継続的かつ網羅的なペネトレーションテストでセキュリティの成熟度を高める| 東京エレクトロンデバイス

　昨今、サイバー攻撃に関する報道は珍しくなくなりました。重要な情報や知的財産を扱う政府機関や大手企業だけでなく、あらゆる業種、あらゆる規模の企業がターゲットとなっていることが最近の特徴です　「うちは狙われるような情報を持たないから」と考えていた普通の企業や組織、医療機関などが、ランサムウェアに感染してデータを暗号化されたり、情報を外部に公開するといった脅しを受けたりして、多額の身代金支払いを要求されるケースが頻発しています。
　こうした事態の背景には、「金銭」を目的にしたサイバー攻撃が増加し、組織化が進んでいることが挙げられます。サイバー犯罪者は、ダークウェブでマルウェアやターゲットとなる企業情報などを取引し、より高度な手法で攻撃を行ってきます。加えて、IT環境の変化もサイバー攻撃を激化させる要因の1つといえるでしょう。新型コロナウイルス対策の一環としてリモートワークやクラウドサービスの利用が広がり、柔軟に仕事が行える環境が整いましたが、一方でこれまで複数のセキュリティ機器による多層防御で守られてきた社内ネットワークではなく、無防備な自宅からダイレクトにインターネットを利用する機会が増えてきます。つまり、攻撃を受ける恐れのある場所、いわゆる「アタック・サーフェス」が増えているのです。
　サイバー攻撃の被害はいよいよ対岸の火事ではなくなり、何らかの形で対策を強化しなければいけないという認識を多くの企
業が持ち始めています。

　もちろん多くの企業は、すでに何らかの対策を打っています。社内・社外の境界にはファイアウォールを、エンドポイントにはアンチウイルスやEDRなどを整備し、従業員にはいざというときどう動くべきかのセキュリティ教育を実施し、リテラシーの向上に努めている取り組みも見られます。最近では、リモートワークやクラウド利用を前提に、ゼロトラストセキュリティの考え方に基づく対策も進んでいます。　しかし、100％安全なセキュリティ対策は存在せず、防御をかいくぐろうと攻撃が多様化・高度化していたちごっこが続いています。　その中で大切なことは何でしょうか。確実に言えるのは、「自分たちのセキュリティ体制はどのような状況か」「どこに弱点が
あるのか」を理解し、それを踏まえて継続的に改善していくことです。これが対策の第一歩です。企業には予算に限りがあり、セキュリティ対策へ無尽蔵に投資できるわけではありません。ましてや他の領域に比べてリターンが目に見えにくいため、どうしても投資は絞られがちです。そのため、「攻撃を受けてしまうと大きな被害が生じる部分」や「攻撃者がよく狙う部分」から優先的に対処していくことがポイントとなります。その判断材料として不可欠なのが「セキュリティ診断」です。己を知ることにより、より効率良くセキュリティ投資を強化できます。