CrowdStrike Blog:テレワーク時の安全確保のカギはコミュニケーション ~ CrowdStrike CSO から皆様へ | ScanNetSecurity
2024.03.28(木)

CrowdStrike Blog:テレワーク時の安全確保のカギはコミュニケーション ~ CrowdStrike CSO から皆様へ

CrowdStrikeのCSOとして、社内のセキュリティ確保のために重要なのは、当社のすべてのチームとの頻繁かつオープンなコミュニケーションを行い、彼らが組織として、また個人として、日々直面する脅威を認識し、それに対する準備を行えるようにすることです。

国際 海外情報
CrowdStrike Blog:テレワーク時の安全確保のカギはコミュニケーション~CrowdStrike CSOから皆様へ
CrowdStrike Blog:テレワーク時の安全確保のカギはコミュニケーション~CrowdStrike CSOから皆様へ 全 1 枚 拡大写真
 サイバーセキュリティのプロフェッショナルたちによって、組織の保護機能は日々大きな進歩を遂げています。しかし、世界中のあらゆるテクノロジーをもってしても、ユーザーと資産を完全に保護することはできません。そのためには、個々のユーザーが注意を払い、常に警戒することも必要なのです。このことは現在のコロナウイルス(COVID-19)による危機的状況においても、まったく同じです。これほど多くの企業が、テレワークへの迅速な移行を迫られるなか、注意・警戒・通知は、私たち皆のスローガンとしなければなりません。

 CrowdStrikeのCSOとして、社内のセキュリティ確保のために重要なのは、当社のすべてのチームとの頻繁かつオープンなコミュニケーションを行い、彼らが組織として、また個人として、日々直面する脅威を認識し、それに対する準備を行えるようにすることです。セキュリティリーダーが関係者に連絡を取り、最近の攻撃者グループの活動に伴い増大するリスクに対する警戒を訴えることが特に重要です。

詐欺の手口とソーシャルエンジニアリング

 攻撃者グループらが、人間の感情の1つである「恐れ」を悪用しようとするのは、驚くことではありません。現在、私たちは感情的にも弱くなっています。攻撃者らはそこに目を付けているのです。危機的な状況下において、人は適切な判断ができなくなる傾向にあります。悪質なハッカーや詐欺師らは、そこに付け込もうとします。

 最近では、コロナウイルスの世界的大流行に乗じた詐欺の手口が増加しています。CrowdStrike Intelligenceチームは、その多くの例を収集し、周知しています。ソーシャルエンジニアリングは、企業に侵入するための最も有効な方法であるため、多くの攻撃者に採用される手法です。また、攻撃者らはパンデミックを悪用して、個人情報や企業の知的財産を盗もうとしています。攻撃者らは、COVID-19の最新情報を公開しているように見せかけた悪質なWebサイトやアプリを利用して、マルウェアをユーザーのデバイスに送り込み、ユーザーの情報を盗んだり、デバイスをロックして身代金を要求します。皆が最新のニュースを知りたいと考え、このような戦術に釣られてしまいます。しかし、私たちは恐怖によって判断力を鈍らせるわけにはいきません。私たちが警戒を緩め、このような詐欺に屈すれば、敵の勝ちです。
ソーシャルエンジニアリングでも、最近のテレワークの増加に付け入る隙を狙っています。テレワークする従業員が増えるほど、ソーシャルエンジニアリングのリスクも高まります。同僚と対面することが少なくなった無防備な従業員を騙すのはずっと簡単です。「IT部門」からというその通話は、本当にIT部門からのものでしょうか。「Apple」からのEメールは、本物でしょうか。いったん落ち着いて、自問自答しましょう。その電話やメールの相手は、本当に名乗ったとおりの人物なのか。

オンライン上で安全を確保するための推奨事項

 私たち皆の安全のために、すべてのユーザーに、以下のような注意喚起を行ってください。すでに皆が知っていることかもしれませんが、今はその記憶を呼び起こすべき時だと思います。

・知らない相手からのEメール内のリンクは絶対にクリックしないこと。まずは、リンクを観察してみましょう。信ぜよ、されど確認せよ!

・知らない相手からのEメールの添付ファイルは開かないこと。

・アカウント情報の提供や確認を求める内容のEメールや通話には気を付けること。

・Eメールや自動音声電話で、あなたのユーザー名やパスワード、誕生日、マイナンバー、口座情報などの個人情報を聞かれても、決して応じないこと。

・正当なソースから要求された情報を常に個別に検証すること。

・正当なWebサイトのアドレスを確認して、ブラウザ内に手動で入力すること。

・リンクアドレスに、スペルミスや不正なドメインがないかよく観察する(たとえば、アドレスの末尾が「.gov」であるはずのところ、「.com」となっているなど)。

・送金あるいは情報の送信をする前に、電話やテレビ電話で先方に確認をとる。

・消毒用品や防護具の販売、あるいはCOVID-19の予防、治療、診断、治療のための製品については、偽物に注意すること。

 セキュリティ意識の向上は、被害に遭わないための最良の方法です。攻撃の標的となっている兆候を見つけるには、一般的なソーシャルエンジニアリングの手口を知っておくことが重要です。「自分はソーシャルエンジニアリング攻撃の被害に遭っているかもしれない」と従業員が疑った場合には、ITセキュリティ担当者に連絡できるようなプロセスが整備されていることを確認してください。

 COVID-19に関する正確な最新情報を求めている方向けに、CDC(アメリカ疾病予防管理センター)では広範なガイダンスと情報を公開し、内容を頻繁に更新しています。COVID-19に関する正確な情報ソースとして最適なサイトは、www.cdc.govおよびwww.coronavirus.govです。
CrowdStrike 新型コロナウイルス(COVID-19)とサイバーセキュリティ リソースWebページでも、御社とテレワーカーのセキュリティ確保に役立つ情報を入手できます。

 皆さまの今後の安全をお祈りするとともに、オンラインのご利用および在宅勤務のセキュリティについても十分に注意されることを願っております。これらの困難な時期には、私たちが自分自身の精神面、肉体面、感情面に気を配ることが非常に重要です。CrowdStrikeでは、私たちのお客様の組織とあらゆる場所で勤務されている従業員の皆様を守るために全力を尽くしています。しかし、この嵐を無事に乗り切るには、すべての人の意識と警戒心が不可欠です。

追加のリソース

・CrowdStrikeの既存お客様向けの、新規テレワーカーの安全性確保を目的とした2つの新プログラムについて、是非ご一読ください。

・COVID-19時代のサイバーセキュリティへの対応に関して、CrowdStrikeのCEO、George Kurtzがブログで発信しています。

・COVID-19蔓延時におけるサイバーセキュリティ上の課題や、テレワーカーの安全のための推奨事項に関する詳細については、CrowdStrikeのCTO、Mike Sentonasおよびチーフプロダクト・エンジニアリング・オフィサーのAmol Kulkarniのブログをご覧ください。

*原文はCrowdStrike Blog サイト掲載 :https://www.crowdstrike.com/blog/communication-key-to-keeping-remote-workforce-safe/

《Shawn Henry (CrowdStrike)》

関連記事

この記事の写真

/

特集

PageTop

アクセスランキング

  1. 富士通の複数の業務パソコンにマルウェア、個人情報を含むファイルを不正に持ち出せる状態に

    富士通の複数の業務パソコンにマルウェア、個人情報を含むファイルを不正に持ち出せる状態に

  2. ランサムウェアに身代金を支払う傾向の強い組織の構造が明らかに

    ランサムウェアに身代金を支払う傾向の強い組織の構造が明らかに

  3. 総務省「無線LANセキュリティガイドライン」更新、自宅と公衆に分冊

    総務省「無線LANセキュリティガイドライン」更新、自宅と公衆に分冊

  4. プロ e スポーツ選手のアカウントにハッキング

    プロ e スポーツ選手のアカウントにハッキング

  5. 日東製網へのランサムウェア攻撃、約 1 ヶ月で全システム復旧

    日東製網へのランサムウェア攻撃、約 1 ヶ月で全システム復旧

  6. 時給7,500円 ~ 総務省、非常勤サイバーセキュリティ人材募集 月2時間 霞が関勤務

    時給7,500円 ~ 総務省、非常勤サイバーセキュリティ人材募集 月2時間 霞が関勤務

  7. UDP ベースのアプリケーション層プロトコル実装にサービス運用妨害(DoS)の脆弱性

    UDP ベースのアプリケーション層プロトコル実装にサービス運用妨害(DoS)の脆弱性

  8. 脆弱性診断の新たな選択肢「ちょうどいいレベルの診断」を AeyeScan活用でサービス化 ~ NTTデータ先端技術

    脆弱性診断の新たな選択肢「ちょうどいいレベルの診断」を AeyeScan活用でサービス化 ~ NTTデータ先端技術PR

  9. 「サイバーセキュリティお助け隊サービス」制度に新たに 2 類を創設、価格要件を緩和

    「サイバーセキュリティお助け隊サービス」制度に新たに 2 類を創設、価格要件を緩和

  10. Jenkins に任意のファイルの読み取りが可能となるコマンドラインインターフェース機能におけるアクセス制御不備の脆弱性(Scan Tech Report)

    Jenkins に任意のファイルの読み取りが可能となるコマンドラインインターフェース機能におけるアクセス制御不備の脆弱性(Scan Tech Report)

ランキングをもっと見る