エンドポイントはサイバー攻撃対策における「最後の砦」、ウィズセキュアに聞く対策の重要性とは

巧妙化するサイバー攻撃は、企業規模に関わらない問題であり、事業継続をも脅かす大きなリスクとなっています。しかし、中堅・中小企業ではリソースや知識不足の問題で十分な対策が実施できないといった課題があるのが現状です。

今回は、ヨーロッパ発のセキュリティベンダー、ウィズセキュア株式会社の代表執行役員社長、藤岡氏にインタビューを実施。ヨーロッパと日本のセキュリティ意識の違いから、エンドポイントセキュリティの重要性、今後のサービス展開まで幅広くお話を伺いました。

— ウィズセキュアが、特に日本のSMB市場に注力する理由は何ですか？ 日本のSMB市場に特有の課題があるとお考えでしょうか？

日本の中堅・中小企業は大企業と比較してセキュリティのための予算や人的リソース、知識が不足しているのが現状です。そのため高度なサイバー脅威への対応が遅れがちです。また、サプライチェーン攻撃の踏み台として狙われるリスクも高まっています。

事業継続のためにもセキュリティ対策は必須となりますが、前述の通り、特に中堅・中小企業予算は人的リソース、知識不足で対策がなかなか進まないといった課題があります。ウィズセキュアはそのような企業が無理なく理解／実践できるソリューションを提供することで、セキュリティ対策を支援したいと考えています。

— ヨーロッパ諸国と比較して日本のSMBにおけるセキュリティ意識にはどのような違いがありますか？

ヨーロッパ諸国と比較して日本の企業のセキュリティ意識は発展途上であると感じています。“エンドポイントを保護していれば全て安全”と考えてしまうなどがその一例です。ヨーロッパはGDPR^※やNIS2^※などの厳しい規制があり、企業はそれらへの準拠の必要性から、一定のセキュリティを確保する必要があります。日本ではセキュリティへの意識は徐々に向上しているものの、やはり予算や人的リソースの問題から後れをとっているのではないかと考えられます。

^{※GDPR（General Data Protection Regulation：一般データ保護規則）EU域内に適用される法令で、個人データ保護やその取り扱いについて詳細に定められている。}

^{※NIS2（Network and Information Systems Directive：NIS指令）企業に対してセキュリティを規定するEU指令。各国の法律のもとで施行し目標を達成するもの。}

— 日本のSMBのセキュリティのニーズに対して、どのようなアプローチでサービス開発・提供を考えていますか？

ウィズセキュアでは「セキュリティの課題はサービスプロバイダーもユーザーも単独では解決できない」というコンセプトに基づき、「コ・セキュリティ（共同セキュリティ）」のアプローチを実践しています。これはベンダー、パートナー企業様、お客様、業界コミュニティといった全てのステークホルダーが協力し、対策を進めていくというものです。

卓越した製品とサービスを提供するウィズセキュア、お客様のIT環境の改善に向けて真剣に取り組んでいるパートナー企業様、事業の継続性と効率化を念頭においたお客様の方針、この3つが緊密な連携をとっていくことが、「コ・セキュリティ」の考え方そのものなのです。

— 日本のSMB向けエンドポイントセキュリティ市場における、ウィズセキュアの強みや独自性について教えてください。

ウィズセキュアは、セキュリティサービスを統合的に管理できるプラットフォーム WithSecure Elements を提供しています。このプラットフォームは、パートナー企業が自社のサービスと組み合わせて提供できるという特徴があります。

ウィズセキュアは1988年の創業以来培ってきた経験と脅威リサーチャーの知見を製品開発にフィードバックしてきました。また、AI研究にも早くから着手し、その成果を製品・サービスに応用しています。これらの取り組みを通じて、お客様にとってわかりやすく、クオリティの高い製品・サービスの提供につなげています。

— 現在、日本のSMBをターゲットとしたサイバー攻撃で、最も懸念すべき脅威は何でしょうか。

中堅・中小企業は日和見的な攻撃で被害を受けることが多数見受けられます。また、大企業を狙ったサプライチェーン攻撃では、取引先である中堅・中小企業が踏み台にされるケースも増加しています。攻撃者は、フィッシングやビジネスメール詐欺などの攻撃を仕掛け、中堅・中小企業に侵入しようとします。

— これらの脅威において、特に「エンドポイント」が狙われる具体的な手口や傾向について教えてください。

従業員がフィッシングメールに添付された不正なファイルを開いたり、URLをクリックしたりすることで、エンドポイントがマルウェアに感染するケースが挙げられます。また、OSやソフトウェアの脆弱性を突いてエンドポイントに侵入されるケースもあります。

中堅・中小企業では専任のIT部門や管理者が設けられていないことが多く、自社のインフラ対策や従業員教育が徹底できていないなどセキュリティ対策が疎かになりがちです。

— ウィズセキュアが観測している中で、日本のSMB特有のセキュリティ上の弱点や、攻撃者に狙われやすいポイントがあれば教えてください。

基本的なセキュリティ対策が不十分であると感じています。例えば、OSやソフトウェアのアップデートが正しく行われていないことや、パスワードの使い回しなどが挙げられます。また、上記のとおり、専任のIT部門や管理者が不在であるがゆえに、従業員個人のITリテラシーに依存することも問題となっていると考えています。

— SMBにとって、なぜ「エンドポイントセキュリティ」が重要だとお考えですか？

エンドポイントは、サイバー攻撃における「最後の砦」です。強固なシステムを構築していても、エンドポイントがマルウェアに感染するとそこから被害が拡大する可能性があります。

エンドポイントはフィッシング、USBなどの物理デバイス、Webサイトからのダウンロードなど、さまざまな経路で攻撃を受ける可能性があります。コロナ禍で普及したリモートワークにより社外からエンドポイントを通じて社内ネットワークにアクセスする機会が増加したこともセキュリティリスクを高める要因となっています。

— 近年のエンドポイントセキュリティの技術的なトレンド（EDR、 XDR、AI活用など）について教えてください。また、SMBはこれらのトレンドにどう対応すべきでしょうか？

トレンドに惑わされず、シンプルかつ効率的に管理できる環境を目指すべきだと考えます。近年、企業は新しい脅威に対抗するため、対症療法的に新しいセキュリティ製品を次々に導入する傾向があります。しかしその結果管理が複雑化し、運用が不十分になってしまうケースが多くみられます。WithSecure Elements は必要な機能を必要な期間使用できるシングルインターフェースのプラットフォームです。管理の点でもお客様に大きなメリットをご提供することができます。

— 従来のアンチウイルスソフトだけでは不十分と言われる理由と、SMBが必要とする「次世代のエンドポイントセキュリティ」の要件について、どのようにお考えですか？

従来のEPPだけではパッチ管理が不十分であり、全ての侵入や攻撃を防ぐことは不可能です。EDRは攻撃を受けた際にアラートをあげ、適切な対応方法を示すことで被害の拡大を最小限に抑えることができます。現在の脅威環境において、EPPとEDRを両方とも導入することが、脅威に対する備えとして最低限必要になると考えています。

— 今後、SMBを狙うサイバー脅威はどのように変化していくと予測されますか？ また、それに伴いエンドポイントセキュリティはどのように進化していくと考えられますか？

今後は、今まで以上に大企業と中堅・中小企業の区別なく、あらゆる企業がサイバー攻撃の標的となっていくことが考えられます。また、攻撃と防御の両面において、AI技術の活用が進んでいくと想定されます。その際、AIによってEPPとEDRが包括されていくのではないでしょうか。

また、「ヒトがセキュリティにおける最大の脆弱性である」と言われるように、教育によるセキュリティ意識の底上げが必須になると考えています。

— ウィズセキュアとして、今後日本のSMB向けにどのようなサービス開発や機能強化を計画していますか？

EPP・EDRを超えた、中堅・中小企業に特化したマネージドサービスの提供を予定しています。また、パートナー企業を通じて、エクスポージャー管理（オンライン上のリスク管理）を包括的に行う、Exposure Management を提供していく計画です。

— SMBが陥りやすいセキュリティ対策の「落とし穴」や、よくある誤解があれば教えてください。

「当社は大企業ではないから攻撃されるわけがない」や「ウチには守るようなデジタル資産はない」と考えてはいけません。

日和見攻撃においては様々な規模や業種の企業がターゲットとなります。また、一度サイバー攻撃の被害に遭うと、知らず知らずのうちに取引先や関連会社などへの「加害者」となってしまう可能性があります。事業継続のためには最低限のセキュリティ対策を講じることが必要不可欠です。

— 最後に、日本のSMBの経営者やセキュリティ担当者に向けて、ウィズセキュアとして伝えたい最も重要なメッセージをお願いいたします。

ウィズセキュアの目指す「コ・セキュリティ」はお客様の環境を熟知するパートナー企業の存在なくしては実現できません。USEN ICT Solutionsはウィズセキュアが毎年贈呈するパートナーアワードにおいて、総合的に最も活躍されたパートナーである、Japan Best Partner of the Year 2024を受賞されています。ウィズセキュアは引き続きUSEN ICT Solutionsとともに、お客様をサイバー脅威から保護するサービスを提供してまいります。