近年話題のマルウェアEmotet。感染力の高さとその感染経路の厄介さから、スピーディーに拡大していっているようですが、ISO27001によってEmotetは防ぐことができるのでしょうか。

今回は、ISO27001で構築したISMSではどのようにEmotetを防ぐことができるのかということについてご紹介していきたいと思います。

Emotetとは

Emotetとは、Word形式のファイルに記述されたマクロを有効化することで感染するマルウェアのことです。感染すると以下のような影響が発生する可能性があります。

– 端末やブラウザに保存されたパスワード等の認証情報が窃取される
– 窃取されたパスワードを悪用され SMB によりネットワーク内に感染が広がる
– メールアカウントとパスワードが窃取される
– メール本文とアドレス帳の情報が窃取される
– 窃取されたメールアカウントや本文などが悪用され、Emotet の感染を広げるメールが送信される
JPCERT

Emotetの厄介な点は、その観戦経路の拡大方法にあります。例えば取引先のPCに感染すると、そこからメールアカウントを乗っ取り、そのメールアカウントからマルウェアに感染させるためのWordファイルを添付してメールを送信するのです。

つまり、皆さんのパソコンがEmotetに感染してしまうと、取引先や社内の人間に皆さんのメールアドレスからウイルスが送信されてしまうことになります。

Emotetの事前知識を持っていなければ、「取引先からの添付ファイルだと思ってWordファイルをダウンロードして開いてしまった」なんてミスは簡単に起こり得てしまいます。

累計ダウンロード5,000件突破!ISO27001丸わかり説明資料

EmotetはISMSで防ぐことができるのか

ISMSはあくまでマネジメントシステムであるため、Emotetの情報を事前に得ていなければそれだけに頼って感染を防ぐことは難しいでしょう。なぜなら、マネジメントシステムはPDCAサイクルを回して継続的にセキュリティを改善していく仕組みです。このため、どうしても最新のマルウェアに対しては泥縄式にならざるを得ないのです。

——しかし、ISO27001はウイルスの感染を防ぐためにあるだけのマネジメントシステムではありません。

どういうことかと言うと、ウイルス感染などの問題があったときに、その被害を最小にすることができるのです。

情報セキュリティリスク対応とは

ISO27001の要求事項には、「情報セキュリティリスク対応」という項があります。この情報セキュリティリスク対応とは、新しい情報リスクに対応し続けるための計画のことで、ISO27001によるISMSを構築するにあたっては、この計画を文書化し、保持することが求められます。

情報セキュリティ対応は、「情報漏えいや改ざんを0にする」というアプローチではなく、「情報インシデントが発生したときに被害を最小限に留める」ことを目的としたものです。

Emotetの例で言うと、「ウイルスに感染したメールを開封しない」のではなく、「開封は起こってしまうものとして(※もちろん、開封しないに越したことはありませんが)、開封しても被害を最小限に留めるようにマニュアルを整理しておく」というアプローチになります。——例えば、社内の二次感染を防ぐために「全社でマクロの利用を一旦停止する」であるとか、「取引先に対して開封しないように連絡を入れる」といった対応策を予め考慮しておくだけでもインシデントの被害は縮小することができます。

累計ダウンロード5,000件突破!ISO27001丸わかり説明資料

事前に防ぐことができるマネジメントシステムとは

——とはいえ、Emotetのように感染範囲が大きいウイルスのようなシステムであれば、自社のPCやデバイスが感染する前に事前に対策を取ることができるかもしれません。

そのためには、最新の情報をキャッチできるマネジメントシステムを構築し、それを管理策に組み込んでおく必要があります。例えば以下のようなサイトをチェックしておくことで、事前に対策をすることができるかもしれません。

IPA

https://www.ipa.go.jp/security/

ICT-ISAC

https://www.ict-isac.jp/

JPCERT

https://www.jpcert.or.jp/

累計ダウンロード5,000件突破!ISO27001丸わかり説明資料
  • 無料資料 | ISO27001・Pマーク導入 徹底解説
  • 『ISO27001・Pマークを網羅的に分かりやすく』をコンセプトに、ISOコンサルタント監修のもとISO27001・Pマークについて図解などを交え詳細に解説しています。分かりやすいというお声も多くいただいていますので、ぜひ御社でご活用ください。
  • 必須ご担当者様名
  • 必須電話番号
  • 任意会社名
  • 任意メールアドレス
  • 必須個人情報の取り扱い
    (個人情報保護方針を読む)

ISOプロでは月額4万円から御社に合わせたISO運用を実施中

ISOプロではISO各種の認証取得から運用まで幅広くサポートしております。

また、マニュアル作成など御社に合わせたムダのない運用を心がけており、既に認証を取得しているお客様においてもご提案しております。

サポート料金においても新プランを用意し、業界最安級の月額4万円からご利用いただけます。

ISO27001、40,000円/月から作業工数ほぼ0実現!ISO新規取得・運用完全サポートならISOプロ