専任者がいなくてもできる最低限の対策を考えよう

「中小企業はサイバー攻撃に狙われない」と思い込んでいる上司をどう説得する？（1/2 ページ）

情報セキュリティ対策不足は経営リスクに直結する。しかし、上層部がその重要性を認識していなかったとしたら、中堅・中小企業のIT担当者はどう説得すればよいだろうか？

公開 2016年03月17日 08時05分

更新 2016年03月18日 18時48分

著者

西本愛子

[TechTargetジャパン]

印刷する

　身代金ウイルス（ランサムウェア）、マイナンバー（社会保障と税の共通番号）詐欺、標的型攻撃など、サイバー攻撃の被害は連日のように発生している。報道されている実例を見ると、サイバー攻撃による情報漏えいは、信用損失や金銭的損失という大きな経営リスクに直結することが分かる。とはいえ中堅・中小企業のIT担当者は、もし上層部が「サイバー攻撃は公的機関や大企業がターゲットにされるもので、うちのような中小企業は狙われないだろう」といった考えを持っていたら、どう説得すればよいだろうか。

　マーケティング支援およびコンサルティング事業を手掛けるアイアンドディーが2016年2月に主催したセミナー「今！　中小企業が知っておくべきサイバー攻撃の手口とその対策」の講演内容から、誤解しがちなセキュリティ対策の“常識”や、具体的なセキュリティ対策の方法を解説する。

併せて読みたいお勧め記事

一人一人ができるセキュリティ対策

「次世代ファイアウォール」を知る

模擬事例で知る、中堅・中小企業のサイバー攻撃への「誤解」

　2016年3月3日に警察庁が公開した資料によれば、インターネットバンキングの不正送金被害は2015年の1年間で、5.6％増（2014年比）の約30億7300万円に上り、被害額が3年連続で過去最悪を更新した。残高の多い法人名義の口座が狙われたことが被害額の増加につながったとみられる。特に信用金庫（信金）の法人口座被害が急増しており、信金、信用組合（信組）、農業協同組合（農協）、労働金庫（労金）の被害が拡大する傾向にあった。

　このように、サイバー攻撃の対象となる銀行の裾野が広がっている。信金、信組などは中堅・中小企業を主な取引先としていることから、サイバー攻撃の対象は中堅・中小企業にも広がりつつあるといえる。しかしいまだに「うちのような小さな会社は狙われない」「実際にサイバー被害に遭ったなんて自分の周りでは聞いたことがない」などと、サイバー攻撃被害を「対岸の火事」と考えがちな中堅・中小企業は少なくない。その理由は、風評リスクを恐れて被害を内々に処理するケースが後を絶たず、情報や経験の共有が十分ではないことが要因の1つだと、サイバー攻撃の実態に詳しい船井総合研究所の那須慎二氏は説く。中でも中堅・中小企業が陥りがちな“8つの間違い”を那須氏は挙げ、「IT担当者から注意喚起を促してほしい」と強調する。

1. アンチウイルスソフトを入れているから大丈夫、という誤解

　Symantecの上級副社長ブライアン・ダイ氏が「アンチウイルスソフトは死んだ」と発言したと、米経済誌『Wall Street Journal』が報じた。従来のマルウェア対策ソフトがウイルスやスパイウェアなどの攻撃を検知できるのは全体の45％だけで、55％の攻撃は検知されることなく素通りしているという。今後の対策で重視すべきなのは「未知の攻撃」にどう備えるか、という点にある。

2. 怪しいWebサイトには行かないようにしているから大丈夫、という誤解

　「近年のサイバー攻撃はが巧妙化、複雑化が進み、心理戦の様相を呈している」と那須氏は話す。代表的な手口は次のようなものだ。

便乗詐欺
Webサイトの乗っ取り
「Adobe Flash Player」の脆弱（ぜいじゃく）性を突いた不正広告
類似詐欺（フィッシングや偽サイトなど）

　代表的な手口としては、不正サイトにアクセスしたユーザーのクライアント端末に対して、ユーザーに気付かれることなくマルウェアを感染させる「ドライブバイダウンロード攻撃」がある。最近では、攻撃者は「SQLインジェクション」といったWebアプリケーションの脆弱性を突き、通常のWebサイトを改ざんして不正サイトに仕立てる例が目立つ。

　時事問題に関連付けた内容の不正サイトを悪用するのが便乗詐欺だ。例えば攻撃者は、オリンピックの報道や大規模災害のニュースといった内容を掲載した不正サイトを構築。こうした内容に関心のあるユーザーをおびき寄せ、ユーザーに気付かれないようにクライアント端末を乗っ取る。これらのWebサイトが不正かどうかは、外観だけでは判断できない。

3. 田舎の小さい会社がサイバー攻撃で狙われるわけがない、という油断

　トレンドマイクロが発表した2015年版の「国内標的型サイバー攻撃分析レポート」によると、同社が法人顧客の依頼により解析しているマルウェアのうち、標的型攻撃に利用される遠隔操作型マルウェアの割合が増加している。第1四半期で16.4％だったのに対し、第4四半期では54.2％だったという。脆弱性のあるサーバやクライアントPCが標的型攻撃で狙われる。所在地は関係なく、対策が不十分なシステムを放置している会社ほど狙われるリスクは高い。

「標的型攻撃」がセキュリティの常識を変えた――“アンチウイルス死亡論”の真実

4. 不正送金被害に遭っても銀行が何とかしてくれるはず、という誤解

　盗難や偽造によるキャッシュカードや通帳経由の不正引き出しに対して銀行が補償する「預金者保護法」は、インターネットバンキング（以下、ネットバンク）および法人口座は対象とならない。ただし近年、増加するネットバンク経由の不正送金被害を補償するために全国銀行協会は対応を強化していくと、2014年7月17日に「法人向けインターネット・バンキングにおける預金等の不正な払戻しに関する補償の考え方について」というガイドラインにおいて表明している。一定の要件を満たしていれば各銀行の判断に基づき補償を検討するとしているが、同ガイドラインが示す「法人が実施すべきセキュリティ対策」を実施していない場合は、補償が減額されたり、補償されなかったりする場合がある。

5. うちには盗まれて困るような情報はないから大丈夫、という油断

　攻撃者の狙いは情報だけではない。クライアントPCが不正送金の実行処理の踏み台にされ、犯罪に巻き込まれるケースもある。近年では、ファイルを暗号化して身代金を要求するランサムウェア被害が多発している。たとえ情報が守れても、会社のシステムが停止したり、復旧に時間がかかったりすることで受ける損害は小さくない。

6.「インターネットを使わなくてもいい」という時代ではない

　従業員が2、3人の支社や地方営業所など、オフラインでも可能な業務はある。しかし、インターネットはもはやインフラであり、クライアントPCだけでなく家電やOA（オフィスオートメーション）機器などもインターネットに接続している。IoT（モノのインターネット）が普及しつつある時代に、今後もインターネットなしで業務を続けることが現実的とはいえない。