夏休み目前♪長期休暇前後にやっておきたいPマーク、ISMS担当者のセキュリティ対策とは

長期休暇のシーズンが近づくと、情報システム担当者にとって気になるのがセキュリティ対策です。

お盆休みや年末年始など、まとまった休みの期間は担当者自身も休暇を取ることが多く、社内システムを見守る目がどうしても手薄になりがちです。

実際、担当者が不在の間に不正アクセスや機器トラブルが発生し、発覚や対応が遅れてしまうケースは少なくありません。

今回は、長期休暇の前後で情シス担当者が押さえておきたいセキュリティ対策のポイントを、休暇前・休暇中・休暇明けの3つの場面に分けて整理してみたいと思います。

そもそも長期休暇にリスクが高まりやすいのは、監視の目が減るだけでなく、休暇明けの一斉出社・一斉ログインによる負荷や、緊急時に対応できる人員が確保しづらいことなど、複数の要因が重なるためです。

平時であれば早期に気づけたはずの異常が、休暇をまたぐことで発見や初動対応が遅れてしまう、という構図は多くの組織に共通するリスクだといえます。

まず休暇に入る前の準備です。
サーバーやネットワーク機器のOS、ミドルウェア、セキュリティソフトについては、休暇前に最新の状態へ更新しておくことが基本になります。
使わない機器は電源を落としておく、あるいはネットワークから切り離しておくことで、休暇中の不要な攻撃対象を減らすことができます。

また、バックアップが正しく完了しているか、そしてリストアの手順が担当者以外でも実行できる状態になっているかも、この時期にあらためて確認しておきたいポイントです。
権限管理の観点では、退職者や異動者のアカウントが残っていないかの棚卸し、VPNやリモートアクセスの接続数・ライセンスの確認、多要素認証の設定状況なども見落とされがちな項目です。

さらに、休暇前は仕事を自宅に持ち帰る社員が増える時期でもあるため、社外への機器やデータの持ち出しルールを改めて周知しておくことも大切です。
加えて、障害発生時にだれが一次対応し、どこへエスカレーションするのかという連絡体制と、主要システムの構成や初動対応手順をまとめた引き継ぎ資料を用意しておくと、休暇中に何かが起きても落ち着いて対応できます。

休暇中も、可能な範囲で最低限の監視体制を維持することが望ましいといえます。
アラートが通知された際にすぐ気づける仕組みや、連絡が取れる担当者を最小限でもローテーションで確保しておく体制づくりが重要です。
実際に過去のセキュリティインシデントを振り返ると、大型連休の直後や長期休暇をまたぐタイミングで不正アクセスやランサムウェア被害が発覚した例が複数報告されており、休暇による管理体制の緩みが被害の発覚や対応の遅れにつながった可能性が指摘されています。

こうした事例は決して他社だけの話ではなく、自分たちの組織にも起こり得るリスクとして受け止めておく必要があります。

休暇が明けたら、その日のうちに確認しておきたいことがいくつかあります。
アクセスログや認証ログ、ファイアウォールのログを確認し、休暇中に不審な通信がなかったかをチェックします。

サーバーや機器が正常に起動しているか、久しぶりの一斉ログインによって想定外の負荷がかかっていないかも見ておきたいポイントです。

セキュリティソフトの定義ファイルが自動的に最新化されているか、公開しているWebサイトが改ざんされていないかも合わせて確認しましょう。

そして、社員に対しては休暇明けに届く不審なメールやURLを不用意に開かないよう、あらためて注意を促すことも忘れずに行いたいところです。

こうした休暇前後の対策は、その都度チェックリストで確認するだけでも一定の効果はありますが、担当者が変わっても同じ水準の対策を継続できる仕組みとして根付かせることこそが、本来もっとも重要なポイントだと感じています。
チェックリストによる確認は、あくまで長期休暇という特定のタイミングに絞った対策にすぎません。

緊急連絡体制の整備やアクセス権限の棚卸し、バックアップ確認といった項目を、その場しのぎの確認で終わらせず、組織のルールとして明文化し、PDCAサイクルの中で継続的に見直していく仕組みにできれば、担当者の異動や退職があっても対策の水準を落とさずに済みます。

プライバシーマーク(Pマーク)やISMS認証(ISO/IEC 27001)の取得プロセスは、まさにこうした情報セキュリティ対策を組織のマネジメントシステムに組み込むための一つの手段です。

長期休暇のたびに個人の頑張りで乗り切るのではなく、組織全体として無理なく対策を維持できる体制を、この機会に見直してみてはいかがでしょうか。