長期休暇に向けてのセキュリティ対策

実は長期休暇の度に「このテーマを取り上げなければ」と思っていたのですが、気が付いたら間に合わないということを繰り返してきて、ここで漸く取り上げることができました。まあ、御存知の方は御存知だとは思いますが、IPA（独立行政法人情報処理推進機構）も毎回のように注意喚起を出しています。

さて、長期休暇に備えて特別に何かすることはあるのでしょうか？

基本的にはないのですが、昨今気になっているのは「長期休暇の度に社内のパソコンを立ち上げっぱなしにしておき、リモートデスクトップでの接続を有効にしている」という話を目にすることですね。何か緊急で仕事しなくてはならなくなってもリモートから入って作業できるという事なのでしょうが、セキュリティ的にはソレダメですね。まあ、流石にインターネットに向けてリモートデスクトップ接続を公開しているなんて言う「バカなこと」をすることはないでしょうが、例えVPN経由であっても外部からリモートデスクトップ接続できるようには「しない」が原則ですね。万一の場合には被害甚大なので。

あとは、緊急時の連絡体制の確認という所でしょうか。例えば「休暇中にたまたま自社のサイトにアクセスしたらサイトが改竄されているのを発見した」なんていうインシデントに対して、発見者から連絡する体制の確認は必要でしょうし、その連絡を受けて何をどうするのか？という体制の確認も必要でしょう。長期休暇中だからと放置していると、発見当初は軽いインシデントだったはずなのに、休暇明けに出社したら重大インシデントになっていたという泣くに泣けない話になっていたりというのは、ありがちです。ここら辺は長期休暇だからと言うよりも、日常的に組織として連絡体制を作っておき周知徹底しておくべき話ではあります。

で、最も重要なのは「長期休暇明け直後」で、メーラーとかを起動する前に必ずやっておかなければならないのは「ソフトウェアの最新化」です。長期休暇中に緊急アップデートとか出ている可能性もあるので、先ずはこれから始めます。もちろん、ウイルス対策製品の最新化もお忘れなく。これをやる前に業務を始めてしまうと重大インシデントに繋がる可能性がありますので、絶対に順番を間違えないことが重要です。

そして、これらのことを全社員に対して周知徹底することが必要です。一人でも漏れていると、そこがセキュリティホールになってしまいますので、必ず一人も漏らさず周知徹底してください。実は、これが一番難しいのですが…