激化し続けるサイバー攻撃、テレワークによる働き方の多様化など、セキュリティに関するリスクが急激に上昇していることもあり、セキュリティ対策は待ったなしの状況と言えます。
しかし情報セキュリティ対策をしようと思っても、どこから手をつけていいのか分からず困っているという人は多いのではないでしょうか。
そこでこの記事では中小企業のセキュリティ対策について、対策のポイントやノウハウについて詳しく解説していきます。
またどのようなリスクがあるのか、セキュリティ対策をしないとどうなるのかなども関連情報としてご紹介していくので最後までご覧ください。
IT業務のお悩みやお困りごと、コスト削減をお考えなら、解決手段があるはず！まずはITボランチへご相談（無料）ください。お問い合わせはこちらから
せキュリティ対策をしないことのリスク
まずはセキュリティ対策をしないと、どのようなリスクが発生するのかをご紹介していきます。
顧客の信用を失う
機密情報といった会社の情報資産は、顧客にとってしかるべき方法で管理されているのが当たり前のものです。しかし自社の管理方法がずさんになっておりどのデータがどこにあるのか、あるいはセキュリティチェックがきちんとできているか確認できない状態だと、情報漏洩の可能性は高まり事件は発生します。
ひとたびインシデントとして問題が大きくなると、ステークホルダーとして情報を提供してくれている顧客からの信用は失墜してしまうでしょう。今やデータの情報漏洩といった被害が起きるのは、金融機関が預かっているお金を紛失してしまい責任問題となるようなレベルで問題になるでしょう。
機密情報が盗まれる
ハッカーがサイバー攻撃を行うのは、
- 単なる愉快犯的な目的
- サーバー停止を行い企業へ意図的に損害を与えたい
- 情報を漏洩させて不正利用したい、あるいは信頼性を落としたい
といったさまざまな理由があります。
中でも「情報漏洩」を目的とする攻撃は多く、企業利益にかかわるような機密情報は常に狙われています。個人情報や自社の独自技術などに関する情報が外部漏洩してしまうと、自社の経営自体が立ち行かなくなる恐れもあり危険です。損害賠償や自社の優位性がなくなるといった問題が起きないように、情報管理は徹底して行うべきです。
金銭被害
情報漏洩が起きた場合、ハッカーが取得した個人情報やクレジットカードなどを使いさらに攻撃を仕掛けるパターンもあります。
- 不正にアカウントを作りスパムメールや詐欺メールを送り付ける
- クレジットカードを不正利用してECサイトで商品を購入する
- アカウントを乗っ取って公序良俗に反するコメントをしたり、詐欺を行ったりする
といった問題が起きると、攻撃を受けた関係者に金銭的被害が発生するリスクもあるのがポイントです。
金銭的被害が起きると、補填をどうするのかといった問題も発生します。対応がきちんとできないと被害が拡大して、訴訟にまでなってしまうケースもあるので危険です。
拡大するセキュリティの脅威！被害の実態と代表的な10大脅威とは
セキュリティの被害件数や実例などについては、情報活用等を啓蒙している「IPA」のデータが参考になります。特に下記のような事例は「情報セキュリティの10大脅威」とされており、被害に遭遇してしまうリスクも高いので重点的に理解しておいてください。
※個人と組織2部門で別々に脅威が挙げられているが、企業に関係する組織の部門の事例を参考に記述
1位：ランサムウェアによる被害
「ランサムウェア」は感染したPCのデータを暗号化することで人質として、復号化する代わりに金銭を要求するサイバー攻撃手法です。2022年度以前から猛威をふるい続けているランサムウェアですが、最新のランキングでも1位になるなど脅威は変わっていません。
脅迫通りに金銭を支払っても、データが100％復号されるとは限りません。しかも情報を教えてしまうとさらに別の被害も発生してしまうリスクまであります。またデータが復号されない場合PCのデータがすべて消滅するリスクがあるのも痛いところです。
ランサムウェアについての詳細は「被害が拡大しているランサムウェアとは？わかりやすく特徴と対策を解説！」の記事で紹介しています。
2位：サプライチェーンの弱点を悪用した攻撃
製造業などで工程管理等に使われる概念である「サプライチェーン」の弱点を悪用した攻撃も増えています。2022年度の脅威としては、2位にランクインしました。
サプライチェーンの脆弱性とは、仮に大企業における仕入れや製造・エンドユーザーへの商品発送などの工程を想定する場合、セキュリティ対策を行っていない取引先などが該当します。脆弱性があると判断された箇所は重点的に攻撃され、別のサプライチェーンへの攻撃へ転用されたりするので危険です。サプライチェーンを狙うという点で中小企業が狙われるリスクもあり、セキュリティ対策を怠るとサプライチェーンに入っている取引先全体に迷惑が掛かるのも問題点です。
3位：標的型攻撃による機密情報の窃取
指定の企業へ最初から攻撃する目的で取引先などを装い、精巧に騙すことでファイルを開かせたりして被害を発生させるのが「標的型攻撃」です。標的型攻撃も2022年度以前から続いていましたが、最新のランキングでは3位にランクインしています。
標的型攻撃ではメールといった伝達手段を使い、自社の取引先になりすましますが事前に調査をしているため、本当に取引をしている内容や違和感のない口調などを用いてメッセージを送りつけます。それに騙されて添付ファイルを開いてしまいマルウェアへ感染したり、情報を盗まれてしまうケースが増加しているのがポイントです。標的型攻撃の被害を防ぐためには技術対策だけでは足りず、ITリテラシー向上も必要となってきます。
標的型攻撃についての詳細は「標的型攻撃は情報セキュリティの脅威！サイバー攻撃に中小企業はどう対策するべきか」の記事で紹介しています。
4位：内部不正による情報漏洩
社内で退職や転職などが発生した際に、意図的に対象となった従業員が情報漏洩を引き起こす事例も残念ながら存在しています。中には某大手通信会社で働いていた従業員が別の大手通信会社へ転職する際に、機密情報を意図的に持ち出して不正競争防止法違反で逮捕された事件も起こっており、大きなニュースとなりました。
上記のような事例が起きると自社の独自技術が外部に漏洩してしまうリスクまであるので、ITリテラシー向上を行って漏洩行為が起きないように事前対策するなどの心構えが必要です。
5位：テレワーク等のニューノーマルな働き方を狙った攻撃
テレワークといったニューノーマルな働き方がまだ定着しきっていない脆弱性を突いて、関連のサイバー攻撃を行う手法も増えてきました。単にPCを貸与して自宅で作業してもらうといった対応だけでは、簡単に通信網を狙われて情報が漏洩してしまうでしょう。
さらにシャドーITで従業員が無断でツールを使い作業を行ったりしていると、それも攻撃の対象となるリスクまであります。事前にルールを設けてセキュリティが確保できるようにした上で、テレワークといった働き方への対応を始めるべきです。
6位：修正プログラムの公開前を狙う攻撃（ゼロデイ攻撃）
OSといったソフトウェアの脆弱性が完全に塞がれる前に、攻撃を仕掛ける手法を「ゼロデイ攻撃」と呼びます。ゼロデイ攻撃は脆弱性がなくなる前の一瞬の間に行われる手法なので持続性というのはありませんが、脆弱性の穴を利用するので攻撃の成功確率は高いのが特徴です。
ゼロデイ攻撃を完全に防げるようになるためには、未然に脆弱性を見つけて補修できるよう案セキュリティ対策ツールの用意も必要です。またすぐにセキュリティパッチを適用する心構えも必要となってきます。
7位：ビジネスメール詐欺による金銭被害
ビジネスメール詐欺にはさまざまな種類があり、
- 取引の最中へ割り込んで偽の請求書を送る
- 経営者と称して偽の振込先を提示する
- メールアカウントを乗っ取って攻撃する
といった方法で攻撃を実行します。
新型コロナウイルス感染症に関するビジネスメール詐欺まで登場しており、いつどんなサイバー攻撃用メールが届くのか分からない状況です。事前にメール内容をツール・人の両方でチェックして違和感がないか、また危険がないかフィルタリングを行う必要性があるでしょう。
ビジネスメール詐欺についての詳細は「再拡大するビジネスメール詐欺とは？被害にあわないための対策について解説！」の記事で紹介しています。
8位：脆弱性対策情報の公開に伴う悪用増加
脆弱性対策に関する情報が一般へ公開されると、それを悪用してセキュリティホールを攻撃する事例もあります。要はゼロデイ攻撃等に関するセキュリティパッチが配布されたり対策方法が公開されたりしても、対策を実施せずに手をこまねいている組織に対して攻撃が発生します。
被害を防ぐためには事前に脆弱性を検証して、すぐにセキュリティパッチ適用などができる体制を整備するのが一番です。
9位：不注意による情報漏えい等の被害
ヒューマンエラーとして、メールの誤送信やセキュリティ設定のミスなどが発生する事例もあります。こういった事例では事前にミスに気付けていれば被害を最小限で済ませられますが、仮に気付くのが遅くなった場合は情報が広い範囲で漏洩してしまうリスクもあるでしょう。
不注意による被害をなくすためには、ITリテラシー向上を行ったり、アラートを鳴らしたりしてエラーが起きていることをすぐ知らせてくれるようなツールを導入したりといった対応が必要となってきます。
情報漏洩についての詳細は「企業が取るべき情報漏洩への対策とは！原因やリスク、事例などご紹介」の記事で紹介しています。
10位：犯罪のビジネス化
サイバー攻撃を基にビジネスを行う事例も出てきています。こういったビジネスは摘発されるまで問題に気付かないこともあり、企業としてはそもそも未然に被害を防げるようにしないといけません。
中小企業がセキュリティ対策をするためのポイントとは
ここからは中小企業がセキュリティ対策を行う際のポイントを解説していきます。
どんな攻撃方法があるのかを知り対策すべきポイントを考える
まずは
- 個人・機密情報漏洩
- ウィルス感染
- 脆弱性を突いた攻撃
といった代表的な手法を知り、自社では現在どのような攻撃へさらされるリスクがあるのかを把握しておくべきです。
基本的な対策ができていなければ対応を行い、できていたとしても手法が古かったりと問題がありそうであれば追加の対応を検討すべきです。
テレワークに関する攻撃対策をする
テレワークといった働き方を推奨するのはよいことですが、セキュリティ面では
- 従業員の自宅から情報漏洩が起きる
- 外出先で使っていたスマートフォンから情報が搾取される
- 会社と外部のインターネット接続網を攻撃される
といった問題が起きます。
事前に情報の取り扱い方などをルール化した上で、ツールを導入して情報を暗号化したり、万が一の際すぐ削除したりできる体制を確保できると安心です。
基本からさらにセキュリティレベルを底上げする
基本的なセキュリティ対策だけでなく、
- PCといったデバイスを物理的な面やソフトウェアの面などでガードする
- 社員教育を徹底して継続的なITリテラシー向上を行う
といった対応もしておくとよいでしょう。
PCといったデバイスを外出先で紛失しないようにする器具やツールを用いることで、デバイスごとデータが紛失したりするミスは防げます。また社内教育を継続的にすることで最低限だけでなくさらにITリテラシー向上を実現して、企業信頼性等を上げられると企業成長にもプラスの影響が出るでしょう。
ゼロトラストやEDRといったトレンドだけに惑わされない
ゼロトラストやEDR（接続のエンドポイントに関するセキュリティ対策）について把握・理解することも重要です。しかしこれから先はさらに新しいセキュリティ対策トレンドが発生する可能性もあり、こういった従来のトレンドを知っただけで満足するのはよくありません。
将来的なセキュリティ対策に関しても考えられるようにすることで、継続的にサイバー攻撃へ対応できる心構えを身に付けておきましょう。
ゼロトラストセキュリティについての詳細は「いま注目のゼロトラストセキュリティとは？基礎知識と中小企業がするべきこと」の記事で紹介しています。
まとめ
近年ではITを活用しないと業務が進まないと言えるほど、情報技術は浸透しています。またテレワークにより、外部ネットワークを含めた環境のセキュリティ対策を考慮しなくてはならない状況になっています。
セキュリティ対策をしてもコストが無駄になるという経営者の方も多いようですが、たった1度のサイバー攻撃で被害面では大きな問題になりかねません。日々巧妙化しているサイバー攻撃に対応するために、セキュリティ対策を継続して行いましょう。
中小企業のIT担当者が最新知識、トレンド技術を常に吸収しながら対応を続けることは困難です。専門家にアウトソースして内部の業務負荷を減らし、ノウハウを蓄積できる体制を準備するといいでしょう。
