「2015年度 中小企業における情報セキュリティ対策に関する実態調査」では、規模が小さい企業ほど情報セキュリティ対策が不十分である実態が明らかになった。例えば端末へのパスワード設定を行っている企業は、企業規模が小さいほど実施割合が低い。パスワードを設定していると回答したのは、従業員数が101人以上の企業では72.5％なのに比べ、小規模企業（従業員数20人以下）では56.7％と10ポイント以上下回った（図1）。

図1　端末へのパスワード設定の実施割合（出典：IPA「2015年度 中小企業における情報セキュリティ対策に関する実態調査」）《クリックで拡大》

　組織内に情報セキュリティ専任担当者、または兼務の担当者がいると答えた割合は、全体で44.6％、従業員数101人以上の企業では63.4％が該当したが、小規模企業（従業員数20人以下）では19.6％にとどまった（図2）。

図2　組織内に情報セキュリティ専任／兼務の担当者の在席割合（出典：IPA「2015年度 中小企業における情報セキュリティ対策に関する実態調査」）《クリックで拡大》

　外部に情報セキュリティの相談窓口を持っているかどうかについて「特にない」と回答した割合は、従業員規模101人以上の企業では29.6％だった。これに対し、小規模企業（従業員数20人以下）では72.2％に上った（図3）。

　情報セキュリティ教育については、従業員数101人以上の企業で「実施していない」のは40.2％だった。これに対し小規模企業（従業員数20人以下）は80.9％の企業が「実施していない」状況だ（図3）。

図3　情報セキュリティの相談窓口の実態／情報セキュリティ教育の実態（出典：IPA「2015年度 中小企業における情報セキュリティ対策に関する実態調査」）《クリックで拡大》

　このような結果を受け、調査を担当したIPAの橋本 光三郎氏は「予想通りの結果だった」と語る。山北氏は「ITに詳しくない経営者ほど、情報セキュリティ被害は対岸の火事と考える傾向が強い印象だ。情報セキュリティ対策は企業規模を問わない経営課題だという認識を持って欲しい」と訴える。

情報セキュリティ対策は急務だが、中堅・中小企業では危機意識が低い

　日本年金機構への標的型攻撃で個人情報が大量流出した事件をはじめ、近年では大規模組織のセキュリティインシデント事例が相次いで報道されている。しかし、中堅・中小企業へのサイバー攻撃も増加傾向にある。警察庁の調査結果が示すように、インターネットバンキングの不正送金被害は、中堅・中小企業を主な取引先としている信用金庫（信金）の法人口座被害が急増している。

　これらの事実を踏まえると、「中堅・中小企業は狙われないだろう」という油断は事実無根だといえる。しかし、中堅・中小企業の経営者にとって情報セキュリティ対策が急務の経営課題だと感じにくい理由として、山北氏は次のように話す。

　「テレビや新聞などのマスメディアに取り上げられるのは大規模組織の事件が中心で、中堅・中小企業がサイバー攻撃を受けたというニュースは多くない。中堅・中小企業のセキュリティインシデントは、発生しても事実を公表しなかったり、実はサイバー攻撃を受けていることを把握していないだけであったり、さまざまな状況がある」

　情報セキュリティ対策不足は、自社が被害者になるだけでなく、踏み台にされて知らぬ間に加害者になっている事態も起こり得る。「例えば、自社Webサイトを運営している企業は、コンテンツ管理システム（CMS）のバージョンアップやメンテナンス、セキュリティパッチ適用といった対応を怠ると、ここが脆弱性として狙われる恐れがある。定期的な運用管理は自社のリソースで対応するなり、外部に委託するなり、適切な投資を継続する体制を考えて欲しい」と山北氏は強調する。