• セキュリティ情報
  • 2020.12.21

ランサムウェアからソフトウェア開発企業を守るためのガイドライン

2020年12月8日、一般社団法人コンピュータソフトウェア協会(CSAJ)は被害が急拡大しているランサムウェアから、ソフトウェア開発企業を守るための注意喚起とガイドラインを発表しました。

背景

ソフトウェア開発企業でランサムウェアの被害に有った場合は自社のみならず、顧客、ソフトウェア・サプライチェーン全体に多大な影響を及ぼします。
また、開発環境ではランサムウェアが悪用するコマンドラインインタフェースやPowerShellなどを管理者特権で利用するケースが多いため、被害が拡大しやすいです。
このような環境でも被害を最小限にすることを目指し、CSAJはソフトウェア開発企業の経営者、システム管理者、開発担当者の指針となる10ヶ条を提案しています。

被害を最小限に抑える「10ヶ条」

1. 開発端末での電子メール閲覧の禁止
2. 一般業務と開発業務の端末・ネットワークの分離と脆弱性管理
3. 開発業務でのコミュニケーションにはビジネスチャットを利用
4. Officeマクロ(VBA)、PowerShellスクリプトへの電子署名とポリシーの適用
5. ソースコード、重要データのバックアップと分離
6. ローカルAdministrator のパスワードはすべてユニークに設定
7. 一般業務での管理者権限の利用禁止
8. アンチウイルスソフトのクイックスキャン、完全スキャンの定期実行と脆弱性修正プログラムの適用訂正の整備
9. ユーザー教育・社内啓発
10. 管理端末のネットワーク分離

また、ウェブサイトでは対策実施状況をコントロールするためのチェックシートをダウンロードすることができます。
「対策を実施した場合の業務への影響やコスト」「リスクを受容する場合の理由、補助的な対策」「設定予定日・完了日」「経営者の承認」の項目が有り、自社での対策実施状況をコントロールすることを推奨しています。

まとめ

ランサムウェアの侵入元は大半が電子メールです。
近年猛威を振るっているマルウェア「Emotet」も電子メールから侵入後、外部からランサムウェア本体を呼び込みます。
「Emotet」開発者はこれまでも新しい機能や拡散手法、検出回避手法を継続して追加しており、最近では添付ファイルをパスワード付き圧縮ファイルにすることでウィルスチェックを潜り抜ける手法も確認されています。
標的型ランサムウェアや「Emotet」等、巧妙な攻撃はセキュリティ意識の高い人でも全てを防ぐのは困難なため、最悪の事態を想定して被害を最小限にする仕組みを用意しておくことが重要です。

 

参考サイト:
https://www.csaj.jp/NEWS/pr/1208_ransomware-measures.html

※本記事は掲載時点の情報であり、最新の情報とは異なる場合があります。予めご了承ください。