なぜ、「ソフトウエアのアップデート」が必要なの？：セキュリティ、いまさら聞いてもいいですか？（2）（4/4 ページ）

» 2015年11月16日 05時00分公開

修正プログラムを適用できない場合の対応

今は決算の時期なので、不具合が発生すると困ります。修正プログラムの適用を少し延期したいのですが、何か良い方法はありますか？

インターネットからの遮断やファイアウオールの使用など、別の方法で攻撃を防ぐことができるのであれば、その対応を行うことも一つです。ただし、これは簡単ではありません。

　修正プログラムが提供されていることは分かっているけれども、業務の都合上、どうしても今は適用できない、ということがあります。ソフトウエアのサポート期間が終了してしまって、次のソフトウエアへの移行作業中である、ということもあります。あるいは、ソフトウエアを開発した会社が突然倒産してしまい、修正プログラムが提供されなくなった、などという場合もあるでしょう。

　このような場合、ある一定期間だけ修正プログラムの適用を遅らせるということも検討しなければなりません。しかし、この状態でインターネットに接続してしまうと、攻撃を受ける可能性があります。そこで、修正プログラムを適用しなくても、とりあえず攻撃を受けない状態を作る必要があります。

　一番簡単なのは「インターネットに接続しない」ということです。インターネットに接続しない限り、たとえ脆弱性があっても外部から攻撃を受けることはありません。ただ、インターネットに接続しないと仕事にならない場合も多いでしょう。また、対象のソフトウエアがサーバー用のものであれば、インターネットに接続しないということは考えられないかもしれません。

　この場合、「インターネットには接続するが、対象の脆弱性を狙った攻撃は受けない」状態にする必要があります。脆弱性の内容が公表されていれば、その内容を確認して、攻撃が成立しないようにコンピューターなどの設定を変更します。ファイアウオールなどで通信を拒否できるのであれば、そのような機器を利用するのも一つの方法です。

　しかし、こういった対策をコンピューターに詳しくない方が実施するのは、難しいと言わざるを得ません。どうしても適用を延期したいのであれば、社内の情報システム担当者など、信頼できる専門家に相談するのが望ましいでしょう。

脆弱性が原因で攻撃を受けてしまった場合はどうすれば良いですか？

警察や弁護士、セキュリティ専門機関などに連絡しましょう。

　攻撃を受けたことに気付いた、もしくは何らかの被害が発生した場合、まずは警察や弁護士に連絡することが最優先です。「攻撃を受けているかどうかよく分からない」という場合は、IPAの「情報セキュリティ安心相談窓口」などに相談するというのも一つの方法です。

　また、全てを自分たちで解決しようとはせず、「セキュリティの専門家に調査を依頼する」ことも検討します。自分たちで解決しようとしていろいろと触ってしまううちに、調査に必要なログが消えてしまい、証拠がなくなってしまう可能性などもあるからです。

　また、第1回でも触れましたが、「ゼロデイ攻撃」のように、ソフトウエアが修正されるよりも前に攻撃が行われるケースも増えています。修正プログラムの適用を欠かさないのと同時に、あらかじめ攻撃を受けることを想定し、対応のルールを決めておきましょう。避難訓練のように、攻撃を受けた状況を想定した対応の訓練を普段から行っておくことが重要です。