2025 年 4 月 14 日 Gwenydd Way 著

セキュアな基盤づくりとガーデニングの共通点

強固なサイバーセキュリティを築くには、派手なツールや映画のような大げさな指令室は必要ありません。セキュリティの基本をしっかり実践することが最も効果的です。ガーデニングのように健全な習慣を継続することで根が深く張り、嵐が来たときにもビジネスを守ってくれます。

この記事では、小規模な MSP から中規模企業まで、あらゆる組織が今日から実践できる、安全のための 5 つの基本的な習慣をご紹介します。

1. 多要素認証（MFA）：家の鍵
   率直に言って、保護のためにはパスワードだけでは不十分です。攻撃者はフィッシングからクレデンシャルスタッフィングまで、あらゆる手段で侵入を図ってきます。MFA（多要素認証）は、そうした侵入に対して第一の防衛線となる追加レイヤです。たとえパスワードが漏れても、それだけでは突破できなくなります。
   事実、マイクロソフトの調査によると、MFA の導入によってアカウント乗っ取り攻撃の 99.9% 以上を防ぐことができるとのことです。メールアカウント、管理コンソール、VPN、クラウドプラットフォームなど、インターネットにつながるものにはすべて MFA を適用すべきです。
2. ハッカーに先んじたパッチを
   パッチが適用されていないシステムは、攻撃者にとっては招待状のようなものです。実際ある調査では、脆弱性が公の場に出てからわずか 15 日以内には悪用の可能性があると報告されています。
   植物に定期的な水やりが必要なように、システムにも定期的なパッチ適用が不可欠です。特に重要なシステムのパッチは優先して行いましょう。自動化されたパッチ管理ツールは強力な補助ツールで、優れた脆弱性スキャン体制があれば見落としも防げます。
3. 「Company123」の使い回しは禁止 ― 強力なパスワードポリシーの徹底
   長年にわたって警告され続けてきたにもかかわらず、Verizon DBIR によれば、ハッキングに関連する侵害の 81% が脆弱なパスワードや盗難されたパスワードによるものであるとされています。これは単にユーザの問題ではなく、ポリシーの問題です。
   植物にはそれぞれに見合った特有の世話が必要なように、パスワードポリシーにも定期的な見直しと工夫が求められます。パスワードの長さや複雑性の要件を設け、ログインごとに異なるパスワードの使用を促し、パスワードマネージャの導入をサポートしましょう。もし、いまだに「ID：admin　パスワード：admin」のようなデフォルト認証情報を使っている旧式のシステムがあれば、それを廃止することも大事です。
4. デバイスの衛生管理：エンドポイントを安全に、かつ監視を絶やさない
   エンドポイントは、デジタル世界の「園芸用具」です。極めて重要であるにもかかわらず、異常が見つかるまで放置されがちです。EDR ツールは、不審な挙動を検出し、脅威の拡散を食い止めてくれます。
   これは、かつてないほど重要な要素になっています。企業がマルウェア攻撃で被る平均損害額は現在 260 万ドルを超えています。エンドポイントが管理されていない場合、この数値はさらに跳ね上がります。
   デバイスの強化方針を定め、従業員の退職時には速やかにデバイスを無効化し、エンドポイントの可視性を常に優先事項としましょう。
5. 最小権限の原則：道具小屋には鍵をかける
   社内の誰もが管理者権限を持つ必要はありません。最小権限の原則を適用することで、内部の手違いによるリスクを減らし、万が一アカウントが乗っ取られても影響を最小限に抑えられます。
   これは単なる「ベストプラクティス」ではなく、リスク削減において非常に強力な手法です。2023 年の Verizon DBIR によれば、侵害の 74% はヒュマンエラーに起因しており、その中には権限の乱用も含まれています。アクセス権限を厳しく管理することは、露出を減らし、セキュリティの成果を高めるもっともシンプルで効果的な方法の一つです。
   即効性のある対策であり、より安全でリスクの少ない攻撃対象領域を実現する第一歩でもあります。

セキュアな未来を育てる

上記のような基礎的な対策は、話題にはなりにくいかもしれませんが、その効果は非常に大きなものです。実際、今日起きている多くの侵害は、パッチ未適用、脆弱なパスワード、過剰な権限といった「避けられたはずの落とし穴」が原因となっています。
これら 5 つの取り組みは、安全なエコシステムを育てるための「種」と考えてください。こまめに世話をすることで、サイバーセキュリティ体制はより強く、健全に、そしてレジリエンスのあるものへと成長していきます。

結論：継続的な安全のために、今日から正しいセキュリティの種をまきましょう。
より強固でレジリエンスのあるセキュリティ体制は、基本の徹底から始まります。そして、それを育てるのは早ければ早いほどいいと言えます。

関連リソース：
AuthPoint による多要素認証
ゼロトラストと AI でアラートの精度を強化、セキュリティを高める
ハイブリッドワーク時代のゼロトラスト実践方法（英語）