図解入門 よくわかる 最新 サイバーセキュリティ対策の基本

◆サイバー攻撃から会社や組織を守るための基礎知識

近年、サイバー攻撃は、より高度かつ巧妙に変化し、
日本国内でも、一般企業や病院、工場などに甚大な被害が出ています。
しかし、従来のセキュリティ対策は変化に対応できず、
会社や組織の資産を守ることが難しくなっています。

本書では、日常的に PC を使うビジネスパーソンからセキュリティ担当者、
そして経営者のために、サイバーセキュリティ対策の基本から
事例分析、攻撃の仕組み、リスク対策まで、多数の図解イラストを用いて
わかりやすく解説いたしました。

【目次】

第 1 章 サイバーセキュリティ対策の基礎知識

・サイバーセキュリティとは
・今までのセキュリティとの違い
・情報セキュリティとの違い
・IoT セキュリティ
・OT セキュリティ
・サイバーセキュリティの対象 など

第 2 章 サイバー攻撃の事例分析

・高度化・巧妙化するサイバー攻撃
・自動車メーカーが国内全工場を稼働停止
・石油パイプラインが 5 日間停止
・病院を襲うランサムウェア
・過去のメールを巧みに転用する Emotet など

第 3 章 サイバー攻撃の仕組みとその対策

・DDoS 攻撃
・バッファオーバーフロー
・パスワードハッシュ
・コマンドインジェクション攻撃
・ディレクトリトラバーサル など

第 4 章 セキュリティ担当者に求められるリスク対策

・サイバー攻撃が増加する背景
・インターネットに関わるリスク
・コンピュータ・ネットワークに関わるリスク
・人に関わるリスク
・物理環境に関わるリスク など

第 5 章 サイバーセキュリティ対策の進め方

・セキュリティ対策の原則
・リスクアセスメント
・対策へのアプローチ
・セキュリティ管理 VS セキュリティ対策
・組織的対策 など

.

サイバーセキュリティ対策を任された担当者と、その投資や体制を決める経営者に向けて、脅威の全体像と対策の進め方を図解で示す入門書が、秀和システムの図解入門シリーズから 2023 年 2 月に刊行された本書 (福田敏博 著) です。書誌に登録された副題は「セキュリティ担当者 & 経営者のための基礎知識」で、版元は「一般のビジネスパーソンはもちろんセキュリティ担当者や経営者のために、サイバーセキュリティの基本から事例分析、攻撃の仕組み、リスク対策まで図表を用いて総合的にわかりやすく解説した入門書」と紹介し、読後に「あなたの会社のサイバーセキュリティ対策の進め方がわかります」と位置づけています。版元のキャッチコピーは「DX 推進で増大する脅威と脆弱性」で、判型は A5 判です。

全 5 章の構成、基礎知識と事例分析からリスク対策の進め方へ

構成は第 1 章から第 5 章までの 5 章で、各章は 1-1 のような節番号で細かく区切られ、第 1 章から第 4 章の末尾にはコラムが付きます。第 1 章「サイバーセキュリティ対策の基礎知識」は、サイバーセキュリティとは、今までのセキュリティとの違い、情報セキュリティとの違い、IoT セキュリティ、OT セキュリティ、DX で増大する脅威と脆弱性、セキュリティ担当者に求められる役割まで、10 節で土台を作ります。第 2 章「サイバー攻撃の事例分析」は 15 節で、自動車メーカーが国内全工場を稼働停止、石油パイプラインが 5 日間停止、病院を襲うランサムウェア、過去のメールを巧みに転用する Emotet、被害が続出した Apache Log4j の脆弱性、重要インフラを狙うサイバー攻撃といった事例を並べます。第 3 章「サイバー攻撃の仕組みとその対策」は最も節数が多い 25 節で、攻撃者の動機と種類、標的型攻撃、サイバーキルチェーン (攻撃ステップ)、DDoS 攻撃、ランサムウェアの特徴、フィッシング攻撃、ビジネスメール詐欺、内部不正の脅威、サプライチェーン攻撃、ソーシャルエンジニアリング、セキュアコーディングまでを扱います。第 4 章「セキュリティ担当者に求められるリスク対策」は 15 節で、インターネット、コンピュータ・ネットワーク、人、物理環境、事業継続、社会的信頼のそれぞれに関わるリスクを整理し、経営リスクへの影響、トップダウンの意思決定、サイバーセキュリティ経営ガイドラインへ進みます。第 5 章「サイバーセキュリティ対策の進め方」は 20 節で、セキュリティ対策の原則、リスクアセスメント、組織的 / 人的 / 技術的 / 物理的対策、対策の切り札となるゼロトラストモデル、インシデントレスポンス、BCP との連携、ペネトレーションテスト、セキュリティ教育の重要性、脆弱性情報の取得、国際標準の活用、関連法令の遵守で締めます。コラムは「OT セキュリティを体験してみる」「情報セキュリティ 10 大脅威」「中小企業のサイバーセキュリティ対策支援」「Kali Linux」の 4 本です。

情報セキュリティとの違いと、OT と IoT が広げた守るべき範囲

情報セキュリティ は、情報の機密性 / 完全性 / 可用性を守る取り組みとして整理されてきました。これに対してサイバーセキュリティは、一般に、ネットワークにつながったコンピュータ、工場の制御装置、家庭用ルータ、スマートフォンまで、攻撃の入口になり得る機器とシステムの全体を守る考え方を指し、対象が情報から「つながっているもの」全体へ広がります。本書の第 1 章がこの二つの違いを「情報セキュリティとの違い」という節で最初に扱うのは、守る範囲の再定義から始めるためです。とりわけ OT (工場やプラントの制御技術) と IoT は、業務システムとは別に設計され、長期間更新されずに動き続けることが多いため、脆弱性 が残りやすく、止まれば生産や生活基盤に直結します。第 2 章の事例に工場の稼働停止やパイプラインの停止、病院、家庭用ルータが並ぶのは、この広がりをそのまま映したものです。非専門家にとってこの分野が難しいのは、技術の細部よりも、フィッシングやビジネスメール詐欺のように人を狙う攻撃、取引先を経由するサプライチェーン攻撃、内部不正まで含めて、リスクを経営の言葉に置き換えて優先順位を付けなければならない点にあります。境界の内側を信用しない ゼロトラスト のような設計思想も、その置き換えの延長で理解できます。第 4 章がリスクを経営リスクへの影響とトップダウンの意思決定へつなげ、第 5 章が組織的 / 人的 / 技術的 / 物理的対策の四つに分けて進め方を示す構造は、この置き換えを担当者に代わって行う骨格になっています。

著者 福田敏博の OT セキュリティの経歴と本書の視点

著者の福田敏博氏は、版元登録の刊行時プロフィールによれば、株式会社ビジネスアジリティ 代表取締役社長で、1965 年に山口県宇部市に生まれ、JT に入社してたばこ工場の制御システム開発に携わった後、ジェイティ エンジニアリング株式会社へ出向し、幅広い業種 / 業態での産業制御システム構築を手がけ、2014 年からは OT のセキュリティコンサルティングで第一人者として活動していると紹介されています。2021 年 4 月に株式会社ビジネスアジリティを設立して代表取締役として独立し、技術士 (経営工学)、中小企業診断士、情報処理安全確保支援士、公認システム監査人など 30 種以上の資格を所有すると記されており、主な著書として『図解入門ビジネス 工場・プラントのサイバー攻撃への対策と課題がよ〜くわかる本』 (秀和システム) と『現場で役立つ OT の仕組みとセキュリティ演習で学ぶ! わかる! リスク分析と対策』 (翔泳社) が挙げられています。制御システムの構築から OT セキュリティへ進んだ経歴は、第 1 章に OT セキュリティの節が置かれ、第 2 章の事例の冒頭に工場やパイプラインの停止が並ぶ本書の視点と対応しています。国立国会図書館の書誌には索引ありと記録されており、用語から引き返す使い方にも対応します。

担当者と経営者が読む前提と、向く人 / 向かない人

版元が読者に掲げるのは、日常的に PC を使うビジネスパーソンからセキュリティ担当者、そして経営者までで、専門的な前提知識を求める案内はありません。刊行は 2023 年 2 月のため、第 2 章の事例や第 3 章に登場する攻撃の名称は刊行時点までのものとして読む必要がありますが、リスクの分類と対策の進め方という第 4 章と第 5 章の骨格は、個々の事例が古くなっても使い続けられます。本書で元が取れるのは、情報システム部門や総務で対策の担当を任され、何から手を付けるかを説明できる形にしたい人、DX 推進の中で工場や現場機器まで守る範囲を広げなければならない人、そして対策費用と体制の判断を求められる経営者です。逆に、目次が示すのは事例、仕組み、リスク、進め方という全体地図であり、特定製品の設定手順やコードレベルの実装を求める技術者には、その分野に特化した専門書のほうが目的に合います。守る範囲と優先順位を経営の言葉で語れるようになりたい担当者と経営者にとって、図解で全体を一巡できる本書は、対策の出発点として堅実な一冊です。