中小企業向けサイバーセキュリティの基本、シンプルに説明

ほとんどの中小企業はセキュリティオペレーションセンターを必要としません。5つのことを正しく行い、それを行ったことの証拠を持つことが必要です。これがCyber Essentialsの全体的な前提です。Cyber EssentialsはIASME Consortiumを通じてNCSCの代理で運営される英国政府が支援する認証スキームです。費用が安く、基本レベルでは自己評価で済み、実際に中小企業に影響を与える攻撃、つまりフィッシング、認証情報の盗難、パッチが当たっていないソフトウェア、設定ミスのあるファイアウォールに直接対応しています。

5つのコントロール、無駄なし

Cyber Essentialsは正確に5つの技術領域をチェックしており、質問票はそれらを中心に構成されています。

• ファイアウォールとルーター — 境界デバイスはデフォルトパスワードを変更し、不要なサービスを閉じてください。
• セキュアな設定 — デフォルトの管理者アカウントを有効なままにせず、マシンに不要なソフトウェアを置かず、マルウェアがクリックなしで実行できる自動実行機能を無効にしてください。
• ユーザーアクセス制御 — アカウントは最小権限の原則に従うべきで、管理者権限は日常的なアカウントとは分離し、誰かが退職した場合にアクセスを削除するプロセスを用意してください。
• マルウェア対策 — すべてのデバイスにはマルウェア対策ソフトウェア、アプリケーションホワイトリスト、またはサンドボックスが必要で、設定を忘れたマシンだけではなく、一貫して適用されてください。
• セキュリティアップデート管理 — 高またはクリティカルの脆弱性のパッチはリリースから14日以内に、オペレーティングシステム、ブラウザ、企業が使用するインストール済みアプリケーションすべてに適用されてください。

この14日のパッチ適用期間が最もつまずきやすい部分です。これは