経営者には「分かりやすい事例」で情報セキュリティ対策への意識を促す

　外部に情報セキュリティの相談窓口を持っていない小規模企業が全体の7割を超えるという結果からは、小規模企業を中心とする中堅・中小企業のセキュリティインシデントの実例がナレッジとして共有されていない実態が伺える。これが中堅・中小企業の経営者の危機意識の低さに関与しているとIPAは考えており、中堅・中小企業に向けた普及啓発活動に取り組んでいる。

　「ITに詳しい社員に丸投げするのではなく、経営者自身も問題に関与する体制を敷かなければ十分な情報セキュリティ対策は難しい」と山北氏は話す。IT知識がないと問題の切り分けが難しいのは確かだが、いざ問題が発生したときには、どのシステムをどこまで止めるのか、どの情報をどこまで伝えるのか、といった細かい検討事項を速やかに決めていく必要がある。だからこそ中堅・中小企業の場合は、経営トップの関与が欠かせない。

　しかしITに関する知識が乏しいと、それだけで関連情報を学ぶことに消極的になりがちだ。そこでIPAは、中堅・中小企業の経営者に的を絞って情報を伝える狙いで、次のようなことに積極的に取り組んでいる。

• 具体的なインシデントの事例の紹介
• 動画や漫画などの親しみやすいコンテンツ
• 商工会議所や税理士会など、中堅・中小企業と日頃から縁の深い団体を通じた啓発機会の増加

サイバー被害事例のドラマで情報セキュリティ対策の重要性を学ぶ

　例えば、中堅・中小企業のインシデント事例の教材動画を動画共有サイト「YouTube」で配信し、DVDでも配布している。IPAでは毎年3月31日に情報セキュリティ対策の重要性を訴える映像作品を公開している。「難しい勉強をする感覚ではなく、楽しんで見ることができるものを」という趣旨で作成しているドラマ仕立ての映像作品だ。

情報セキュリティ対策状況の自己診断ツールとeラーニング

　情報セキュリティ対策の重要性を理解できたら、次は自社での対策をどう実施していくべきか検討する段階だ。IPAは、診断項目に回答すると自社の情報セキュリティの問題点を確認できる診断ツール「5分でできる！　情報セキュリティ自社診断」を提供している。Webサイトの診断ツールの他、紙ベースのチェックリストも配布している。

　この診断では、自社の情報セキュリティ対策の現状を把握し、結果に応じて取るべき対策および、対策を取っていない場合のリスクを紹介している。情報セキュリティ対策には常にコストパフォーマンスの問題がつきまとう。自社のIT資材や業務内容を踏まえて、どの程度の対策をどの部分に施すか、最終的な判断は経営者にしかできない。「この診断ツールは、2009年3月に公開した『中小企業の情報セキュリティ対策ガイドライン』の一部として作成したもの。ガイドラインの有効性を検証するために公開後に約60社の企業の状況をヒアリングしたところ、実施企業の診断結果の平均点は約60点だった（2009年10月時点）。対策の必要性を経営者が理解し、自ら率先して情報セキュリティ対策を実施するきっかけとして利用してもらいたい」（山北氏）

　さらにIPAは、現場の担当者が詳しい知識を得るために、1単元5分で学ぶことができるeラーニング「5分でできる！　情報セキュリティ学習」を提供している。全部で25単元の項目があり、経営者や従業員が情報セキュリティの知識をいつでも学ぶことができる環境を拡充している。

経営者が頼りにするキーパーソンから“プッシュ型”の啓発を

　中堅・中小企業への情報セキュリティ対策としてIPAが実施している主な活動（2015年実績）としては次のようなものがある。

• セミナーの開催：情報セキュリティ講習会など、実務能力を養成する実践的な企画
• 研修会などへの講師派遣：平時から中堅・中小企業との取引がある経営指導員、税理士や商工会議所などを軸にした普及啓発活動
• 委員会・ワーキンググループの設置：ニーズに合った普及啓発コンテンツの開発

　教材動画や診断テストといった“プル型”の支援だけでは、情報セキュリティ対策への危機意識が薄い中堅・中小企業にはリーチできない。そこでIPAは、経営者に直接会って働きかける“プッシュ型”の支援に力を入れていこうとしている。具体例の1つが、中堅・中小企業の経営者と密な関係者を情報セキュリティ専門家として育成することだ。これまでの主な活動は経営指導員、税理士、全国中小企業団体中央会が開催する情報セキュリティ研修会に講師を無償派遣するというもの。IPAはこのような“経営者にとってのキーパーソン”を通じて情報セキュリティ対策の必要性を訴えようとしているのだ。「マイナンバー制度の開始によって、税理士は自身の業務に情報セキュリティ対策が不可欠だと気付いた。2016年度にはこの活動の対象業種を、社労士や信用金庫の担当者にも広げていきたい」（山北氏）

情報セキュリティ対策の知見を共有する「人のつながり」をサポート

　IPAは、中堅・中小企業の経営者と密な関係を持つ情報セキュリティ専門家が、地域の商工会議所などを拠点にして情報セキュリティに関する相談窓口として機能していくことに期待をかけている。これも中堅・中小企業のセキュリティインシデント事例や対策の知見を共有する体制強化の一環だ。

　このような、取引先の中堅・中小企業に対して情報セキュリティの普及啓発活動をする人を、IPAは「プレゼンター」と定義している。IPAの専用Webサイト「セキュリティプレゼンターポータル」にプレゼンターとして登録すると、IPAが公開する資料やツールの入手が容易になったり、IPA主催の情報セキュリティイベントやセミナー情報が入手しやすくなったりする。2015年度には204人がプレゼンター制度に新規登録しており、2016年3月末時点で568人の登録がある。IPAにとってのプレゼンターは、中堅・中小企業の情報セキュリティ被害の動向や事例を最も把握している重要な企画アドバイザーでもあるのだ。

　クラウドサービスの普及、スマートデバイスの台頭など、ビジネス環境を取り巻く情報管理の仕組みにも大きな変化が起こっている。こういった最新動向を反映するために、IPAは「中小企業の情報セキュリティ対策ガイドライン」を2016年度に改定する計画を進行している。「情報セキュリティ対策を徹底した結果、企業内にPDCA（Plan-Do-Check-Action）サイクルの好循環が生まれて業務効率が上がり、結果として売り上げ増につながった企業の例もある。将来的には、情報セキュリティ対策の実施状況が、企業体制の健全さを測る指標となるような時代が来るだろう」（山北氏）

IPA 山北 治氏（左）、橋本 光三郎氏（右）