【Q】インターネット接続していない組織内ネットワークでのみ利用している端末にはどのような脅威と対策が考えられるか

脅威

端末がインターネットに接続しない組織内ネットワークでのみ利用される場合でも、いくつかの脅威が考えられます。

• 内部不正 オフライン環境でも、内部の人間による不正行為は脅威となります。たとえば、悪意のある従業員がデータを盗んだり、改ざんしたりする可能性があります.
• 人為的ミス 意図的でなくても、従業員による誤操作や不注意が原因で情報漏洩やシステム障害が発生する可能性があります.
• 物理的な脅威 端末の盗難や紛失により、データが外部に漏洩する可能性があります。また、地震や火災などの自然災害によって、オフライン端末が損傷し、データが失われるリスクもあります.
• サプライチェーン攻撃 組織が利用するソフトウェアやハードウェアの供給元が攻撃を受け、不正なプログラムが混入 されることで、オフライン端末が感染する可能性があります.
• マルウェア感染 オフライン端末であっても、USBメモリなどの外部記憶媒体を介してマルウェアに感染する可能性があります。たとえば、他のネットワークに接続されたPCで感染したUSBメモリをオフライン端末に接続すると、マルウェアが拡散する可能性があります.
• ソーシャルエンジニアリング 攻撃者が従業員を騙して機密情報を入手したり、マルウェアをインストールさせたりする可能性があります.
• メンテナンスの不備 セキュリティ対策ソフトの定義ファイルが更新されない場合や、OSやソフトウェアの脆弱性が放置されたままになっている場合、オフライン端末が攻撃に対して脆弱になる可能性があります.
• 設定ミス ファイアウォールなどのセキュリティ設定が不適切である場合、不正アクセスを許してしまう可能性があります.

対策

これらの脅威からオフライン端末を保護するためには、以下のような対策が考えられます。

• 物理的なセキュリティ対策 端末の設置場所への入退室管理を厳格化する、盗難防止ワイヤーを取り付けるなどの対策.
• アクセス制御 端末へのアクセス権限を必要最小限の従業員に限定し、パスワードを定期的に変更するなどの対策.
• 教育・訓練 従業員に対して、セキュリティに関する教育・訓練を定期的に実施し、セキュリティ意識の向上を図る.
• 定期的なバックアップ データのバックアップを定期的に行い、万が一の事態に備える.
• セキュリティ対策ソフトの導入 オフライン環境でも利用できるセキュリティ対策ソフトを導入し、定期的にスキャンを実施する.
• 脆弱性管理 OSやソフトウェアの脆弱性情報を収集し、修正プログラムを適用する.
• インシデント対応計画の策定 セキュリティインシデントが発生した場合の対応手順を事前に策定しておく.
• ログの監視 端末の操作ログを定期的に監視し、不審なアクティビティを早期に発見できるようにする.
• オフラインでのアップデート ウイルス定義ファイルやセキュリティパッチを、オフライン環境でもアップデートできる仕組みを構築する.
• USBメモリ等の利用制限 USBメモリ等の外部記憶媒体の利用を制限し、利用する場合にはウイルスチェックを義務付ける.
• ゼロトラスト 社内外を問わず、すべてのネットワーク通信を信用できない領域として扱い、すべての通信を検知し認証するという考え方を採用する.

これらの対策を組み合わせることで、インターネットに接続されていない端末に対するセキュリティリスクを低減することができます。

【解説】インターネットに接続していない組織内ネットワークの脅威と対策

近年、高度化するサイバー攻撃から組織を守るためには、ネットワークセキュリティ対策が不可欠です。特に、インターネットに接続していない組織内ネットワークのみを利用する端末は、外部からの攻撃リスクが少ないと思われがちですが、実際には特有の脅威が存在します。1 2 閉域網と呼ばれるこれらのネットワークは、インターネットからの直接的なアクセスを遮断することでセキュリティを確保しているように見えますが、外部からの脅威がないわけではありません。 本稿では、インターネットに接続していない組織内ネットワークの特徴を踏まえ、想定される脅威と具体的な対策、そして対策を実施する上での考慮事項について解説します。

1. インターネットに接続していない組織内ネットワークの特徴

インターネットに接続していない組織内ネットワークは、閉域網とも呼ばれ、外部ネットワークから隔離された環境です。1 インターネットを経由した攻撃を防ぐことができるというメリットがある一方、セキュリティ対策の意識が低く、OSやソフトウェアのアップデートが遅れがちになる傾向があります。2 特に、OSのセキュリティパッチ適用などは、インターネットに接続していない環境では実施が難しく、脆弱性を抱えたまま運用されるケースも見られます。1 閉域網の主な特徴は以下の点が挙げられます。

• 外部からのアクセス制限: インターネットからの直接的なアクセスが遮断されているため、外部からの攻撃リスクを低減できます。1
• 利用者の限定: 業務に必要な関係者のみがアクセスを許可されるため、不特定多数による利用に比べてリスクを抑制できます。1

2. インターネットに接続していない環境における特有の脅威

インターネットに接続していない環境でも、以下の脅威に注意する必要があります。

• USBメモリ等の外部メディア経由のマルウェア感染: 感染したUSBメモリを接続することで、マルウェアが閉域網内に侵入し拡散する可能性があります。1 3
• メンテナンス端末経由のマルウェア感染: ネットワーク機器のメンテナンスや修理のために持ち込まれた端末が感染していた場合、閉域網にマルウェアが侵入する可能性があります。1 4
• ファームウェアへのマルウェア感染: ネットワーク機器のファームウェアにマルウェアが仕込まれている場合、閉域網全体が脅威にさらされる可能性があります。1 4
• 内部不正: 権限を持つ内部関係者による情報漏えいやシステム sabotage などのリスクは、インターネット接続の有無に関わらず存在します。近年、退職者や内部不正によるデータの持ち出しによる情報漏えいのリスクが増加しています。5
• デバイスの持ち出しによる情報漏えい: PCなどのデバイスが盗難・紛失した場合、内部ネットワークの情報が漏えいするリスクがあります。6

3. インターネットに接続していない環境におけるセキュリティ対策

インターネットに接続していない環境でも、多層的なセキュリティ対策を講じる必要があります。7 8 具体的な対策例としては、以下のものがあります。

外部メディアの利用制限

USBメモリ等の外部メディアの利用を制限、もしくはウイルスチェックを徹底することで、マルウェアの侵入を防ぎます。7

メンテナンス端末のセキュリティ対策

メンテナンス端末のウイルスチェックやセキュリティ対策ソフトの導入を徹底し、閉域網へのマルウェアの侵入を防ぎます。9

ネットワーク機器のファームウェア更新

最新のファームウェアに更新することで、既知の脆弱性を修正し、セキュリティリスクを低減します。

アクセス制御

ファイアウォールや侵入検知システム (IDS) / 侵入防御システム (IPS) を導入し、不正アクセスを検知・遮断します。7 3 ネットワークセキュリティキーを強化することも重要です。複雑なパスワードの設定や定期的な更新に加え、WPA3などの暗号化プロトコルを使用することで、データの暗号化レベルを高め、セキュリティを強化します。3

ネットワークセグメンテーション

ネットワークをセグメントに分割することで、万が一マルウェア感染が発生した場合でも、被害範囲を限定することができます。8

ウイルス対策ソフトの導入

最新のウイルス定義ファイルに更新されたウイルス対策ソフトを導入し、マルウェアの感染を防止します。7 3

端末のセキュリティ強化

OSやソフトウェアを最新の状態に保ち、既知の脆弱性を修正します。3

エンドポイントの管理

エンドポイントのセキュリティ対策を強化することで、マルウェアの感染やデータ漏えいを防ぎます。10

ゲートウェイの保護

ゲートウェイのセキュリティ対策を強化することで、外部からの不正アクセスを遮断します。10

定期的なセキュリティ監査とアップデートのインストール

定期的なセキュリティ監査を実施し、ネットワークインフラストラクチャの脆弱性を特定します。また、ソフトウェアとファームウェアの更新とパッチを迅速にインストールすることで、新たに発見された脆弱性や進化するサイバー脅威に対応します。8

物理的なセキュリティ対策

サーバールームへの入退室管理など、物理的なセキュリティ対策も重要です。11

アクセス権限の見直し

定期的にアクセス権限を見直し、必要最低限の権限のみを付与することで、内部不正のリスクを抑制します。12

デバイスの不正接続の防止

マルチファクター認証の導入、不明なデバイスの接続を自動的に拒否する設定、VPNを通じたネットワーク接続の許可など、デバイスの不正接続を防止するための対策を講じます。3

データのバックアップ

Webサイトが改ざん・削除されたり、地震や停電などでデータが消失したりする可能性があるため、データを定期的にバックアップします。3

セキュリティ教育

従業員に対して、セキュリティに関する教育を定期的に実施し、セキュリティ意識の向上を図ります。13 特に、ビジネスメール詐欺などの手口や対策について、具体的に説明することが重要です。

4. 対策の実施における考慮事項

セキュリティ対策を実施する上では、以下の事項を考慮する必要があります。

• コスト: セキュリティ対策には費用がかかります。導入するセキュリティ対策のコストと効果を比較検討し、最適な対策を選択する必要があります。例えば、セキュリティ対策ソフトの導入費用や、セキュリティ対策担当者の雇用費用などを考慮する必要があります。
• 運用負荷: セキュリティ対策を導入すると、運用負荷が増加する可能性があります。運用負荷を軽減できるような対策を選択する必要があります。例えば、セキュリティ対策ソフトの自動アップデート機能や、セキュリティ監視のアウトソーシングなどを検討する必要があります。
• 最新動向: セキュリティの脅威は常に進化しています。最新のセキュリティ動向を把握し、対策を継続的に見直す必要があります。5 最新のセキュリティ動向としては、ゼロデイ攻撃、テレワーク等のニューノーマルな働き方を狙った攻撃、ビジネスメール詐欺による金銭被害（BEC）、元従業員の情報持ち出しによる情報漏えい、ランサムウェアによる被害などが挙げられます。14
• サプライチェーン: サプライチェーン全体でセキュリティ対策が講じられているかを確認する必要があります。取引先のセキュリティ管理状況をチェックリスト等で把握し管理したり、外部からスキャンを行い、侵入できる穴がないかを確認したりするなどの対策が有効です。15
• レガシーシステム: 古いシステムは、攻撃者の標的になりやすい可能性があります。環境全体の中で古いシステムが存在する場所を考慮し、敵意のあるトラフィックの量を制限するなどの対策を講じる必要があります。16
• インシデント報告: セキュリティインシデント発生時の対応手順を策定し、適切な報告や連絡を行うためのエスカレーション先を定めておく必要があります。17 あらかじめ対応マニュアルを作成し、これに従ってエスカレーションを行うことで、被害の拡大を防ぎ、組織の信頼失墜を防ぐことができます。
• セキュリティ前提の契約: セキュリティ対策を契約に含めることで、取引先にもセキュリティ対策を促し、サプライチェーン全体でのセキュリティレベル向上を図ることができます。18

5. 最新のセキュリティ動向を踏まえ、対策を継続的に見直す

セキュリティの脅威は常に進化しており、最新の動向を把握し、対策を継続的に見直す必要があります。5 18

• AI を利用したサイバー攻撃の増加: AI を利用した攻撃は、従来の攻撃よりも高度化・効率化しており、より高度な対策が必要となります。5 19 例えば、AI を利用してマルウェアを作成したり、攻撃シナリオを最適化したりする攻撃が増加しています。
• ゼロデイ攻撃の増加: 修正プログラムが公開される前の脆弱性を突く攻撃が増加しており、迅速な脆弱性対応が求められます。5 14
• ランサムウェア攻撃の増加: ランサムウェア攻撃は、特に中小企業にとって深刻な脅威となっており、適切な対策を講じる必要があります。5 14 18
• ビジネスメール詐欺 (BEC) の増加: 取引先や経営者になりすました詐欺が増加しており、従業員へのセキュリティ教育が重要となります。5 14
• DDoS攻撃の高度化: DDoS攻撃を代行するサービスが登場し、攻撃が容易になっているため、対策が必要です。19
• Living off the Land 戦術: 攻撃者が正規のツールやシステムを悪用する Living off the Land 戦術が増加しており、検知が困難になっています。19

6. 結論

インターネットに接続していない組織内ネットワークは、外部からの攻撃リスクが低いと思われがちですが、実際には特有の脅威が存在します。

組織は、これらの脅威を理解し、適切なセキュリティ対策を講じる必要があります。

具体的には、外部メディアの利用制限、メンテナンス端末のセキュリティ対策、ネットワーク機器のファームウェア更新、アクセス制御、ネットワークセグメンテーション、ウイルス対策ソフトの導入、端末のセキュリティ強化、物理的なセキュリティ対策、セキュリティ教育など、多層的な対策を組み合わせることが重要です。7 8

また、セキュリティ対策は一度導入すれば終わりではありません。最新のセキュリティ動向を把握し、対策を継続的に見直すことで、組織のセキュリティレベルを向上させることができます。5 18

組織は、現状のセキュリティ対策を評価し、必要があれば改善することで、安全なネットワーク環境を維持していく必要があります。

引用文献

1. 閉域網とは？だからこそ必要なセキュリティ対策 | iNetSec blog - PFU, 3月 13, 2025にアクセス、 https://www.pfu.ricoh.com/inetsec/products/blog/blog20009.html
2. 閉域網（閉域ネットワーク）のウイルス対策は必要？セキュリティの重要性 - インテリジェント ウェイブ, 3月 13, 2025にアクセス、 https://www.iwi.co.jp/blog/security/ot_security/20231204-closed-area-network/
3. ネットワークセキュリティとは？不正アクセスを防ぐための5つの対策 - GMOインターネットグループ, 3月 13, 2025にアクセス、 https://www.gmo.jp/security/security-all/information-security/blog/network-security/
4. セキュリティのデザイン：インターネットに繋げていなければ安全？オフラインやクローズド環境でのマルウェア対策 - SOMPO CYBER SECURITY, 3月 13, 2025にアクセス、 https://www.sompocybersecurity.com/column/column/a64
5. 2025年の情報セキュリティトレンドは？最近の動向や効果的な対策を紹介, 3月 13, 2025にアクセス、 https://www.cloudbric.jp/blog/2025/01/security-trend2025/
6. セキュリティ対策の全体像が分かるIIJのセキュリティマップ, 3月 13, 2025にアクセス、 https://www.iij.ad.jp/svcsol/focus/security-map/
7. セキュリティネットワーク対策とは？14種類の対策と必要性 - IDC比較・選び方ナビ, 3月 13, 2025にアクセス、 https://idcnavi.com/knowledge/security-network/
8. ネットワークセキュリティとは？仕組みと対策 | Proofpoint JP, 3月 13, 2025にアクセス、 https://www.proofpoint.com/jp/threat-reference/cybersecurity-network-security
9. 日常における情報セキュリティ対策 | 情報セキュリティ | IPA 独立行政法人 情報処理推進機構, 3月 13, 2025にアクセス、 https://www.ipa.go.jp/security/anshin/measures/everyday.html
10. ネットワークセキュリティとは？重要性や種類、対策の具体例, 3月 13, 2025にアクセス、 https://www.onlineshop.docomobusiness.ntt.com/articles/detail-043
11. "網羅的かつ簡易的"がキーワード、セキュリティ対策の全体像とは？ - NRIセキュア, 3月 13, 2025にアクセス、 https://www.nri-secure.co.jp/blog/secure-sketch-framework
12. ネットワークセキュリティとは？5つの対策や事例・NDRやSASEなど最新の製品も解説, 3月 13, 2025にアクセス、 https://www.lanscope.jp/blogs/cyberattackdtblog/2023063031642/
13. サイバーセキュリティとは｜有効な5つの対策をわかりやすく解説 - AeyeScan, 3月 13, 2025にアクセス、 https://www.aeyescan.jp/blog/cybersecurity/
14. 【2024年最新】情報セキュリティ最新動向5選！効果的な対応についても紹介 - オプテージ, 3月 13, 2025にアクセス、 https://optage.co.jp/business/contents/article/latest-trends-in-information-security.html
15. 工場セキュリティ対策の進め方とポイント｜ブログ - NRIセキュア, 3月 13, 2025にアクセス、 https://www.nri-secure.co.jp/blog/factory-security-measures
16. ネットワークの強化とセキュリティ - ネットワーク セキュリティの脆弱性および軽減の検討, 3月 13, 2025にアクセス、 https://learn.microsoft.com/ja-jp/security-updates/planningandimplementationguide/19869291
17. 情報セキュリティ10大脅威 2024 セキュリティ対策の基本と共通対策, 3月 13, 2025にアクセス、 https://www.ipa.go.jp/security/10threats/nq6ept000000g23w-att/kihontokyoutsuu_2024.pdf
18. 2024年サイバーリスク動向総括：サイバーリスクの放置や無自覚が組織のインシデントに直結 | トレンドマイクロ (JP) - Trend Micro, 3月 13, 2025にアクセス、 https://www.trendmicro.com/ja_jp/jp-security/25/a/securitytrend-20250108-01.html
19. セキュリティトピック 2025年1月 | 攻撃と対策手段 | CTC-CSS, 3月 13, 2025にアクセス、 https://www.business-on-it.com/1005-topic-security-2022