狙われる中小、情報セキュリティ人材を確保するには

　情報処理推進機構 （IPA）が毎年発表している「情報セキュリティ10大脅威」、その2019年版のランキングで、初めて「サプライチェーン」という言葉が登場しました。サプライチェーンとは、原材料や部品の調達から、製造、物流、販売までの、ビジネスの一連の流れを指す言葉です。製品やサービスがエンドユーザーに至るまでには、仕入や業務委託などで多くの企業が関わります。その流れの中に、もし、情報セキュリティ対策を十分に行っていない企業が存在していたら......。こうした脆弱な組織を狙ったサイバー攻撃を「サプライチェーン攻撃」と呼ぶのです。

　ニュースや新聞では、大企業がサイバー攻撃を仕掛けられたということを報道しているので、「中小規模の会社は狙われにくいはず」と考えている経営者もいるかもしれませんが、その考えこそサイバー攻撃の標的となるのです。ひとたびサプライチェーン攻撃を受け、委託元が個人情報の流出や金銭的な被害を受けたとなれば、ビジネスパートナーとしての信用を失い、取引の停止、ましてや莫大な損害賠償請求につながる可能性も考えられます。

　過去には、とある企業が委託を受け作成した通販サイトが狙われ、クレジットカードカード情報が流出した事件が起きました。その企業は、委託元から構築したシステムの脆弱性を指摘され、約1億円の損害賠償請求を受けています。

　損害賠償請求までに発展しなくとも、事故によって情報セキュリティ対策の不十分さが露見してしまうと、今後のビジネスにも重大な影響をもたらすことは確実です。そのため、経営者はサイバー攻撃への対処を、経営対策の1つとしてしっかりと考えなければなりません。

サイバー犯罪検挙件数も不審なアクセスも増加

　警察庁が公開した「平成30年におけるサイバー空間をめぐる脅威の情勢等について」によると、2018年のサイバー犯罪の検挙件数は、過去最多の約9,000件。5年前の2014年より約1,000件も増加したことがわかっています。また、警察庁が運用する不審な探索行為を感知するセンサーには、1IPアドレスあたり１日約2,800件ものアクセスが確認されました。こうした不審なアクセスは、5年で約9倍に膨れ上がったそうで、パソコンがいかに危険な状態に晒されているかがうかがえます。

　件数が増えているだけではありません。IT技術の発展に伴い、サイバー攻撃の技術も巧妙化し、つねに新しいカタチへと変化しているのです。標的となっていた大企業はその深刻さに気づき、情報セキュリティ対策に乗り出しました。そのため、大企業への侵入が困難となった攻撃者の次なるターゲットは、中小企業へとシフトしつつあるのです。

有効な情報セキュリティ対策を推し進めようとしても......

　有効な対策を講じて情報セキュリティを強化したあと必要になってくるのが、システムの運用を行う担当者です。ところが、いま、多くの中小企業で、運用を請け負えるようなIT人材が不足しているということが問題になっています。

　IPAが発表した「2016年度 中小企業における情報セキュリティ対策に関する実態調査」では、「情報セキュリティ対策の担当者がいる」と回答した中小企業は、全体で38.4％。100人以下の小規模企業ではさらに少なく、27.8％という結果が出ており、その半数以上が、兼務だということが明らかになりました。兼務であれば、本来の業務に支障をきたすだけでなく、情報セキュリティに関する情報をいち早く取り入れたり、万が一事故が発生した際に素早い対応を行うことは困難でしょう。

　また「従業員に対する情報セキュリティ教育を行っているか」という設問において、「特に実施していない」と答えた企業は、全体の約60％にのぼっています。新しく情報セキュリティ対策の担当者を育てるにも、費用と時間がネックとなり、なかなか実現できない背景があるのです。

情報セキュリティ対策、アウトソーシングのススメ

　サプライチェーン攻撃など巧妙化が加速するサイバー攻撃の脅威から会社を守るには、情報セキュリティ対策は必須項目です。

　そこで考えたいのが、導入から運用までをカバーできる情報セキュリティ対策のアウトソーシング。先述の対策を自力で取り入れようとしても、設備投資に莫大なコストがかかるだけでなく、システムやネットワークの専門的な知識が必要となり、決して容易ではありません。「何から対策すればいいのかわからない」といった経営者も多いことでしょう。そこで、分野に精通した企業からサポートを受け、情報セキュリティ対策への第一歩を踏み出してみるのはいかがでしょうか。

　では、どのようなサービスがあるのでしょう？

　VPNの構築やUTMの設置をいちから任せられるハードウェア系のサービスや、データ管理をまるごと委託するデータセンターサービス、クラウドサービスなど、多くのサービス事業者がさまざまなものを取り揃えています。また24時間365日有人で不正なアクセスを監視してくれるサービスや、情報セキュリティに関するサポートセンターというサービスなども登場しています。さまざまなサービスの中から、自社の事情に適した形のものを見つけてみましょう。

　情報セキュリティ対策を外部の専門的なサービスに任せることができれば、社員の負担を減らし、強みである自社本来のビジネスに集中することが可能です。

　人材不足とコスト面で、情報セキュリティ対策に踏み切れない企業にとって、アウトソース化は、人材・コストの負担を抑えられる選択の1つだといえるでしょう。