専任者がいなくてもできる最低限の対策を考えよう

「中小企業はサイバー攻撃に狙われない」と思い込んでいる上司をどう説得する？（2/2 ページ）

公開 2016年03月17日 08時05分

更新 2016年03月18日 18時48分

著者

西本愛子

[TechTargetジャパン]

印刷する

中堅・中小企業でもできる、現実的なセキュリティ対策

　那須氏は、現実的な対策として「知る」「最新化」「多層防御」という3つのキーワードを挙げる。

　「知る」は中堅・中小企業の経営者や従業員一人一人がサイバー攻撃と対策の知識を持つことだ。「経営者が『自分はITに詳しくないから』と現場担当者に一任するのは悪いことではないが、当事者意識をなくしてはいけない。セキュリティ対策は経営戦略の一部と考えて、適切な投資を」と那須氏は話す。

　「最新化」は企業規模を問わず、あらゆるセキュリティ対策の基本だ。特に那須氏は、少なくとも使用するクライアントPCに対して次の6項目は、バージョンを最新にし続けるよう促す。最新バージョンを維持できない端末はネットワークに接続しないのがベストだ。特殊な業務ソフトウェア利用のためにやむなく古いOSのクライアントPCを使用するといった場合には、少なくともインターネットには接続しないような設定上の配慮が必要になる。

Windows
Webブラウザ
Java
Adobe Flash Player（最新化、または停止を推奨）
PDFリーダー「Adobe Acrobat Reader DC」
マルウェア対策ソフト

　ネットワーク、エンドポイント、データといった各層で適切なセキュリティ対策を施す「多層防御」も、近年のセキュリティ対策において強調される概念だ。不正送金や情報漏えい被害につながる標的型攻撃は巧妙化しており、マルウェア対策ソフトやファイアウォールだけの対策では防ぎきれなくなっている。那須氏は「人ができることとシステムに頼る部分を切り分けた対策が必要だ」と指摘する。例えば次のような方法がある。

人ができること：会社としてのルール整備（情報セキュリティのポリシー）、社員教育など
システム：UTM（統合脅威管理）やIPS／IDS（侵入防止システム／侵入検知システム）などの導入

中堅・中小企業に適したサイバー攻撃対策、まずは知識と経験の共有を

　アイアンドディーカスタマーリレーション部部長の矢作英樹氏は、中堅・中小企業のセキュリティ対策が遅れがちな要因として「サイバー攻撃による情報被害は、本当の問題が表面化しにくい。被害を隠匿してしまうことで、情報交換して経験を共有する機会を失っている」と指摘する。

　情報処理推進機構（IPA）が2016年3月8日に発表した「2015年度中小企業における情報セキュリティ対策に関する実態調査」によると、「組織的に情報セキュリティ対策担当者がいる」と回答した小規模企業は19.6％で、全体平均（44.6％）の半数にも満たない結果だった。小規模企業の72.2％は社内外の「情報セキュリティの相談窓口が特にない」、80.9％は「情報セキュリティ教育を実施していない」と回答している。

　この結果を見ても、小規模企業ほどセキュリティ対策の情報に触れる機会が少なく、いざ被害が発生した時に相談する相手を持っていないことが伺える。セキュリティ対策に関する情報を適切に取捨選択し、具体的な対策を学び、最新のリスクを継続的にキャッチアップしていくことは重要だ。これらを継続することは、IT担当の人材不足に苦慮する多くの中堅・中小企業にとって簡単なことではない。とはいえ、マネージドセキュリティサービスをはじめとするセキュリティサービス、IPAや各セキュリティベンダーが発信する情報、ベンダー主催の無料勉強会といった支援策は豊富にある。現実的なセキュリティ対策の在り方を模索してほしい。