2022年2月28日、国内のとある大手自動車メーカーは国内にある全14工場28ラインで稼働を1日停止。翌日には国内のすべての工場の稼働を停止することを発表した。
原因となったのは取引先の中小企業が受けたサイバー攻撃。発注や納品のデータがある社内基幹システムが停止した。この事件を起こしたサイバー攻撃者は、防御の堅い大企業を正面から攻撃することを避け、取引先の中小企業を狙ったとみられている。
「現状は中小企業も業種を問わず被害に遭うようになっている」。ソフトバンク 法人プロダクト＆事業戦略本部 セキュリティ事業統括部 セキュリティデザイン推進室 担当課長の岡田一彦氏は「SoftBank World 2022」の講演で指摘した。
中小企業のセキュリティ対策の課題は、「多くの経営者や上層部が『うちは流出して困る情報はない』と考えており、なかなか対策が進まない」ことだという。
しかし、岡田氏によれば、「第3者の視点に立った時、中小企業に欲しい情報はたくさんある」。例えば、財務情報や顧客情報、人事給与の情報、また技術力が強みの企業の場合は設計図や技術情報などだ。「こういった情報は今では社内サーバーだけでなく、USBやCD/DVD、メール、そして社外のクラウドなどに分散している。これらの情報は外部公開可能になったり、メディアを落としただけでもアウトで、厳しくしていかなくてはならない」
個人情報保護法の改正もあり、情報流出時に企業が求められる対応はより厳重になっている。また、被害にあった際は、インシデントへの対応費用だけでなく、その間の事業停止による売上減少などの影響もある。
しかしサイバーセキュリティの対策は多岐にわたるため、「何からすればいいか分からない担当者や経営者も多い」と岡田氏。そこでソフトバンクでは、「まずは社内セキュリティの全体像を見える化をしませんか、という提案をしている」という。例えば、およそ30問の質問項目に回答してもらうことで、セキュリティ対策の全体像を洗い出すサービスをソフトバンクは提供しており、こうした診断サービスをまずは受けるべきだと勧めた。
見える化のメリットとして、岡田氏は①リスクの可視化、②優先的に対応するべき場所の把握、③優先するべき場所が分かれば必要最小限の費用で済む、の3点を挙げた。「見える化のメリットは、健康診断に例えると分かりやすい。頭が痛い、肩が痛い、胃が痛いなど、どこかが悪いかを棚卸する。棚卸した後にフラットにどこが悪くて、どこを優先すべきかを可視化してから、じゃあまず胃の薬を出そう、それから肩のお薬を出そうと判断できるため、サイバーセキュリティにおいても全体像の見える化に一番最初に取り組むべきだ」
サイバーセキュリティの全体像を洗い出すというと、ハードルが高く感じるが、無償でこれらを提供してくれるベンダーも存在する。ソフトバンクも従業員が300名以上の企業が対象だが、無償で見える化サービスを提供している。また、IPA（情報処理推進機構）はチェックリストを無償公開しており、これらを活用するのも手だ。セキュリティ対策が負担に感じる企業こそ、見える化にまず取り組むべきだ。