【エンジニア必見】今からできる情報セキュリティ対策の常識は？

情報セキュリティ対策の世界は、日々進化を続けています。新しいサイバー攻撃が生み出されるたびに、新しいセキュリティ対策が生まれ、いたちごっこの状態です。いつまでも、完璧なセキュリティ対策は存在しないと考えるべきでしょう。

完璧にすることは難しいですが、最新の知識を持つことは大切です。エンジニアが、誤った知識でセキュリティ対策をすると、トラブルの原因となりかねません。これからの時代を生き抜くために、今からでもできる、最新のセキュリティ対策を解説します。

エンジニアにもセキュリティのスキルが必須

皆さんの中には「セキュリティは専門のエンジニアが担当するため、そこそこの知識で良い」と考える人がいるでしょう。確かに、昔はそのような考えもありましたが、現在では通用しません。まずは、エンジニアにもセキュリティのスキルが必要である理由を解説します。

攻撃の増加

セキュリティ会社の調査によると、サイバー攻撃の数は、2021年から2022年で38%増加しています。特定の組織に対する攻撃ではありますが、世界的にサイバー攻撃は多発しているのです。そのため、企業のシステムを開発・運用するエンジニアは、これらの攻撃に備えなければなりません。

攻撃に備えるためには、すべてのエンジニアが、適切な知識を持つことが重要です。セキュリティについて、完璧に理解することは難しいですが、必要最低限の理解と対策が求められます。小さな対策の積み重ねが、サイバー攻撃に対応するためには重要なのです。

なお、エンジニアが個人で対応するのではなく、集団で対応することが求められます。例えば、チームで業務に従事しているならば、全員が同じように取り組まなければなりません。誰かが取り組んでいないと、そこが人的なセキュリティホールになってしまいます。

セキュリティホールの多発

エンジニアとして働いていると「大手の製品はセキュリティホールを含んでいない」との考えに陥りがちです。十分にテストされているため、何かしら過信してしまうこともやむを得ないでしょう。

しかし、近年は大手企業が開発している製品でもセキュリティホールが多発しています。例えば、MicrosoftのOSに脆弱性が含まれていたり、大手ベンダーが開発しているソフトウェアに、意図せぬコードを実行できる脆弱性が見つかったりしているのです。そのようなものが増えているため、エンジニアはそれらに対処する必要があるのです。

エンジニアが今からやるべき情報セキュリティ対策の基本

エンジニアは情報セキュリティ対策について理解していることが当たり前だと思われます。以下に挙げるような常識的なことについて、問題なく取り組めているか自己点検してみましょう。

パスワード管理

強力なパスワードを使用することは、アカウントのセキュリティを維持するための基本的な対策です。最低でも、英数字や記号を組み合わせた8文字以上のパスワードを利用するようにしましょう。また、同じパスワードを複数のサービスで使用すると、他のサービスもリスクにさらされる可能性があります。そのため、エンジニアが利用するサービスごとに、異なるパスワードを使用することが重要です。また、定期的にパスワードを変更し、古いパスワードによる不正アクセスのリスクを減らしましょう。

なお、近年はサービスや組織でパスワードポリシーが設定されているケースが大半です。ここで紹介したポリシーよりも厳しいことがあるでしょう。その場合、設定されているポリシーに従えば差し支えありません。

さらに、パスワード管理ツールを利用すると、多数のパスワードを簡単に管理できます。パスワードを暗号化して安全に保存し、自動的にパスワードを入力する機能も提供してくれるため便利です。

二要素認証 (2FA)

二要素認証は、パスワードだけでなく、追加の認証手段を用いてアカウントの保護を強化する方法です。一般的には、パスワードに加えて、携帯電話やセキュリティトークンを利用した認証が実施されます。2つの異なる要素を組み合わせることで、不正アクセスのリスクを大幅に減らせる仕組みです。

二要素認証を利用できるサービスでは、可能な限り有効化することが推奨されます。有名なサービスでも、ユーザーが自分のアカウントに二要素認証を設定できるため、エンジニアならば意識的に設定しましょう。

一度設定すれば、ログイン時に携帯電話やセキュリティトークンを利用して認証が求められるようになります。例えば、SMSメッセージや専用の認証アプリを通じて一時的な認証コードが提供されるのです。このコードを入力することで、二要素認証が完了するようにすれば、セキュリティを高められます。

ソフトウェアのアップデート

ソフトウェアのアップデートは、システムの安全性を担保するために不可欠です。アップデートには、セキュリティの脆弱性を修正したり、新しい機能を追加したりするための修正が含まれているからです。エンジニアが利用する端末のOSやアプリケーションのアップデートは、定期的に実施するようにしましょう。

なお、アップデートを適用する際には、バックアップを取っておくことが望ましいと考えられます。アップデートが失敗したり、予期せぬ問題が発生したりすると、エンジニアの業務にクリティカルな影響を与えかねません。万が一に備えて、以前の状態に戻せるようにすべきです。

また、重要なシステムやアプリケーションに関しては、アップデート前にテスト環境でアップデートを試すようにしましょう。エンジニアならば当たり前かと考えられますが、問題がないことを確認してから本番環境に適用しましょう。自動アップデートも便利な機能ですが、誤って適用されることは、避けなければなりません。

ファイアウォールやアンチウイルスソフト

ファイアウォールは、不正なトラフィックを検出しブロックすることで、システムやネットワークを保護するセキュリティ対策です。OSに組み込まれているものや、独立したソフトウェアとして提供されるものがあります。どちらのタイプもエンジニアがセキュリティを高め、不正アクセスやサイバー攻撃からデータを守るために重要です。

また、アンチウイルスソフトは、マルウェアやウイルスを検出し、駆除などの機能を有します。定期的にシステムをスキャンし、マルウェアやウイルスの感染を防ぐものです。また、リアルタイム保護機能を持つアンチウイルスソフトならば、ダウンロードやインストールの際にもマルウェアを検出し、感染を未然に防ぐことができます。

エンジニアは、ファイアウォールとアンチウイルスソフトを適切に設定することが重要です。また、常に最新の状態に保たなければなりません。定期的なスキャンを繰り返し、新たな脅威に対応できるようにもしましょう。

セキュアな通信

データをやり取りする際に、セキュアな通信手段を利用することが重要です。これにより、データの漏洩や改ざんを防げます。例えば、HTTPS通信やVPNなどの通信を利用するなどです。

エンジニアは、セキュアな通信手段を適切に利用することで、データの機密性と完全性を維持できます。特に、個人情報や機密データを扱う場合には、HTTPSやVPNを活用するようにしましょう。情報漏洩は、エンジニア個人ではなく、企業に大きなダメージを与えてしまいます。可能な限り、安全な通信を活用すべきです。

ただ、セキュアな通信は、エンジニア側と受け手側の両方が対応しなければ成立しません。例えば、VPNで通信するためには、関係するシステムすべてがVPNに対応することが求められます。エンジニアが今からできる情報セキュリティ対策ではありますが、エンジニアだけでは実現しにくい方法でもあります。

コードのセキュリティチェック

ソフトウェア開発の過程で、コードのセキュリティチェックを定期的に実施することが重要です。これにより、コードに存在する脆弱性や不具合を発見、修正できます。セキュリティチェックには、静的解析ツールや動的解析ツールを使用すると良いでしょう。エンジニアは、セキュリティホールを作り込まないことが重要です。

なお、コードのセキュリティチェックは、開発プロセス全体にわたって継続的におこなうようにしましょう。開発に携わるエンジニアは、どのタイミングでセキュリティホールを生み出してしまうかわかりません。気づいていない可能性もあるため、継続的に評価することが重要です。

また、新しい脅威や脆弱性に対応できるよう、使用するツールを定期的に更新することも意識しましょう。加えて、チェック方法を見直すことも、セキュリティ対策の一環として重要です。

権限管理

システムやアプリケーション内での権限管理は、不正アクセスやデータ漏洩を防ぐために重要です。エンジニアは「最小限の権限原則」に従い、各ユーザーやシステムが必要最低限の権限しか持たないように設定しましょう。これにより、悪意のあるユーザーや攻撃者がシステム内で大きな被害を与えることを防ぐことが可能です。

また、権限管理では、ユーザーアカウントの作成や削除、パスワードポリシーの設定、アクセス権の付与や剥奪なども意識しなければなりません。エンジニアは、管理者権限を持つアカウントを有しているケースが多く、これらのアカウントは厳重に管理したり必要なユーザーにだけ貸与したりすることが重要です。

エンジニアが情報セキュリティ対策に取り組むポイント

上記で解説したとおり、エンジニアは情報セキュリティ対策に取り組むことが重要です。ただ、エンジニアが自分だけで情報セキュリティ対策に取り組むことは難しいかもしれません。続いては、エンジニアが上記で解説したようなセキュリティ対策に取り組む際のポイントを解説します。

全社的にセキュリティ対策の重要性を認識する

基本的に、セキュリティ対策は個人だけで取り組むのではなく、チームや全社で取り組むことが重要です。その中でも、全社的にセキュリティ対策へ取り組むことが求められます。つまり、経営層やIT部門の管理職なども、セキュリティ対策の重要性を認識することが重要です。

近年はサイバー攻撃が増えていることもあり、セキュリティ対策の重要性を認識している経営層が多く見られます。ただ、認識するだけでは意味がなく、それを踏まえてセキュリティ対策に取り組むことが重要です。エンジニアがセキュリティ対策に取り組めるよう、全社的に支援することがポイントです。

トップダウンで方針を決定する

エンジニアがセキュリティ対策に取り組むにあたって、トップダウンで方針を決定することがポイントです。「エンジニアはセキュリティ対策するように」などと、個人に任せるような状況は望ましくありません。横並びで対策しなければ、繰り返しですが人的なセキュリティホールが生まれてしまいます。

現在、経済産業省は「サイバーセキュリティ経営ガイドラインと支援ツール」と呼ばれるものを提供しています。こちらは、経営層が決めるべきセキュリティ対策について書かれた資料です。このような資料を活用し、トップダウンで、エンジニアがやるべきことを示さなければなりません。

また、経営層がセキュリティ対策に疎いならば、エンジニアから方針の決定を求めた方が良いでしょう。セキュリティ対策は、会社の信用力を守るために取り組むことでもあるため、経営層が判断に関与することが特に重要です。

まとめ

これからの時代、エンジニアに求められるセキュリティ対策を解説しました。サイバー攻撃が多様化している現在において、エンジニアを含めてセキュリティ対策に取り組まなければなりません。万が一、大規模な攻撃を受けると、取り返しのつかないことになるでしょう。

セキュリティ対策には様々なものがあり、今すぐにでも着手できるものが含まれます。エンジニアとして、セキュリティを高めるならば、今すぐできることから取り組むようにしましょう。