企業グループのセキュリティ対策

aの考え方に基づき，インターネットからZ社の内部ネットワークへの攻撃を入口となるFWで防いでいる。具体的には，子会社からのインターネットVPN経由での共通業務システムへのアクセスは許可し，インターネットからZ社内へのその他のアクセスは，共通業務システムへのアクセスも含めて禁止している。

Z社内の，PC及び業務システムが稼働しているサーバにはマルウェア対策ソフトを導入している。

Z社内の，PC，業務システムが稼働しているサーバ及びネットワーク機器に対し，各ベンダーからの脆弱性情報やアップデート情報を日次で確認して，適宜セキュリティパッチの適用やアップデートを実施している。

Z社内の業務システムは，導入時に脆弱性診断を実施している。脆弱性が発見された場合は，利用開始までに対応を実施している。

サプライチェーン攻撃に対して，Z社グループの現状のセキュリティ対策は十分ですか。

不十分だと思います。Z社については，aの考え方で内部ネットワーク内の機器の防御を行っているので，攻撃者によって内部ネットワークに侵入されてしまうと，内部ネットワーク内の業務システムなどが容易に攻撃されるおそれがあります。

なるほど。実際，幾つかの共通業務システムは，インターネットVPN経由も含む内部ネットワークからであれば認証無しでアクセスすることが可能なので，内部ネットワークに侵入された場合に情報漏えいのリスクがあるということですね。その他の懸念はありますか。

業務システムについても懸念があります。システム導入以降は脆弱性診断を実施しておらず，導入以降に明らかになった脆弱性への対応ができていないおそれがあります。また，Z社グループ全体に視野を広げると，マルウェア対策ソフトの選定やネットワーク機器の設定など，各社がそれぞれ独自にセキュリティ対策を実施しているので，セキュリティ対策が不十分な会社が存在するおそれがあります。

分かりました。今後は各社任せにするのではなく，我々Z社が中心となってZ社グループ全体のセキュリティ対策を強化していく必要がありますね。Z社グループ全体として追加すべきセキュリティ対策を検討してください。

全ての業務システムへのアクセスに対しては，従業員ごとに割り当てたIDとパスワードによる認証を行う。また，パスワードは類推されにくいものだけが利用できるようにシステムで制限する。加えて，bの原則に従い，各従業員に対して過剰な権限を与えないようにする。

機密性の高い内部情報を扱う業務システムへのアクセスに対しては，多要素認証を行う。

ネットワーク機器などの管理用アカウントのパスワードは類推されにくいものにする。特に，機器の型番ごとに共通であることが多いcパスワードの利用は禁止する。

業務システム，業務システムが稼働しているサーバ及びネットワーク機器へのアクセスについては監視及びログの記録を行い，それらのログをdで分析することによって攻撃の予兆検知や早期発見を図る。また，業務システムやインターネットへのアクセスログが記録されていることをZ社グループ各社の従業員に周知し，^②データの持出しなどの内部不正を抑止する。

業務システム，業務システムが稼働しているサーバ及びネットワーク機器については，機密情報の取扱いの有無などの重要度に応じて3か月から1年の周期で定期的な脆弱性診断を行い，発見された脆弱性への対応を行う。