もう他人事じゃない！中小企業のセキュリティ対策
いまや日本全体で経営課題の一つとして挙げられている中小企業のセキュリティ問題。IPAの調査対象となった中小企業全126社すべてに外部から攻撃可能な弱点が存在することが分かった。その中でもランサムウェアはIPAの「情報セキュリティ10大脅威2026」で5年連続1位と最大の脅威となっている。
中小企業がサイバー攻撃されると、サービス停止、補償、遅延などが連鎖して起こる「サイバードミノ」が発生してしまう。そうならないためにも、政府、IPA、大手企業がそろってサプライチェーン全体の底上げを求め始め、大手企業の６割以上が中小企業との取引継続の条件としてセキュリティ体制の整備の要求を追加しているといった状況だ。
しかしなぜ中小企業が狙われているのか。やはり大企業と違って守りが弱いからではないだろうか。IT専門の担当者がおらずルール化・教育がすすんでいない点や、VPNやNAS、古いサーバなど外部公開された資産が放置されがちな点、「自分たちは狙われない」という誤解が残っている。このように攻撃者は大企業より守りが弱い中小企業を踏み台にして、サプライチェーン全体へ侵入するケースが増えている。
そこで、中小企業がまず整えるべき基礎として、IPAによる「中小企業の情報セキュリティ対策ガイドライン4.0」を見てみよう。段階的に取り組むべき内容が整理されている。
1・経営者が方針を決める…取引先やユーザーからの要求に応えられる体制づくりをすること、そのためにもセキュリティはコストではなく事業継続のための投資であることを経営者や社員らが認識しておく必要がある。
2・資産とリスクの可視化…どのPC、サーバ、クラウドがあるか、どのような外部公開資産があるか、その資産に潜むリスクを把握しておくこと、未把握資産の発見と対処順位を決めておくことも重要だ。
3・ルール化と運用…パスワードや権限の管理、データ等の持ち出しルールやインシデント時の対応手順を決めておく必要がある。
4・従業員教育…基本的なネットリテラシーはもちろんのこと、フィッシング対策や不審メールの報告フローを作っていくこと、AIを悪用した巧妙な詐欺への注意を徹底しておくこと。
5・技術的対策…古いOSやソフト等はウイルスの攻撃対象となりやすいのでOSやソフトの更新をしておくこと（実施率73％）、ウイルス対策ソフトを入れておくなどして対策すること(実施率71％)、ログイン時に2つ以上の異なる要素（知識・所持・生体）を組み合わせて本人確認を行う多要素認証（MFA）の導入、定期的なバックアップ、外部公開サービスの最小化など、できることはたくさんある。
その中でもすぐにできる初期対策の優先順位としてはまず多要素認証（MFA）の導入である。メール・クラウド・VPNなど最も効果が高い。
次に外部公開されている機器の棚卸をしよう。ルーター、ファイアウォール、VPN機器、NAS、サーバーなどの一覧を作成して資産の洗い出しをし、各機器に割り当てられているグローバルIPアドレスをリスト化し、ドメイン（URL）と紐付けるIPアドレスの調査、Nmapなどのツールを使い、インターネット側からどのポート（通信の出入り口）が開放されているかを確認し、意図しない公開がないかチェックするポートスキャン、そして「管理台帳」や「構成図」と、実際に通信できている実態を突き合わせ、不明な機器や不要な公開を特定する。古いNASやVPN装置は攻撃対象になりやすいので要チェックだ。
次はバックアップの分離保管をしよう。ランサムウェア対策の最後の砦なので抜かりなくやっておきたい。
次に社内ルールの作成だ。まずは情報セキュリティ6か条レベルの簡易的なものでいいから作っておこう。
そしてインシデント時の連絡フローを決めておこう。誰に連絡し、どこを止めるかを明確にしておこう。
セキュリティは社内の者にとってもお客さんにとっても安心と安定感をもたらしてくれる大切なものである。しっかり対策していきたい。