お役立ちコラム

セキュリティ対策は、企業の大小に関わらず重要度の高い課題です。サイバー攻撃や不正アクセスによって、一度でも情報漏えいのトラブルを起こしてしまうと、企業の信用はガタ落ちとなってしまいます。

今回は、中小企業のセキュリティ対策の現状と必要性、対策しない場合に起こりうるトラブルについて解説します。

中小企業向けセキュリティ対策の現状

ここ数年でリモートワークが浸透し、外部からのネットワーク接続が増えています。しかし、セキュリティ対策が万全でないことから、気づかないうちにサイバー攻撃の被害にあう企業・団体は年々増加しています。

サイバー攻撃の中で特に被害が多いのが「ランサムウェア」です。
警察庁が2023年9月に発表した資料によると、被害報告件数は103件で、2022年上半期以降高い水準にあります。

ランサムウェアとは、データを不正に暗号化して攻撃し、元に戻すことと引き換えに金銭を要求する悪意のあるソフトフェアです。VPN機器のぜい弱性や強度の弱い認証情報などが原因で、ランサムウェアに感染するケースが全体の7割を超えています。

参考）警視庁「令和５年上半期におけるサイバー空間をめぐる脅威の情勢等について」

このように被害は増えていますが、中小企業ではいまだセキュリティ対策導入に消極的なのが現状です。なぜなら、セキュリティ対策における多少の課題意識はあっても、「自社でさほど重要な情報を扱っていない」「自社はきっと大丈夫」「ITの知見がある人材を確保できない」といった理由で対策へ乗り出すことに躊躇しているからです。

セキュリティ対策は、すぐに目に見える効果が得られません。そのため、導入コストをかけるほどの必要性を感じていない企業・団体が大半となっています。

セキュリティ対策を講じないと起こりうる３つのトラブル

中小企業がセキュリティ対策を講じないと、以下の3つのトラブルが起こる可能性があります。

• 企業の信用が失われる
• 損害賠償請求に発展する
• 事業活動が停止し、業務に支障が出る

企業の信用が失われる

サイバー攻撃を受けると、顧客・ID・パスワードなどの機密情報が流出してしまいます。これにより、取引停止や顧客が離れてしまうといった事態にもなりかねません。

損害賠償請求に発展する

取引先や顧客情報の流出によって、損害賠償請求を受けるリスクもあります。「踏み台（コンピュータが攻撃者に悪用されて、サイバー攻撃に加担してしまうこと）」の標的になると、被害者でありながら加害者にもなり、社会的な責任を問われる可能性も。損害賠償額が請求された場合には、最悪倒産のリスクもあります。

事業活動が停止し、業務に支障が出る

業務で利用するコンピューターにセキュリティ被害があると、ネットの接続を遮断するなど一時的にシステムを停止する状況が生じます。実際にランサムウェア被害を受けて1週間以上復旧作業に時間がかかったケースや、バックアップから被害直前の水準まで復旧できなかったケースもあります。業務がストップすることで、巨額の損失につながる可能性もあります。

中小企業のセキュリティトラブルへの対応策

セキュリティトラブルへの対応策として、以下を実施することが理想的です。

• 情報資産を洗い出す
• 情報セキュリティ対策を決める
• 顧客情報の一元管理
• 多要素認証の活用
• 専用ツールなどでシステムを堅牢にする
• 外部委託の場合、秘密保持契約を結ぶ

情報資産を洗い出す

まずはそもそも自社にどのような情報資産があるかを洗い出します。情報資産管理台帳を作成し、資産ごとに機密性・完全性・可用性を評価します。さらにリスク値の算定として、優先的・重点的に対策が必要な情報資産を把握しましょう。

情報セキュリティ対策を決める

リスクの大きな情報資産に対して、必要な対策を決めます。やみくもに決めるのではなく、「リスクを軽減する・保有する・回避する・移転する・またはそれぞれを組み合わせる」といった視点で検討します。

顧客情報の一元管理

担当者それぞれが顧客の個人情報を管理している場合、トラブルが起きた時に顧客への対応が遅れてしまいます。情報を一元管理することは、企業内の情報セキュリティ対策として有効です。

多要素認証の活用

不正侵入されることを想定して、情報資産を安全に守るために「多要素認証」の仕組みを構築しておくことはリスク回避に有効です。たとえば、パスワード以外に有効期限付きのコードを認証に利用するなど、簡単にはログインできない仕様にすることが重要となります。

専用ツールなどでシステムを堅牢にする

セキュリティを強化するネットワーク環境の整備や、安全なクラウドシステムへの移行も、自社のセキュリティレベルに応じて導入を検討しましょう。

外部委託している場合、秘密保持契約を結ぶ

会社の業務の一部を外部委託している場合、その委託先のセキュリティ対策のぜい弱性からセキュリティトラブルに発展することもありえます。委託先に対して責任と対策の実施方法を決めて、事前に秘密保持契約を結んでおきましょう。

これらの対策はあくまで一例であり、その他にも自社に必要な対策を講じると良いでしょう。

中小企業のセキュリティ対策4ステップ

中小企業がセキュリティ対策を行うには、以下の4つのステップを順に実施します。

STEP1：できるところから取り組む
STEP2：組織的に取り組む
STEP3：本格的に取り組む
STEP4：より強固な対策にする

STEP1：できるところから取り組む

情報処理推進機構（IPA）が公表している「情報セキュリティ5か条」を活用します。情報セキュリティ5か条は、企業が必ず行うべきセキュリティ対策をまとめたものです。

具体的に、やるべき事項は以下の通りです。

1.OSソフトは常に最新の状態にし、こまめに修正プログラムを適用する
2.ウイルス対策ソフトを導入し、定義ファイルは自動更新されるように設定する
3.パスワードは、長く複雑なものを設定し、複数で使いまわさない
4.ネットワーク接続のハードディスク、クラウドサービスなどの共有範囲を限定する
5.セキュリティの脅威やサイバー攻撃に関する最新情報を日ごろから収集しておく

どれもお金をかけず、今すでにあるリソースで対応できるものばかりです。従業員教育も並行して行っていきましょう。

STEP2：組織的に取り組む

情報セキュリティ5か条の情報セキュリティ対策がどこまでできているのか、自社で診断してみましょう。当社のITコーディネータによる情報セキュリティ診断を無料で実施中です。診断により対策できていない箇所に必要なリソースを洗い出していきます。

STEP3：本格的に取り組む

必要なリソースの中でも、セキュリティ対策に関する費用の捻出がネックとなって対策が滞っている場合は、IT導入補助金（セキュリティ対策推進枠）の活用も視野にいれていきましょう。商工会議所やサービス提供事業者が行うサービスとして、「IPAサイバーセキュリティお助け隊サービス制度」もIT導入補助金の対象となります。

ネットワーク監視型、端末監視型、併用型の3種類があります。専門家に依頼して、活用することでセキュリティ対策導入へのハードルは下がります。申請期間や条件は決まっていますので、必要に応じて確認しましょう。

STEP4：より強固な対策にする

これまで紹介したように自社では行き届かないセキュリティ対策については、外部パートナーの力を借りることが有効です。

• 情報セキュリティ対策の方針を策定する
• 安全なクラウドシステムへの移行
• 外部不正アクセス防止
• 社内ルール浸透のための社員教育　など

近藤商会では、組織としてのセキュリティガイドライン策定や、導入後の運用サポートまで提供しております。詳しくは「セキュリティ対策サービスページ」をご覧ください。セキュリティ対策を考えていく段階で、継続的な改善方法も含めたサポートを是非ご検討ください。

まとめ|中小企業のセキュリティ対策なら「近藤商会」にお任せください。

今回は、中小企業のセキュリティ対策について解説しました。年々サイバー攻撃は巧妙化し、標的になると倒産など企業経営に大きく影響を及ぼす可能性も十分にあります。中小企業においてもセキュリティ対策は必須です。

ただし、やみくもに行うのではなく、現状を把握した上で自社に合った対策を進めていくことが大事です。近藤商会では、情報セキュリティ対策及び組織の行動指針となる「情報セキュリティポリシー」策定、システム構築から社員教育まで、ソフト・ハードの両面で徹底的にサポートします。
ITコーディネータによる初回相談は無料で実施中です。
強固なセキュリティ対策を実施したいとお考えの方は、まずはお気軽にご相談ください。

▼セキュリティ対策のご相談はこちら
https://www.kond.co.jp/contact/inquiry/

▼近藤商会のセキュリティ対策はこちら
https://www.kond.co.jp/security_measures/