最近実際にあったセキュリティ事故を例に、情報セキュリティ対策の必要性と実際の対策例を解説していきます。

2016年6月、旅行会社から氏名、生年月日、メールアドレス、住所、電話番号、パスポート番号など600万件を超える個人情報が漏洩するセキュリティ事故がありました。また、アメリカでは、不正にシステムが暗号化されるランサムウェアの被害のため、病院が運営不能に陥ったという例も報告されています。 このようなサイバー攻撃のため運営がストップしてしまった企業や行政機関では、金銭的損失や社会的信頼の喪失を被り、多くの人を混乱に巻き込むのは間違いありません。攻撃者は世界中に存在し、すでに知られている方法でなく未知の方法やハッキングツールを使う可能性もあります。 このような攻撃から事業体の資産、重要なデータを守るのが情報セキュリティ管理です。その基本はデータの完全性、可用性、機密性を担保する、ということです。つまり、データがむやみやたらに流出したり、改ざんされたりするのを防ぎながら、しかも業務上必要とする人はすぐ参照できるように管理することが求められています。

IPA（独立行政法人情報処理推進機構）は2016年3月、組織体に対する情報セキュリティ10大脅威2016を発表しました。 その10大脅威とは、

でした。 なかでも、標的型攻撃とランサムウェアは比較的新しい攻撃方法であり、かつ、被害数が急上昇していることで対策が急がれている脅威です。 標的型攻撃：
メールの添付ファイルや正規のウェブサイトを改ざんしてマルウェアに感染させ、そこから社内ネットワークに侵入したり乗っ取ったパソコンを遠隔操作したりして組織や企業の重要情報を搾取するのがこの標的型攻撃です。最近では企業がごく普通に使うExcelやWord文書にプログラムを潜ませることもあり、手口が発見しにくいものとなっているようです。 ランサムウェア：
このランサムウェアとは、データを暗号化して操作不能にし、復号するために料金を請求するスパイウェアのことです。もともとは海外で発生・横行していたマルウェアですが、最近では日本語のスマートフォン向けランサムウェアが急速に広がっていることも確認されており、周知と対策が急がれています。 以上の脅威について基本的な対策は、ソフトウェアの更新、こまめなバックアップの取得、社員の教育、アンチウイルスソフトウェアの使用・更新、二要素認証などの認証方式の強化です。しかしそれだけで100パーセント安全とはいえず、定期的なセキュリティ監査、侵入された場合の早期発見、インシデント対応も考えることが重要です。

インシデント対応とはコンピューター環境のセキュリティを脅かす事故、すなわちウイルス感染、不正アクセス、不正侵入、データ改ざん、情報漏洩などが発生したときに、原因調査、対応策の策定、サービス復旧などを適切に行うことをいいます。 社員が現場でインシデントを発見した場合は、すぐ決められた手順にしたがって管理者に連絡をします。こうした事態に遭遇したときに慌てないためにも、すでに作成されている手順書を確認しておきましょう。 また、こうしたインシデントレスポンスを専門に行う組織にCSIRT（ Computer Security Incident Response Team/シーサート ）があります。インシデント発生時はCSIRTと連携し、適切な対応をしましょう。