IPAの「年末年始の注意喚起」を深堀り 意外と怠ってしまう重要ポイントとは？

2024年度　年末年始における情報セキュリティに関する注意喚起（出典：IPAのWebサイト）

　2024年も年の瀬を迎えました。セキュリティにおいて、年の瀬といえば……と思いながらネタを探していたのですが、どうもしっくりくるものが浮かびません。

　例えば、情報処理推進機構（以下、IPA）は、年末年始に限らず夏季休暇やゴールデンウィークに、定期的に注意喚起をしています。つい先日もその案内が公開されました。こちらは皆さんもチェックしているでしょうか。今回はこのIPAの注意喚起を掘り下げていこうと思います。

●IPA恒例、年末年始の注意喚起　スルーされがちだけど実は大事なポイント

　IPAの注意喚起は、年末年始においては「システム管理者が長期間不在になるなど、いつもとは違う状況になりがちです」と述べており、これこそが私たちが気を付けるべきポイントです。

　特に2020年以降はテレワークが当たり前となり、PCを持ち出すことや従業員個人のPCを仕事に使うなどのシーンが増えてきています。忘年会にPCを持ち出すなとしている企業がほとんどですが、従業員目線では「自分だけは大丈夫だ」と思い込んでいるものです。いま一度、しっかりと原則を守ることを（表向きだけでも）考えていただければと思います。

　ただ少し気になるのは、IPAは毎年年末年始にこのような注意喚起を公開していますが、前年との違いはあるのでしょうか。そう思って確認してみたところ、実はほとんど内容は変わっていませんでした。これはIPAに対して何か言いたいというわけではなく、ここ数年のサイバー攻撃手法やセキュリティ対策に（もちろん細かい点はありますが）変化がないと捉えられるでしょう。筆者としてこれは、いい兆候だと思っています。

　もう少し掘り下げて考えてみると、注意喚起で述べられることの多い対策手法に変化がないとなると、それは「対策は進んでいないため、昔ながらの攻撃が今も有効」という捉え方もできるでしょう。同じくIPAの「情報セキュリティ10大脅威」では、その順位もさることながら、登場している脅威が「N年連続X回目」と毎年同じ顔ぶれであることが気になっています。これも、対策が進んだとしたら脅威レベルも変わるはずなのですが、やはり、それは簡単なことではないようです。

　もちろん同じ脅威でも手法に変化があれば、対策もアップデートが必要でしょう。例えばランサムウェア「WannaCry」やマルウェア「Emotet」、OpenSSLで見つかった脆弱（ぜいじゃく）性「Heartbleed」などは短い期間で大きな被害を上げました。