※画像はイメージです（iStock／Natali_Mis）。

　今回紹介するのは、日本ネットワークセキュリティ協会（JNSA）が発表した最新の「インシデント損害額調査レポート 第2版」です。

　このレポートでは、もはや当たり前である「インシデント発生＝損害額の発生」ということからもう一段掘り下げて、どのようなことに、どのくらいの金銭的対策が必要か、などが淡々と述べられています。

　レポートとしての質が非常に高く、経営者も現場も、あらゆる業種／業態の人にも響く内容になっていると感じます。また、冒頭のエグゼクティブサマリーを一読すれば、「時間を作ってでも全文を読まなければならない！」と思わせる内容であることがよく分かります。

　今回、このレポートの存在を読者の皆さんにお知らせしたかったのは、やはり日本においては「製造業」がこれらのインシデントと密接に関連しているからです。なお、本レポートの別紙としてまとめられている「被害組織調査」には、ランサムウェアの被害件数（171件）のうち、43％に当たる73件が製造業をターゲットにしていたことが記されています。

※画像はイメージです（iStock／gorodenkoff）。

　このレポートでは、製造業が狙われる理由を断定していませんが、「攻撃者は身代金を得ることを目的としており、より脅しのきく相手をターゲットにすることが考えられます。その意味で、“完成品メーカーに迷惑を掛けてはならない”という心理が働く、原材料メーカーや部品メーカーなどがターゲットになり得ると推察できますが、実際のところは攻撃者のみぞ知る……」といったことが書かれています。

　これは攻撃者の心理を考えても説得力があります。おそらく、初期の攻撃を“ばらまき”型として無差別に行ったとしても、次の攻撃候補を絞る際、上記のような心理で製造業を選択する可能性は十分にあり得ます。

　その結果、システムの復旧だけにとどまらない、さまざまな損害につながっていく……ということが、このレポートの主題となります。対応のためのコールセンター設置や超過人件費、見舞金のようなすぐに必要となるコストだけでなく、損害賠償金や個人情報法における行政損害など、もしかしたらすぐには認識できない損害もあるかもしれません。

　これらのコストは、今、事前にできる対策を少しでも進めていれば、もっと下げることができるものかもしれません。もちろん対策にもお金がかかりますが、そのコストと被害による損害額とを比較して示すことができれば、セキュリティに関心のなかった経営者でもすぐに“リスク”として認識をあらためるに違いありません。