インフラストラクチャとは
一般的な意味では、インフラストラクチャとは、建物、オフィス、データセンターなどの物理的な構造と施設を指します。 コンピューティングにおいては、IT インフラストラクチャは、クラウドとモバイル デバイス、モノのインターネット (IoT) エンドポイント、オンプレミス サーバー、クラウドベースの仮想マシン、コンテナー、マイクロサービス、およびファースト パーティとサードパーティの両方を含むすべてのソフトウェアを意味します。 インフラストラクチャのフットプリントは、組織の構造や IT 資産に関わりなく、拡大と進化を続ける中で監視および管理する必要があります。 ゼロ トラスト アプローチを検討することは、絶えず変化するデジタル環境でセキュリティを強化する最善の方法です。
一般的なインフラストラクチャの脆弱性と脅威
IT インフラストラクチャは、ネットワーク経由でホストされるさまざまなテクノロジで構成されているため、脅威レベルの増加に直面する複雑な環境になっています。 IT システムとそれらが処理する重要なデータは、デジタル攻撃とオンサイト攻撃の両方に対して脆弱になる可能性があります。 セキュリティ ポリシーと手順を適切に適用すると、リスクを軽減し、損害を制限し、回復作業を高速化できます。 インフラストラクチャに関連付けられている脅威ベクトルの一覧を次に示します。
- 物理的なセキュリティ
- レガシ ソフトウェア
- 既定の構成
- 暗号化の欠如
- ネットワークのセグメント化の欠如
- マルウェア、分散型サービス拒否攻撃、Web アプリへの攻撃
- 適切に実装されていないセキュリティ ポリシーと手順
物理的なセキュリティ
物理的なセキュリティは、サイトとワークスペースを保護するために確立されたシステムとテクノロジと呼ばれます。 物理的なセキュリティは、IT インフラストラクチャ セキュリティの拡張と見なすことができます。 攻撃者がセキュリティをバイパスし、オフィスのオンプレミスに不正アクセスした場合、ネットワークに簡単に接続し、リソースに完全にアクセスできます。 また、機器の盗難のリスクも高まります。
レガシ ソフトウェア
レガシ システムは、ソフトウェアまたはハードウェアに以前のテクノロジが使われているために、そのように呼ばれています。 レガシ システムとソフトウェアには特定の制限があるため、脆弱性が存在する可能性があります。 これにより、次の理由で大規模なセキュリティ リスクが発生します。
- 最新のテクノロジとの統合は難しい場合もあれば、まったく不可能な場合もあります。
- ソフトウェアはベンダーによってサポートされなくなった可能性があるため、通常のセキュリティ更新プログラムは利用できません。
既定の構成
既定の構成は事前に定義された設定であり、多くの場合、新しいデバイスまたはソフトウェアの製造元によって修正されます。 たとえば、新しい Wi-Fi のインストールに付属する既定の設定とパスワードは、セキュリティで保護された接続用に構成およびカスタマイズする必要があります。 これらの既定の構成は、多くの場合正しく構成されておらず、不要です。 不要なサービスを実行すると、システムとアプリケーションの脆弱性が高くなります。 これにより、不正アクセスのリスクが生じます。
暗号化の欠如
暗号化は情報を隠すかエンコードするプロセスであるため、アクセスには特別なコードまたはキーを使用する適切な受信者のみがアクセスできます。 暗号化の欠如は、データ侵害や潜在的な財務上の損害につながる可能性があります。 ただし、強力な暗号化は、デバイスや機密情報が誤った手に渡った場合でも保護を強化します。
ネットワークのセグメント化の欠如
ネットワークのセグメント化は、トラフィックのフローを制御するために、コンピューター ネットワークを複数のセグメントまたはサブネットワークに分割する方法です。 各セグメントは独自の小さなネットワークとして機能し、組織に制御を強化し、ネットワーク内の悪意のあるアクティビティをタイムリーに検出できるようにします。 セグメント化の欠如により、ネットワークが危険にさらされます。 たとえば、攻撃者がセグメント化されていないネットワークにアクセスする場合、組織内で横方向に広がることが簡単です。
マルウェア、分散型サービス拒否攻撃、Web アプリへの攻撃
マルウェア、分散型サービス拒否 (DDoS) 攻撃、または Web アプリケーション攻撃によるインフラストラクチャに対する脅威は、引き続き出現しています。 これらの攻撃の唯一の目的は、日常的な操作の中断、データの盗難、または不正アクセスの取得です。 マルウェア、DDoS、または Web アプリケーション攻撃は、次のように定義できます。
- マルウェアは悪意のあるソフトウェアであり、インストールするとコンピューターやネットワークに損害を与える可能性があります。 これは、メールの添付ファイル、リンク、または悪意のある Web サイトを介してインターネット経由で広がっています。
- 分散型サービス拒否 (DDoS) 攻撃は、インターネット トラフィックのオーバーフローによってアプリケーションのリソースを大量に使用してネットワーク サービスを中断することを目的として Web サイトとサーバーを標的にします。
- Web アプリは、Web ブラウザーで実行されるコンピューター プログラムです。 Web アプリケーションは、Web サーバーおよびデータベース サーバーと通信します。 これにより、ユーザーは Web サイト内の Web ページを操作できます。 Web アプリケーションに対する攻撃があった場合、Web サーバーとデータ サーバーが公開され、侵害される可能性があります。
適切に実装されていないセキュリティ ポリシーと手順
セキュリティ ポリシーと手順は、組織のリソースを保護するために IT チームによって承認された規則のセットです。 セキュリティ ポリシーの例を次に示します。
- 画面クリアのポリシー: これにより、すべてのユーザーがワークステーションを離れるときに画面をロックする必要があります。許可されていないアクセスを防ぐために、長時間席を外すときにはログオフすることをお勧めします。
- デスク クリアのポリシー: ユーザーが、ドキュメントや USB や記憶装置などのコンピューター メディアをデスクに無人の状態で置いておかないようにします。 機密情報や機密情報が漏洩して不正な手に渡らないように、作業領域をできるだけ明確にしておく必要があります。
- インターネットとメール ポリシー: インターネットを閲覧するときにすべてのユーザーが常に注意深くあり、メールの使い方が安全であることを確認するようにします。 たとえば、ユーザーは悪意のあるリンクや添付ファイルをクリックして転送しないようにする必要があります。 セキュリティ侵害を防ぐには、疑わしいメールの報告、送信前に機密情報を暗号化すること、個人用の用事で仕事用メールを使用しないようにする必要があります。
- パスワード ポリシー: これにより、ユーザーは強力なパスワードを使用して定期的に変更することが推奨されます。 誰もがアクセスできるようにパスワードを共有したり書き留めたりすることがないよう明示しています。
- 情報共有ポリシー: これには、データと情報共有に関する一連のルールが含まれます。 これは、正当な共有と、個人情報と財務情報の保護を重視しています。 また、機密情報を扱うときに、期待される基準が満たされていることも保証されます。
セキュリティ ポリシーを実装できず、重要な手順を見落とす場合、組織が不要なリスクにさらされる可能性があります。