年末年始はWebの閲覧や短縮URLに注意して――JPCERT/CC

JPCERT コーディネーションセンターは、年末年始の長期休暇におけるセキュリティ対策のチェックポイントを発表した。

[國谷武史，ITmedia]

　JPCERT コーディネーションセンター（JPCERT/CC）は12月16日、企業のシステム管理者や一般社員を対象に、年末年始の長期休暇におけるセキュリティ対策の確認事項を発表した。

　JPCERT/CCは、近年Webを媒介にしたマルウェア感染などのセキュリティインシデントが多発していることを受けて、長期休暇中は特にWeサイトの閲覧に注意するよう呼び掛けている。中でもソーシャルサービスなどで頻繁に利用される短縮URLは、実際にアクセスする先のURLが一見しただけでは分からないため、細心の注意を払う必要がある。

　アクセス先が攻撃者の用意する不正サイトである場合も多い。不正サイトは、ユーザーのコンピュータに存在する脆弱性を悪用してマルウェアに感染させるなどの攻撃を仕掛ける。JPCERT/CCは、OSやアプリケーション、ウイルス対策ソフトを最新の状態に更新して、攻撃を受ける可能性を低減してほしいとコメントしている。

　また、JPCERT/CCは長期休暇前後の確認事項として次の内容を紹介している。

休暇前：システム管理者向け

• ベンダーのサポートが切れているOSやソフトウェアを使用し続けていないか確認する
• 最新のセキュリティ更新プログラムが適用されていることを確認する
• 不要なサービスを無効にしているかどうか確認する
• 各種サービスへのアクセス権限を必要最低限に設定する
• 休暇時の業務遂行のために特別にシステムなどへのアクセス制御を変更する場合、通常の状態に戻す手順やスケジュール、およびそれに合わせた監視体制が整備されているか確認する

休暇前：一般社員や職員向け

• 最新のセキュリティ更新プログラムが適用されていることを確認する
• 不要なプログラムがインストールされていないか確認する
• 名前や生年月日、電話番号、アカウントと同一のものなど、容易に推測できる脆弱なパスワードが設定されていないか確認する
• データを持ち出す際には、組織のポリシーに従い、その取り扱いや情報漏えいに細心の注意を払う

休暇後：システム管理者向け

• 導入している機器やソフトウェアについて、休暇中にセキュリティ更新プログラムが公開されていないかどうか確認し、更新プログラムが公開されていた場合は、更新プログラムを適用する
• 一般社員、職員に対して、休暇中に持ち出していたPCを組織内のネットワークに接続する前に、ウイルスチェックするように周知する（確認用のネットワークを別途用意するなど）

休暇後：一般社員や職員向け

• 休暇期間中に持ち出していたPCやUSBメモリは、事前にウイルスチェックを行った上で使用する
• USBメモリは、自動実行機能を停止した上でPCに接続し、ウイルス対策ソフトでUSBメモリ内のファイルをウイルスチェックする
• 社内ネットワーク経由でウイルス感染が拡大した場合を考慮し、出社後すぐにウイルス対策ソフトの定義ファイルを最新の状態に更新する

　このほか、緊急連絡網の整備や確認、不要なシステムの電源オフの徹底などもポイントになる。JPCERT/CCは、セキュリティインシデント発生時に関係機関と調整を行う業務を担当しており、インシデントに関する情報の提供も求めている。

企業向け情報を集約した「ITmedia エンタープライズ」も併せてチェック

過去のセキュリティニュース一覧はこちら