夏季休業中のセキュリティ対策について

今年も夏季休業の時期が近づいてきました。
皆さんは、どのようなセキュリティ対策をされてますか？

会社は休業でも「セキュリティには、休みはありません。」

長期休業期間中は、「システム管理が不在になる」「異変の発見が遅れる」という隙を狙ったサイバー攻撃が急増します。
誰もいなくなったオフィスと、誰も監視していない深夜のログ。その隙を、闇のハッカーたちは狙ってきます。
私たちは何をすべきか？会社・社員個人・エンジニアそれぞれの立場で、実施すべき対策とは？「より安全で現実的なセキュリティ対策」をまとめました。

【会社の対策】

組織としての「体制づくり」と「周知・徹底」がメインです。

• 緊急連絡体制の整備
  万が一、休業中に攻撃や情報漏洩が発生した場合の「誰に、どう連絡するか」のフローを確定し、関係者に共有します。
• 休業中の監視体制の確認
  外部のセキュリティ監視サービスを導入している場合、休業中も24時間稼働しているか再確認します。
• 全社へのセキュリティ意識の注意喚起
  毎度ながら、休業直前に、全社員へ向けて「不審なメールを開かない」「端末の持ち出しルールを守る」といった注意喚起のメールやアナウンスを配信します。
• 不要なオフィスの物理的セキュリティ強化
  無人になるオフィスの施錠確認、サーバー室への入退室管理の徹底、不要なオフィス機器の主電源OFFを指示します。

【社員個人の対策】

自身の「端末の管理」と「私生活での行動」におけるリスクを最小限に抑えます。

• 使用しない端末の電源を完全に切る
  休業中、会社に置いていくパソコンや周辺機器（プリンターなど）の電源は完全にシャットダウンします。※スリープではなく電源OFF
• OSやアプリを最新の状態にアップデートする
  休業に入る前に、パソコンやスマートフォンのOS（Windows、macOS等）や業務アプリのアップデートをすべて適用しておきます。
• 社内ルールに従った端末の持ち出し
  持ち出しが許可されていない端末やデータ（USBメモリ等）は絶対に持ち帰らない。※許可されている場合は、紛失・盗難に細心の注意を払います。
• SNSなどへの書き込みに注意する
  個人のSNSで「明日から1週間、会社が全員休み」「旅行で長期不在」などといった、犯罪者や闇のハッカーに隙を与える情報を発信しないよう徹底します。

【 エンジニアの任務】（システム管理者・開発者）

闇のハッカーにつけ入る隙を与えないよう、「システムの防壁を閉じる」作業を行います。※今一度、ご確認をお願いします。

• 不要なサービス・アクセスの停止
  休業中に使用しないテスト環境、開発サーバー、外部公開サービスなどを一時的に停止します。
• VPNやリモートアクセスの権限と監視の強化
  休業中にリモートワークをしない社員のアカウントは、一時的にVPN接続権限を無効化するか、多要素認証（MFA）を必須化します。
• サーバーやネットワーク機器のパッチ当て
  OSやファイアウォール、ルーターなどの脆弱性を放置せず、休業前に最新のセキュリティパッチを適用します。
• バックアップの取得と保護
  万が一ランサムウェアに感染した場合に備え、休業直前の「正常なデータ」のバックアップを取得します。
  ランサムウェアにより、バックアップデータがネットワーク経由で暗号化されないよう、「オフライン」で保存することが重要です。
• ログ監視の自動アラート設定
  不審なログイン試行があった場合、管理者のスマートフォンなどに即座にアラートが飛ぶよう設定を仕込んでおきます。

一人ひとりがセキュリティ対策を徹底し、安心して夏季休暇を過ごされますようお願い申し上げます。