実は「（あなたの会社が狙われる）理由などどこにもない」と筆者は考えています。

　「2020年に向けて、攻撃者がアップを開始している」と考えたい気持ちも分かりますが、そんなタイミングよりも前に攻撃を仕掛けた方が、対策が進んでいない分、簡単に攻撃できてしまうはずです。今や中小企業でもセキュリティ対策は必須で、「うちには大事な情報なんてないよ」などという企業も存在しないでしょう。

　ある企業が持つ特定の情報を狙う、本当の意味での「標的型攻撃」を行う悪い人もいます。しかし、“数打ちゃ当たる”という方法の方が、攻撃の投資対効果は高いはずです。その企業が有名か無名かよりも、「ネットワークにつながっているか、つながっていないか」が選択の理由になります。つまり、全ての人、企業が狙われる対象になり得るのです。だから筆者は「理由などどこにもない」と思うのです。

　これまでであれば、情報を盗み、その情報を誰かに売ることで、悪意ある者が利益を得ていました。こうした時代のままであれば「うちには大事な情報なんてないよ」理論も通用していたかもしれません。しかし、今は「ランサムウェア」という大変悪賢い仕組みが登場しています（関連記事：標的型ランサムウェアが日本企業を襲う!?　IIoTシステムを狙った攻撃にも注意）。これがあれば、わざわざ情報を誰かに売りつける必要はなく、被害者から直接、金銭を得ることができます。これも、投資対効果を考えたら「バラマキ型」で多くの感染者を出す方が得策でしょう。対象を選ぶ必要はありません。

　そう考えると、“狙われる理由を探し、だから対策する”という考え方自体が間違っていることが分かります。何かイベントがあるから対策をするのではなく、何もないときにこそ、しっかりとしたセキュリティ対策を行う必要があるのです。

今すぐ始められる対策をしなければ！

　とはいえ……どこから始めればいいのか分からない！　という企業も多いでしょうし、「何もないけど、取りあえずセキュリティ対策したいです」といって、経営陣が首を縦に振るとも思えません。そこで、ぜひ皆さんには“はじめの一歩”として、「現場でもできるセキュリティ対策」を考えてみてほしいのです。

　例えば、部内のファイルサーバの管理パスワードを「全員」知っているという状況は避けましょう。共有パスワードを廃止するだけでも効果があるはずです。

　例えば、バックアップが取られていることをいま一度確認し、さらに「リストアできるか」も忘れずにチェックしましょう。ランサムウェア対策は、バックアップが最も有効な手段です。

　例えば、Windowsユーザーの権限を見直してみましょう。これは情報システム部の方に見直しをお願いしたいことの1つです。無意味に管理者権限にすることは、大きな間違えです。

　こうした“はじめの一歩”の取り組みが回りはじめて、「ここから先はやっぱりお金を掛けないと」と思ったときには、ぜひ稟議（りんぎ）書に「2020年に向け……」「取引先に迷惑を掛けぬよう……」「ハクティビスト対策として……」といった、上記の文言を使ってみてください。そう、これらの言葉はセキュリティ対策のきっかけにはなり得ませんが、稟議書の作成には十分使える言葉です。

　サイバー攻撃は「経営リスク」の1つです。自然災害対策や材料供給ルートの確保、生産ラインの保守運用と同様に、情報システムが動き続けること、止めないことを経営リスクと考えれば、きっと読者の皆さんは他の業種よりもしっかりとリスク対策を考えられると筆者は思っています（関連記事：情報セキュリティ責任者を取締役にすべし！ 国内情報セキュリティの現状と課題）。

　今や経営者も、サイバーセキュリティ対策に興味を持っているはずです。そこから経営陣との「セキュリティトーク」を広げていけば、この脅威だらけのサイバーセキュリティ世界を渡り歩く、心強い仲間となるかもしれませんよ。

&raquo 連載バックナンバー

併せて読みたいお薦めホワイトペーパー：

• 調査結果から見えてきた、製造業におけるIoT／M2Mの活用状況と課題
• 「つながる工場」実施済みは36.5％、コスト・標準・セキュリティが課題
• 製品開発において日本製造業が抱える課題とものづくりプロセス改革への道標
• 回答者の92.8％が経験済みの品質問題、設計部門がこれから取るべき対策とは？