事例Use case

中小企業やSOHOが知っておくべきセキュリティリスクの基本、まずはWi-Fiルーターから始めてみませんか?

2019.6.25

ツイート シェア 送る はてブ

身近なリスクをどう回避する? その前にどんなリスクがある?

中小企業や自宅、もしくは事務所にて事業を営む「SOHO」の皆さんにおいても、昨今のITセキュリティに関する話題は無視できない状況かと思います。中小企業やSOHOは小さい組織ですので、情報システム部もセキュリティ専任もいないケースが大半かと思います。それに、セキュリティそのものが本業だなんて人もいませんので、できれば、セキュリティにかかる手間は最小限にしたいところですね。

身近なリスクを便利なデバイスやソリューションで適切に押さえ込み、なるべく本業に専念できるようにしましょう。とはいうものの、中小企業やSOHOの皆さんは身の回りにどんなリスクがあるか把握されていますでしょうか? パスワード管理にバックアップ、ウイルス対策に......他にありましたっけ?

ならば本屋に走って、それなりにまとまった教本で学ぶというのが、これまでのセオリーだったかもしれません。とても面倒くさいファーストステップですが、もう大丈夫。中小企業やSOHOが見ておくべきセキュリティのポイントを"無料で"手に入れることができるハンドブックが公開されていますので、いますぐ、早速ダウンロードしておきましょう。

そのハンドブックの名は「小さな中小企業とNPO向け情報セキュリティハンドブック」。これは内閣官房の組織、内閣サイバーセキュリティセンター(NISC)がまとめた"無料"のハンドブックで、日本の先端を走る企業、団体が作り上げた、大変便利なドキュメントです。中小企業向けとありますが、もちろんSOHOにだって役立つドキュメントなのです。

fig01.jpg
小さな中小企業とNPO向け情報セキュリティハンドブック(NISC
https://www.nisc.go.jp/security-site/blue_handbook/index.html


中小企業とSOHOが気を付けたいのは「ネットワークのセキュリティ」

この「小さな中小企業とNPO向け情報セキュリティハンドブック」の素晴らしいところは、組織が考えるべきセキュリティが、広範におさえられているということです。例えば「サイバー攻撃ってなに?」といったITセキュリティの基礎的なポイントから、その結果として起きる「被害に遭わないために、 加害者的立場にならないために」といった攻撃の概要と対策に関するポイント、さらには「事業継続計画を作ろう」「フリー素材とコンテンツ利用のスキル」、はては「情報発信とプロモーション」といったポイントまで。この一冊で、組織を運営する上で重要なセキュリティを、まんべんなく学ぶことができます。

その中でもやはり、中小企業とSOHOが真っ先にできることは「ネットワークのセキュリティ」だと私は考えます。これまではPCのセキュリティといえばウイルス対策ソフトをインストールし、継続的にパターンファイルのアップデートをすることでした。しかし今では、ネットワークからマルウェアが落ちてくるだけでなく、それに感染してしまうと自分自身が加害者になる可能性もあります。そしてPCだけではなく、タブレットやスマートフォンなどのデバイス、複合機のようなIoT機器といったものまでも守る必要があります。こういったデバイスにはウイルス対策ソフトを個別にインストールすることはむずかしいだけでなく、スマートデバイスはPCとは脅威も守り方も異なります。

そこで、インターネットにつながるための通り道であるネットワークでのセキュリティが重要になるのです。IoT機器のようにデバイス単体で守れなくても、ネットワークの出口、入り口のチェックができれば、SOHO、中小規模企業全体を守ることができるのです。

68.jpg#「小さな中小企業とNPO向け情報セキュリティハンドブック」では、サイバー攻撃が行われるパターンがしっかり記されています。これらは"ネットワーク"で守る必要があります


中小企業とSOHOが考えるべき「無線LAN」のセキュリティ

そのネットワークのセキュリティで、キモとなるのは無線LANの設定です。まずは「知らないデバイスがつながっていないこと」ということから始めましょう。おそらく皆さんが管理しているデバイスであれば、それなりにセキュリティに気をつかっているでしょうから、そうではない端末がネットワーク上につながっていないことをきっちり担保します。

ポイントは「無線LANのパスワード」。もはや皆さんの認識も、パスワードのない、暗号化されていない無線LANは、危険だということはよくご承知のことかと思います。それを前提として、中小企業やSOHOではデバイスを使わなくなったときに考えるべきポイントがあります。

例えば、少人数の組織を作って、ある人がその組織から外れたとしましょう。実はこのとき「あなたの組織のWi-Fiパスワードを知っているが、ネットワークにつないでもらっては困る人」が生まれたことに気がつけますでしょうか。何もそこまで厳しくしなくても、と思うかもしれません。しかし中小企業やSOHOであるからこそ、これをきっちりとリスクととらえ、情報漏えいを防ぐ必要があります。

125.jpg
#第6章では、企業の無線LANで注意すべきポイントが図解で紹介されています


その場合、本来であれば「802.1x」と呼ばれるような、端末単位で認証を行うような、大企業向けの仕組みが必要です。これならば、退職した人が使っていたIDを停止するだけでいいのですが、中小企業やSOHOでこのような仕組みを使うのは少々むずかしいでしょう。端末の数が少なければ、組織の人が入社・退職したタイミングでWi-Fiパスワードを変更すべきかもしれません。


★SECURIEなら?

disable.JPG
#「SECURIE」なら、退職者の端末を一時停止することで端末単位でインターネットの接続を拒否できる


もしインテリジェントなセキュリティ機能を持つWi-Fiルーター「SECURIE」ならば、エンタープライズ向けの認証の仕組みを使わなくても、スマートフォンのアプリから任意のデバイスをインターネットに接続拒否できます。そのため、異動があるごとに全部のWi-Fiパスワードを変更しなくても、安全に運用が可能です。セキュリティを考えたルーターならば、中小企業やSOHOのネットワークの利便性を保ちつつ、安全を確保することができるのです。



また、来客時にネットワークにつなぎたいというニーズもあるでしょう。この場合も、手軽だからといって組織が使っているWi-Fiパスワードそのものを教えることはリスクがあります。この場合、ルーターにゲストWi-Fiを作る機能があれば、別のSSIDとしてネットワークを作り、それを提供するのが望ましいです。もちろん、ゲストネットワークはファイルサーバーなどへの接続はさせず、単にインターネットにつながるだけの設定にしましょう。もちろん、暗号化ナシというのは御法度ですよ!



★SECURIEなら?

guestnetwork.png
#「SECURIE」ならゲストネットワークの運用も可能

「SECURIE」にはゲストネットワークの設定もできます。ゲストネットワークは標準の状態でインターネットのみへの接続に限られているので、社内ネットワークへのアクセスはできなません。可能であれば、ゲストネットワークとすぐに分かるSSID名は使わず、定期的にパスワードを変更するなどの対処を行うべきかもしれません。


中小企業やSOHOが守るべきは信頼、だからこそ

今回は中小企業やSOHOのネットワークを守るという意味で、まず無線LANのパスワードに関して取り上げてみました。でもこれはあくまで入り口に過ぎません。冒頭に紹介したハンドブックでは、これ以外にもSOHOや中小規模企業が知っておくべき、たくさんのポイントをおさえています。まずはこのハンドブックを目次だけでも読んでいただき、意外なことがトピックとして取り上げられていたと思ったら、そこから読んでみることをお勧めします。

特に無線LANというものは、いま動いているからとセキュリティ対策が後回しになりがちです。もし安全かどうか自信がないという方は、いますぐこのハンドブックをダウンロードし、ネットワークの状況を見直してみてはいかがでしょうか。


執筆者

宮田 健(みやた たけし)
国内大手SI事業者、および外資系大手サポートにてエンジニア経験を積み、2006年にITに関する記者、編集者に転身。その後はアイティメディアのエンジニア向けメディア「@IT」編集者として、エンタープライズ系セキュリティに関連する情報を追いかける。 2012年よりフリーランスとして活動を開始し、"普通の人"にもセキュリティに興味を持ってもらえるよう、日々模索を続けている。
個人としては"広義のディズニー"を取り上げるWebサイト「dpost.jp」を運営中。公私混同をモットーにITとエンターテイメントの両方を追いかけている。 著書に「Q&Aで考えるセキュリティ入門「木曜日のフルット」と学ぼう!」(MdN)、「デジタルの作法 1億総スマホ時代のセキュリティ講座」(KADOKAWA/中経出版)がある。