【企業のIT活用】価格.comがねらわれた不正アクセス

どう対策をすればよいか？

では不正アクセスに対してどう対策すればよいのでしょうか？

■レンタルサーバーの場合
レンタルサーバーを提供している企業のセキュリティレベルに左右されます。気をつけなければいけないのがコストとサービス内容はトレードオフの関係にあることです。

自社にとってどのレベルのセキュリティが必要なのか把握し、それに見合ったサービスを提供するレンタルサーバー会社と契約する必要があります。

会社案内のようなWebサイトをレンタルサーバーを借りて立ち上げる場合、別に1日、2日見られなくても影響がありません。この場合は安いレンタルサーバーでかまいません。

反対にネットショップであればサイトが見られないと死活問題となります。何があっても別のサーバーがすぐ立ち上がり、サービスが止まらないようなレンタルサーバーを選ぶ必要があります。

頭を下げる店主

不正アクセスではありませんが、町が運営しているケーブル会社のレンタル・サーバーを借りているネット・ショップがありました。連休中、サーバーが原因でホームページが表示されなくなりました。ところが町が運営しているケーブル会社ですので連休はもちろんお休み。連休中たくさんのお客さんがリアルのお店に来店し、チラシなどに入っているURLを見て今度は「ネットで注文する。」というお客さんに「すいません、しばらくホームページが見られません。」と頭を下げる羽目に

■自社でサーバーを運営する場合
サーバーと社内ネットワークを切り離すのはもちろんのこと、セキュリティホールなどが発生しないよう、常にOSやアプリケーション・ソフトを最新状態にする運用を厳守します。

特にIDやパスワードを使った会員ページを作成している場合は要注意です。必要最低限の会員情報だけにする等の対策が必要です。例えばID、パスワード、電子メールアドレスだけであれば、不正アクセスで漏洩したとしても被害を極小化できます。

不正アクセス技術や攻撃技術は年々進歩しており、常にキャッチアップしていくのは大変です。自社での運用をやめ、専門の会社へアウトソーシングするのも経営判断です。

参考サイト　読者層別：情報セキュリティ対策 実践情報

IPAが提供しているセキュリティ対策情報です。システム部門責任者向け、システム管理者向けなど読者層別にセキュリティ対策が掲載されています。

コンテンジェンシープランを立てる

コンテンジェンシープランとは、企業が不測の事態に陥った時にあらかじめ対応策を計画しておくことです。

緊急時対応のプランで、地震が発生して自宅に社員が帰れなくなった時、個人情報漏洩の第一報が入った時などいろいろな「不測の事態」が考えられます。不正アクセスも同じです。

不正アクセス事件が発生した時にきっちり対応できるように事前に計画しておきます。

例えば不正アクセスが起きたら

■緊急連絡網で責任者に第一報をいれサービスを停止する

■サーバーをネットワークからすぐに切り離し、別のサーバーを立ち上げユーザへ通知し2次被害を防ぐ

■アクセスログやバックアップ状態を確認し、後から追跡できるようにしておく

■社外発表の準備を行う

などを事前に決めておきます。

前述のオズモールの場合は、不正アクセスが判明した時に即座にサービスを閉鎖し、社長を委員長とするセキュリティ委員会を速やかに設置、調査を開始したと発表がありました。これも危機管理がしっかりしていたからでしょう。

日頃から訓練

できたら半年に一回程度、模擬訓練をすれば、さらに効果が上がります。

避難訓練、消防訓練と同じで、実際に火事が発生しても気が動転しないようにするためです。あわてず対処するには、やはり日頃の訓練が重要となります。

ガイド記事：　家康　石橋をわたるシステム作り

石橋をたたいて渡ると言われた家康ですが、その慎重さがプロジェクト管理では大切です。特に長丁場のプロジェクト運営では何が起きるか分りません、家康が立てたコンテンジェンシープランとは？