その前に「ウチは10.5％の中にいない」という捉え方も……

　ただ、このアンケートでは「中小企業従業員の10.5％が過去3年間でサイバーセキュリティ上の事故やトラブルを勤務先で経験」という結果が出ています。もしかしたらこれを「10.5％とは意外に少ない」と捉えてしまう可能性もあるでしょう。89.5％が被害に遭っていないのだから、ウチのような小さな企業は大丈夫と考えてしまうと、何もかもが前に進まなくなると思います。特に経営者は、ウチは狙われないという考え方は非常に危険です。どんなに正しいルールを作って社内に浸透させたとしても、それでもミスは出てきますし、そのルールを逆手に取るような攻撃すら出てくる可能性があるでしょう。

　既にそのことが理解できている経営者には釈迦に説法だと思いますが、「ウチは狙われない」的な思考を持つ経営者には、ぜひ今のうちに「もしかしたら狙われるかも？」というような意識にシフトして、もう一度セキュリティ対策を考え直してみることを強くお勧めします。

　この点に関しては、もしかしたら自動車の運転に近いのかもしれません。運転を行う人は、誰もが事故を起こさないように注意しているものの、事故は現実として発生しています。運転免許を取得する際に「かもしれない運転」「だろう運転」は危険であると学んだ記憶がありますが、サイバーセキュリティに関しても「ウチも狙われるかもしれない」と思うことこそが、最初の一歩を踏み出すきっかけになるのではないでしょうか。

　ウチも狙われると考えれば、いま行っている対策、例えばセキュリティソフトの導入やUTMの設置で今の攻撃が防げるのか？ という点に目が向くはずです。そして中小規模の企業が狙われ、実際に攻撃が成立し、情報漏えい事故やランサムウェアによる不正な暗号化が行われたとき、真っ先に問題になるのは取引先への説明でしょう。それができなければ、事業の継続もできないはずです。そこまで想像してみれば、いまあるセキュリティ対策と、説明報告義務のための情報収集で「いま足りないもの」が見えてくるでしょう。そこまでいけば、先のアンケート結果の数値も見え方が変わってくるかもしれません。

　最近では、サイバー攻撃が規模を問わず行われることを受け、セキュリティ対策を「格付け」するというサービスも増えてきているようです。これはお墨付きというよりも、自社に“穴”となるようなものがないか、現状確認のためのツールとして使ってほしいところです。こういった車検のようなものも、「セキュリティ“かもしれない運転”」には必要となるでしょう。

　サイバー攻撃は手を変え品を替えという状況で、その手法の変化こそが犯罪者の武器になっています。攻撃を受ける可能性のある全ての組織は、「自分たちが狙われている」という認識のもと、平時のいまこそ最悪を想定しながら対策を進めてください。経営者が変われば、現場の全ての人間も変われるはず。まずはトラブルやミスを、正直に上に報告できるような環境作りから変えていきたいですね。

⇒ 新着ホワイトペーパーをチェックする

著者紹介：

宮田健（みやた たけし）

元＠ITの編集者としてセキュリティ分野を担当。現在はフリーライターとして、ITやエンターテインメント情報を追いかけている。自分の生活を変える新しいデジタルガジェットを求め、趣味と仕事を公私混同しつつ日々試行錯誤中。

2019年2月1日に2冊目の本『Q＆Aで考えるセキュリティ入門「木曜日のフルット」と学ぼう！＜漫画キャラで学ぶ大人のビジネス教養シリーズ＞』（エムディエヌコーポレーション）が発売。スマートフォンやPCにある大切なデータや個人情報を、インターネット上の「悪意ある攻撃」などから守るための基本知識をQ＆Aのクイズ形式で楽しく学べる本です。

筆者より：TechFactoryでの本連載では、ITセキュリティの「あるべき論」「正論」だけでなく、モノづくりに携わる方たちに「気楽に」「楽しく」セキュリティを考えていただけるように、さまざまな話題を取り上げたいと思います。「セキュリティっていわれてもねえ……」と思わず考えてしまった皆さんに覚えていただけるようなコラムにしたいと思います。お楽しみに！