なぜ中小企業における不正送金被害が続出しているのか第5回「中小企業から見たUTMの利点」

情報システム管理者が不在であり、かつセキュリティ対策に大企業のような高額な設備投資ができない中小企業では、社内のコンピュータをインターネットの脅威から自動的に守る仕組みが必須だと考えています。そのために有効な手段のひとつは「ＵＴＭ」を導入することです。

特集コラム

2015年3月24日（火） 10時15分

自社を守るためにできることを考えましょう

中小企業が不正送金などのインターネットを経由した脅威から安全に情報資産やお金を守るためのセキュリティ対策の続きです。前回の記事では、「１．知る」、「２．最新化」について説明しました。

なぜ中小企業における不正送金被害が続出しているのか第4回「被害補償対象の条件とは」

今回は３つ目の「持ち込ませない」について説明します。

●３．持ち込ませない

私が最も重要だと感じていることは、「そもそもこういった所に行かない、詐欺メールを入れない、入ったとしても誘導されない仕組み」を導入することです。

情報システム管理者が不在であり、かつセキュリティ対策に大企業のような高額な設備投資ができない中小企業では、社内のコンピュータをインターネットの脅威から自動的に守る仕組みが必須だと考えています。そのために有効な手段のひとつは「ＵＴＭ」を導入することです。ＵＴＭとは「統合脅威管理（Unified Threat Management ）」の略で、インターネットと社内ネットワークの間に置くセキュリティ機器です。ほとんどの中小企業では、インターネットと社内ネットワークの出入り口は一本の回線のみで繋がれています。世界中に広がるインターネットへの出入り口に、セキュリティ機器であるUTMを設置するのです。UTMは、以下のようなことをほとんど自動的に解決してくれます。

１）詐欺メール（フィッシングメール）やスパムメールからPCを守る

先日、ある中小企業の経営者が「朝出社して、一番はじめに取り組む仕事は、怪しいメールや邪魔なメールを30分かけて削除することなんです」と話していました。社員も同様に、怪しいメールを手作業で削除することが日課になっているようです。20名程度の会社でしたが、例えば1日あたり30分×20名とした場合、合計で600分（10時間）もの時間を無駄にしているのです。この企業ではUTMを導入したことで、怪しいメールを削除する業務がなくなり、効率化が図れて喜んでいました。また、銀行を騙った詐欺メール（フィィッシングメール）が自分のメールフォルダに届いてしまい、その中に明記されているURLをクリックしてしまった結果、知らない間に詐欺サイト（フィッシングサイト）に誘導され、インターネットバンキングの不正送金被害など金銭的な被害を受けるケースも出てきています。UTMの機能を活用することでこのような危険性の高いメールを社内に入れない、もしくは「タグ」をつけて自動で「怪しいメールフォルダ」に振り分けることで、危険なサイトに誘導されてしまうような被害を未然に防ぐことができるようになります。

２）ウィルスの侵入と拡散を防ぐ

コンピュータウィルスの外部からの進入経路は、「ホームページ」「SNS」「不正動画サイト」「メール」等が考えられます。内部からの進入経路としては「USBメモリ」「持ち運びができるハードディスク」経由で入ってくることがほとんどです。UTMを導入することで、インターネットの出入り口でウィルスが侵入してくるのを未然に防ぐことができるようになります。

昨年、私が中小企業の経営者から相談を受けたケースとして、「知らないうちにウィルスメールをばら撒いてしまい、「今度ウィルスメールを送ってきたら取引停止にする」と取引先から注意を受けてしまったのですが、どうしたらよいのでしょうか？」ということが複数件ありました。セキュリティ問題が経営リスクになっている典型的な例です。

このような問題も、UTMを利用してインターネットの出口でウィルス監視を行うことで「ウィルス拡散による経営リスク」を減らすことができるようになります。話は少し変わりますが、最近では、スマホを会社に持ち込み、USBケーブルでパソコンと接続し「充電」するようなケースも見受けられます。スマホがウィルス感染している場合もありますので、「社内のパソコンには接続しない」「物理的に接続できないようにする」等の対策も必要になります。

３）危険なサイトを経由して起こるセキュリティ被害を防ぐ

UTMは危険性が高いと考えられるサイトをカテゴリ分類しており、サイトにアクセスさせないようにする仕組みがあります。パソコンにインストールされているウィルス対策ソフトでもこのような仕組みがありますが、パソコンにある程度精通している場合、簡単に設定解除することができます。「いくら設定を変えても、社員が勝手に設定を変えてしまうから困るんです」と嘆いていた経営者もいました。このような状況を回避するに、インターネットの入り口の部分（根元）で止めてしまうのも手段のひとつです。

４）インターネットを経由した攻撃も防いでくれる

いわゆる「ファイアウォール」と呼ばれているものです。インターネットからの攻撃に対して社内への不正侵入などを防ぐセキュリティ機能です。最近ではファイアウォールでは防ぎきれないような外部からの攻撃をブロックする機能（IPS：不正侵入防止システム）を有しているものもあり、UTMのセキュリティ対策レベルは近年向上しています。

一方で、現在は内部から詐欺動画サイトや、フィッシングサイト、ウィルス感染しているサイトにアクセスしてしまい、遠隔操作プログラム等を仕込まれるケースも増えていることは、以前からお伝えしているとおりです。
このようなケースでは、ファイアウォールでは防ぐことができないため、上記１～３で説明したような統合的な防御が必要になってくるのです。

５)不正サイトに誘導されたとしてもブロックしてくれる

ＰＣがのっとられてしまうような詐欺動画サイトや、不正送金サイトに誘導されたとしてもブロックする、レピュテーションによるセキュリティ機能があります。「レピュテーション」とは「風評・評判リスク」のことで、インターネット上にある、危険サイト、危険情報、評判が悪いサイト情報などをリアルタイムで収集し、自動的に最新状態に更新するため、クリックすると乗っ取られてしまうような詐欺動画サイトや、不正送金サイトに誘導されなくなる仕組みのことです。このような機能を備えたUTMも登場しています。

●目には見えないリスクからお金と情報を守るためには

インターネットの出入り口で、さまざまな脅威から社内の情報やお金を守ってくれるUTM。そもそもこういった所に行かない、詐欺メールを入れない、入ったとしても誘導されない仕組みが、情報システム管理者が不在の中小企業には特に必須です。

先日、UTMを導入した、インターネットバンキングを使い始めた経営者が以下のような話をしていました。「インターネットバンキングは非常に便利だ。セキュリティ問題があるからといってインターネットバンキングを使わないようにすると、事務員さんに銀行に行ってもらう必要がある。ガソリン代もかかる。彼女が何度も銀行に行く人件費もかかる。お金を物理的に取り扱わせるほうが危険だ。時間、目に見えないコストを考えると、会社でその分仕事してもらって、安心も手に入る。これは非常にありがたい」と。

今後、UTMの導入は、ウィルス対策ソフトの導入と同じく、広く企業に普及されていくことでしょう。

《船井総合研究所経営コンサルタント那須慎二／技術監修ウォッチガード・テクノロジー・ジャパン》

ソース・関連リンク

Scan PREMIUM 会員限定記事

Scan PREMIUM 会員限定記事特集をもっと見る

なぜ中小企業における不正送金被害が続出しているのか第5回「中小企業から見たUTMの利点」

ソース・関連リンク

関連記事

Scan PREMIUM 会員限定記事

米司法省イラン人ハッカー起訴／中国データセキュリティ規則案公布／脅威インテリジェンスに関わる者が念頭に置くこと他 [Scan PREMIUM Monthly Executive Summary]

GitLab においてメタデータの削除処理に起因する遠隔コード実行の脆弱性（Scan Tech Report）

朝日新聞で書ききれなかった「あの話」第1回：日本年金機構へのサイバー攻撃（2015年）（6）痕跡を追う

２つのテイクダウン作戦～民間と法執行機関の連携、欧州 ESET 事例

カテゴリ別新着記事

ソース・関連リンク

関連記事

Scan PREMIUM 会員限定記事

米司法省 イラン人ハッカー起訴／中国データセキュリティ規則案公布／脅威インテリジェンスに関わる者が念頭に置くこと 他 [Scan PREMIUM Monthly Executive Summary]

GitLab においてメタデータの削除処理に起因する遠隔コード実行の脆弱性（Scan Tech Report）

朝日新聞で書ききれなかった「あの話」 第1回：日本年金機構へのサイバー攻撃（2015年）（6）痕跡を追う

２つのテイクダウン作戦～民間と法執行機関の連携、欧州 ESET 事例

カテゴリ別新着記事

脆弱性と脅威 記事一覧へ

米司法省 イラン人ハッカー起訴／中国データセキュリティ規則案公布／脅威インテリジェンスに関わる者が念頭に置くこと 他 [Scan PREMIUM Monthly Executive Summary]

GitLab においてメタデータの削除処理に起因する遠隔コード実行の脆弱性（Scan Tech Report）

WordPress 用プラグイン Advanced Custom Fields に複数の認証欠如の脆弱性

複数のエレコム製 LAN ルーターに複数の脆弱性

エレコム製ルータに複数の脆弱性

CrowdStrike Blog：SMTPの悪用に対抗するためのクラウド強化

インシデント・事故 記事一覧へ

治験支援行うリニカルへのサイバー攻撃、犯⾏グループと交渉に応じず

ドレス販売「Tika」に不正アクセス、最大8,306名のカード情報が流出

新潟県でドッペルゲンガードメイン「＠gmai.com」への誤送信再び

SNSで定期試験内容漏えいした教諭、停職6月の懲戒処分に

メール送信システムで誤作動、他の顧客名とメールアドレスが表示された状態で大量に一斉送信

編集用URL公開でGoogleフォームの個人情報が閲覧可能に、発覚後10分で対応完了

調査・レポート・白書 記事一覧へ

42社に星一つを付与、日経500企業対象のセキュリティ取り組み評価

IDCが国内電子サインソフトウェアの市場動向を調査、中堅企業での利用が拡大

「導入済対策では不充分 ３９％」「セキュリティ投資 収益の４％」～シスコ 中小企業調査

CrowdStrike Adversary Calender 2021 年 12 月

DX時代のセキュリティ人材の条件 ～ トレンドマイクロ調査

オンライン診療 5つの問題点、カスペルスキー解説

研修・セミナー・カンファレンス 記事一覧へ

２つのテイクダウン作戦～民間と法執行機関の連携、欧州 ESET 事例

ITエンジニア限定eスポーツ大会「LogStare eSports Series」第2回終了、役員チームと若手チーム対決も

ほんとうに「セキュリティにはお金がかかる」のか？ 中小企業の適切なセキュリティ投資とは ～ JP-RISSA 屈指の三人の“講演巧者”登壇

CDIがOTシステムのサイバー攻撃体験研修受付開始、申込はFAX

「餅は餅屋」に真っ向勝負、医療 ISAC の役割と支援機能

中小企業等を対象にオンラインで「サイバーインシデント演習in関東」開催

製品・サービス・業界動向 記事一覧へ

2021年12月31日でセキュアヴェイルグループでのPPAP廃止、受信のみ継続

経済産業省と総務省、警察庁でアクセス制御機能に関する技術の研究開発情報を募集開始

JPCERT/CC、トレンドマイクロに「2021年度 ベストレポーター賞（脆弱性部門）」贈呈

「JKセキュリティ委員」が「セキュリティ啓発動画」を順次配信、トレンドマイクロ協力

NISC、セキュリティ・ポータルサイトに掲載する普及啓発・人材育成施策を募集

M&A他マッチングサイト構築パッケージにクラウド WAF/IPS がビルトイン

おしらせ 記事一覧へ

創刊23周年記念イベント「ハッカージャーナリスト誕生譚」オンライン公開インタビュー 11/18 開催

Scan PREMIUM 創刊23周年記念キャンペーン実施中

ScanNetSecurity 創刊23周年御礼の辞（上野宣）

セキュリティ業界最強の「ヤバイＴシャツ屋」でも売っていないもの ～ 2021年 CrowdStrike カレンダー読者プレゼント

ScanNetSecurity システム更新のお知らせ

特典ノベルティ写真公開、Scan PREMIUM 創刊22周年記念キャンペーン11月末迄

米司法省イラン人ハッカー起訴／中国データセキュリティ規則案公布／脅威インテリジェンスに関わる者が念頭に置くこと他 [Scan PREMIUM Monthly Executive Summary]

朝日新聞で書ききれなかった「あの話」第1回：日本年金機構へのサイバー攻撃（2015年）（6）痕跡を追う

脆弱性と脅威記事一覧へ

米司法省イラン人ハッカー起訴／中国データセキュリティ規則案公布／脅威インテリジェンスに関わる者が念頭に置くこと他 [Scan PREMIUM Monthly Executive Summary]

インシデント・事故記事一覧へ

調査・レポート・白書記事一覧へ

「導入済対策では不充分３９％」「セキュリティ投資収益の４％」～シスコ中小企業調査

DX時代のセキュリティ人材の条件～トレンドマイクロ調査

研修・セミナー・カンファレンス記事一覧へ

ほんとうに「セキュリティにはお金がかかる」のか？中小企業の適切なセキュリティ投資とは～ JP-RISSA 屈指の三人の“講演巧者”登壇

製品・サービス・業界動向記事一覧へ

JPCERT/CC、トレンドマイクロに「2021年度ベストレポーター賞（脆弱性部門）」贈呈

おしらせ記事一覧へ

セキュリティ業界最強の「ヤバイＴシャツ屋」でも売っていないもの～ 2021年 CrowdStrike カレンダー読者プレゼント